Japan Security Analyst Conference 2021
(オープニングトーク)

2020年のインシデントを振り返る
JPCERTコーディネーションセンター
インシデントレスポンスグループ
2021年1月28日
椎木 孝斉

2大攻撃タイプ

1

標的型

ばらまき系

(組織内情報の窃取を目的とした攻撃)(金銭の窃取を目的とした攻撃)

Copyright ©2021 JPCERT/CC All rights reserved.

異なる攻撃と手法の組み合わせ

標的型攻撃

ばらまき系の手法

ばらまき系
攻撃

標的型の手法

2

Copyright ©2021 JPCERT/CC All rights reserved.

標的型攻撃3

Copyright ©2021 JPCERT/CC All rights reserved.

JPCERT/CCで確認した標的型攻撃活動

4

Copyright ©2021 JPCERT/CC All rights reserved.

最近の標的型攻撃の特徴
クラウドサービスのマルウェアの複雑化

特徴的なマルウェア悪用•ファイルレスの使用•攻撃の入り口として (SNSサービス)•攻撃インフラとして(Microsoft Azure, Google Cloud など)•モジュール化•多段構成•難読化や耐解析機能•新規マルウェア•サーバーターゲット(ELF版としての拡張)•攻撃ターゲットとして (Office365など)•汎用ツール•多段攻撃の要素として (Pastebinなど)(オープンソース、正規ツール、OSコマンド)との組み合わせ

5

Copyright ©2021 JPCERT/CC All rights reserved.

LODEINFO

6

Copyright ©2021 JPCERT/CC All rights reserved.

バージョンの変化

7

2019/122020/04

2020/05

2020/06

v0.1.2v0.3.2v0.3.5v0.3.82020/04

2020/05

2020/05

2020/12v0.2.7v0.3.4v0.3.6v0.4.6

Copyright ©2021 JPCERT/CC All rights reserved.

起動方式の変化
Rundll32経由(〜v0.2.7)2. 実行

1. 作成

3. ロードLODEINFO
rundll32.exe
8

Copyright ©2021 JPCERT/CC All rights reserved.

DLLサイドローディング(v0.3.2〜)

2. 作成
& 実行

1. 作成

3. ロードLODEINFO
正規ファイルコマンドの変化
v0.1.2
•cd
•ls
•send
•recv
•cat
•memory•kill•ver•commandv0.2.7
•cd
•ls
•send
•recv
•cat
•memory•kill•ver•commandv0.3.2v0.3.4v0.3.5v0.3.6v0.3.8v0.4.6

•cd
•ls
•send
•recv
•cat
•memory•kill•ver•command

•cd
•ls
•send
•recv
•cat
•memory•kill•ver•command

•cd
•ls
•send
•recv
•cat
•memory•kill•ver•command

•cd
•ls
•send
•recv
•cat
•memory•kill•ver•command

•cd
•ls
•send
•recv
•cat
•memory•kill•ver•command

•cd
•ls
•send
•recv
•cat
•memory•kill•ver•command•print•print•print•rm•(ransom)•(keylog)•print•rm•(ransom)•(keylog)•print•rm•ransom•(keylog)•print•rm•ransom•keylog•mv•cp•mkdir•ps•pkill( ): コマンドのみの追加(機能は未実装)
9

Copyright ©2021 JPCERT/CC All rights reserved.

Lazarus

10

Copyright ©2021 JPCERT/CC All rights reserved.

Lazarusが使用するマルウェアの例
侵入後に使用するマルウェア

11

Copyright ©2021 JPCERT/CC All rights reserved.

BLINDINGCAN

C2との通信(HTTPS)
侵入後に使用するマルウェア
POST /[Path] HTTP/1.1
Cache-Control: no-cacheConnection: Keep-Alive
Content-Type: application/x-www-form-urlencoded
Accept: */*Cookie: token=[ランダムな値(4桁)][認証キー(4桁)][通信回数]
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/70.0.3538.77
Safari/537.36
Content-Length: [Size]
Host:[Server][param]=[Base64 data]

BLINDINGCAN
POST /[PATH] HTTP/1.1
Connection: Keep-Alive
Cache-Control: no-cacheContent-Type: application/x-www-form-urlencoded
Accept: */*User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) Chrome/28.0.1500.95 Safari/537.36
Host: [Server]Content-Length: [Length]
id=d3Ztd3lod2t0Tqf42ux9uv3FGH+Y3oAc2w==&bbs=HA==&tbl=hzE4dlKcRq3gokgAGeMQug== &bbs_form=4GQAAA==
12

Copyright ©2021 JPCERT/CC All rights reserved.

ばらまき系攻撃13

Copyright ©2021 JPCERT/CC All rights reserved.

SSL VPN 機器の脆弱性を悪用した攻撃

14

Copyright ©2021 JPCERT/CC All rights reserved.

情報発信

15

Copyright ©2021 JPCERT/CC All rights reserved.

JPCERT/CCが確認した侵害事案の例
Citrix製品の脆弱性の悪用事例
不正ファイルの設置• スクリプト

内部探索、ADランサムウェ
アによる侵害• WebShell• ELFバイナリ

侵害の試み• PsExec• Mimikatz

標的型攻撃による悪用• AD情報窃取

Pulse Connect Secure の脆弱性の悪用事例
16

Copyright ©2021 JPCERT/CC All rights reserved.

Emotet17

Copyright ©2021 JPCERT/CC All rights reserved.

国内の感染アドレス数推移
12000
10000

11014

addressdomain

8000
6000
3859

4000

2000
01656 1909
1029
757
909
430
298 207 0 0204 1201731
0 00 00 0

1758
882

4574
3648
1715

0 0

Emotetのメール送信に使われるメールアドレスのうち.jpのアドレス数推移
18

Copyright ©2021 JPCERT/CC All rights reserved.

871 464

情報発信

19

Copyright ©2021 JPCERT/CC All rights reserved.

感染の流れマクロの実行
WMI

メール

添付された
docファイルダウンロード

Emotet2次感染マルウェアの例- Zloader- Trickbot
2次感染マルウェア- Qakbot- IcedID
20

Copyright ©2021 JPCERT/CC All rights reserved.

PowerShell
アクセス

改ざんサイトC2サーバーEmoCheck

v0.0.1(2020/02/03)

21•InitialRelease•2019/11〜のEmotet対応•2020/07〜のv0.0.2(2020/02/10)

コード署名付与Copyright ©2021 JPCERT/CC All rights reserved.

v1.0.0(2020/08/11)

Emotetに対応•バイナリ配布

v2.0.0(JustReleased!)

2020/12〜のEmotetに対応

分析ツール

22

Copyright ©2021 JPCERT/CC All rights reserved.

トレーニングコンテンツの公開

https://jpcertcc.github.io/log-analysis-training/
23

Copyright ©2021 JPCERT/CC All rights reserved.

既存ツールアップデート

github.com/JPCERTCC/MalConfScan

github.com/JPCERTCC/LogonTracer□Linuxメモリスキャン機能□サポートマルウェアファミリー□リアルタイムADログ分析機能(合計: 28)
24

Copyright ©2021 JPCERT/CC All rights reserved.

リモート分析環境

Malware

リソースInternet
ローカル分析環境
25

Copyright ©2021 JPCERT/CC All rights reserved.

ツール
データ
リモート分析環境

の楽しみ方26

Copyright ©2021 JPCERT/CC All rights reserved.

講演

27

分類タイトル

分類タイトルA

NanoCoreHunter: NanoCore C&Cサーバの追跡と180日間のRATオペレータの行動監視

C

取引先のセキュリティ侵害から発生するビジ
ネスメール詐欺の実態

A

LuoYu, the eavesdropper sneaking in
multiple platforms

D/AとあるEmotetの観測結果

D

Shathakに関する攻撃キャンペーンの全体像

D

仮想通貨事業者を標的とした攻撃キャンペー
ンに関する脅威情報のハンティング

D

GhostDNSbusters: Tracking andResponding to a Large Scale DNS
Hijacking Campaign

A/C

A41APT case ~Analysis of the Stealth APTCampaign Threatening Japan

A/D

When you gaze into the Bottle,...

A/D

Knock, knock, Neo. - Active C2 Discovery
Using Protocol Emulation

B

Accelerating the Analysis of Offensive
Security Techniques Using DetectionLab

Copyright ©2021 JPCERT/CC All rights reserved.

[A] マルウェア関連[B] フォレンジック関連[C] インシデント調査・対応事例・攻撃手法[D] 脅威動向・インテリジェンス

ワークショップ
分類

タイトル

W[A]

Malware Analysis at Scale ~Defeating EMOTET by Ghidra

W[C]Shuffle the SOC - automating anything, anytime, anywhere[A] マルウェア関連[C] インシデント調査・対応事例・攻撃手法

28

Copyright ©2021 JPCERT/CC All rights reserved.

交流の場Powered by29

Copyright ©2021 JPCERT/CC All rights reserved.

フォローアップイベントイベント名: After JSAC2021
開催形式: オンライン(YouTube配信予定)
日時: 2/19(金) 16:00 - 17:00
内容(予定):
1. ベストスピーカー表彰？
2. JSAC2021振り返り
3. これからCFPに応募する人へ
30

Copyright ©2021 JPCERT/CC All rights reserved.

Thank you!
31

Copyright ©2021 JPCERT/CC All rights reserved.