犯罪基盤としてのボットネットと対策の事例

マイクロソフト（株）
チーフセキュリティアドバイザー
高橋 正和

未承諾電子メールの87%はボットネットが原因でおこる。
ボットネットに感染したコンピュータは380万台以上 –米国のみで100万台
DDoS攻撃–2008年中の攻撃
190,000件
出典：Internet Security
http://internet-security.suite101.com/article.cfm/
botnets_guilty_for_87_of_2009_global_spam_mail#ixzz0eysy7BTj
Namestnikov, Yuri. “The Economics of Botnets,” Kaspersky Lab.
2009年

Hotmailは18日間でマルウェア「Waledac」に感染した
コンピュータからのトラフィック6億5,100万件を遮断
39カ国におけるボットネット上位10位
マイクロソフトは、 96,223台のマシンからWaledacを駆除した。
出典：マイクロソフトデジタル犯罪ユニット、
マイクロソフトマルウェアプロテクションセンター、2010年3月

Hotmailは18日間でWaledac感染コン
ピュータからの接続
6億5,100万件を遮断
39カ国におけるボットネット
上位10位

WALEDAC TAKE DOWN

Win32/Waledac and Law / Fighting Botnets in Court• 2009年10月に開催されたDCC(Digital CrimesConsortium)において、マイクロソフトのデジタル犯罪部門（DCU: Digital Crimes Unit)は、業界、法執行機関、政府機関、研究者に、能動的なアクションを提案した• Waledacは、技術的に複雑で、対処が困難なボットネット考えられていたことから、Waledacのテークダウンが具体的なアクションとした。
• DCUは、まず、TrendMicro, iDEFENSE,MMPC(Microsoft Malware Protection Center)等、他の組織や研究者が行っている調査・研究結果の分析を行った。

2010年10月の国別のWaledacの感染状況••

DCUは、ワシントン大学、シャドーサーバー、ウィーン技術大学、ボン技術大学、MMPCと共に、アクションプランの策定を始め、最終的には、マイクロソフト、ウィーン技術大学、iDEFENSEによって、Waledacボットネット停止のための技術的な計画が立案された
計画は、以下の3つのアプローチで構成される。
•••

P2Pによる指揮命令系統の破壊
DNS/HTTPによる指揮命令系統の破壊
指揮命令を行う上位2層の破壊

Waledacボットネットの概要•

Waledacボットネットの概要は、左図のようになっている。
• スパマー・ノード• スパムを送信するためのノード• リピーター・ノードと接続し、指揮命令を受ける• リピーター・ノード• P2Pのアドレスリストを維持し、上位層からの指揮命令を受ける。
• Fast Flux DNSに登録される• 中間コントローラー• リピーター・ノードに対して、指揮命令を行うための中間コントローラー• メイン コマンド・アンド・コントロールサーバー• ボットハーダーが、直截操作するC&C。
• Fast Flux DNSサーバー• P2Pによるアドアレスが取得できない場
合に問い合せ先を登録するDNSサーバー。
• Fast Flux: 頻繁にIPアドレスを書き換えて、追跡を困難にしている。

P2Pネットワーク•PCがWaledacに感染すると、スパマー・ノードか、リピーターノードに分類される。
• PCが、プライベートIPを使っている場合は、WaledacのHTTPを使った指揮命令が利用できないと判断し、スパマー・ノードに割り当てられる。
• グローバルIPを利用し、TCP/80を使ってアクセスができる場合は、リピーター・ノードとして割り当てられ、Fast Flux
DNSに組み込まれる。

•

リピーターノードは、有効なP2Pノードのアドレスを維持する•••

リピーターノードは、他のリピーターノードと、有効なＰ２Ｐノードのアドアレスを交換し、最新の状態を維持する。
保持するリストは、すべてのノードではなく、100程度のリピーター・ノード

スパマー・ノードは、リピーター・ノードからＰ２Ｐアドレスリストを取得する

P2Pが機能しない際の対応•

リピーターノードの Fast Flux DNSへの登録•
リピーター・ノードが一定期間オンランだと、信頼できるノードとして、DNSに登録され、Waledacボットネットの制御に利用される。

•P2Pが機能しない場合のバックアップ•
保持しているリストでP2Pとの接続ができない場合、あらかじめ組み込まれたアドレス（ホスト名）に問い合わせを行う。
•
このアドレスは、Fast Flux DNSに登録されており、上記条件で登録された、リピーター・ノードのＩＰアドレスが割り当てられる。

上位層へのPROXYとしての機能•

リピーター・ノードは、上位層へのPROXYとして機能する•••

上位層は、感染したPCではなく、ハーダーによって設置されたサーバーで構成される。
上位層のサーバーは、固定的であることから、リピーター・ノードを経由しないとアクセスできないなど、意図しないアクセスを極力排除する仕組みになっている。
リピーター・ノードは、ある種のファイアウォール機能を果たしている。

Waledac P2Pネットワークの破壊
•
••

•

•

P2Pネットワークを崩壊させることから始めた
リピーター・ノードは、グローバルIPを持ち、80/TCPが接続できるPCで構成される。
Waledacに感染すると、あらかじめ設定されたIPアドレスに接続し、リピーター・ノードとなると、アクティブなリピーターノードのリストをダウンロードする。
• このリストは、必ずしも適切に機能しておらず、ハニーポット上で感染したPCの、フォールバックアドレスへのアクセスが頻繁に観測された。
この仕組みを利用し、アクティブ・ノードリストに、シンクホール（なにも返さないアドレス）をポイゾニングすることで、P2Pネットワークを崩壊させることができた。
しかし、Waledacは、DNSを利用したバックアップシステムがあるため、あわせて、DNS問題にも取り組む必要があった。

DNSの対策：ホスト名の削除
ICANNの紛争解決方針

犯人逮捕

ハーダーに動きを知られ、対応の時間を与える

犯人不明のため、法的対策が取れない

連邦裁判所

一方的な暫定措置(ex parte TRO)
48時間以内のドメイン名の停止を、当事者に知らせることなく強制できる

Flux

停止依頼
（非公式なレター）

DNS サーバーのTake Down

強制力がないため、必ずしも実施されないハーダーが保持をしているか、レジストラが管理をしているケースが多い

DNSの対策：ホスト名の削除
連邦裁判所に対する一方的なTRO発行の必要性の訴求
連邦裁判所は、通知を行った場合、訴訟を避け、不法行為を続ける機会があると判断し、“一方的なTRO”を発行した。
（30年以上前に偽ブランド品に対して実施）
ドメインが乗っ取られているケースの対処
ドメイン登録者を被告とせず、27のドメイン登録者に対して被告人不詳として訴訟（John Does訴訟）。

中国のレジストラを通じて登録されたドメインの対処

連邦裁判所

起訴手続きの連邦原則、米国憲法、中国の法律を満たすことを確認し、ハーグ条約に基づいて、中国法務省に依頼
ドメイン登録者に通知

一方的な暫定措置(ex parte TRO)
紛争相手への事前通史なしに、一時的（14-28日間）な対処を行うための特別な救済策、証拠隠滅や回避策の実施を阻止するために適用される。
一般に”一方的なTRO“の発行は困難で、連邦原則ルール 65に基づき、「これを行わない場合に即座に解決できない危害が継続すること」、「相手方への通知を行い、それができない場合にはその理由を明確にすること」を求めている。

適法手続権利の維持を保証するため、ドメイン登録者に、訴状を送ると共に、電子メール、FAX、書簡による通知を行い、加えて、サイトを作成し、訴訟に関する書面をすべて掲載の上、これをメディアなどを通じて周知
www.noticeofpleadings.com
停止命令が実施されない場合の対処
停止命令が実行され倍場合に、ドメインの所有権がマイクロソフトに移行するように申請し、認められる。

http://www.noticeofpleadings.com/

Hotmailは18日間でWaledac感染コン
ピュータからの接続
6億5,100万件を遮断
39カ国におけるボットネット
上位10位

© 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries.
The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not beinterpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provi ded after the date of this presentation.
MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

マイクロソフト セキュリティ インテリジェンスレポート
スペシャルエディション

Rustockの脅威と戦い
日本マイクロソフト株式会社
チーフセキュリティアドバイザー
高橋正和

プロジェクト MARS (Microsoft Active Response for Security)
Operation b107
• Rustock– 約100万台で構成されるボットネット– 主にスパムの送信に利用される• 毎日数十億通の送信が可能• マイクロソフトの宝くじ、• 虚偽の処方薬など
Win32/Rustock• Operation b107（2011/3/16に実施） マイクロソフトのマルウェア対策ソリューションによるの検出数 (2008 年 10 月～ 2011 年 5 月)

– Microsoft Active Response for Securityの一環として実施（Waledacに次ぐ2例目）• Microsoft Digital Crimes Unit (DCU)• Microsoft Malware Protection Center (MMPC)• Microsoft Trustworthy Computing– 協力・共同••••

Pfizer：製薬会社
FireEye：ネットワーク セキュリティ プロバイダー
ワシントン大学のセキュリティ専門家
オランダ警察当局の内部組織 Dutch High Tech Crime Unit
– 米国以外の国で稼動しているボットネットのコマンド構造の破壊することを支援

Rustockの構成
•

ドロッパー
–––––

•

ドライバーインストーラー–––•

ユーザーモードで実行
C&Cから、ルートキットドライバーの複合化とドロップ
ポリモーフィック型、静的な文字列は使わない
RC4で暗号化しaPLibで圧縮システムドライバーに成りすまし、カーネルモードで実行
Beep.sys, null.sys等の置き換え
ハードコード化されたファイル名とランダムなファイル名

ルートキットドライバー––––

カーネルモードで実行
INT 2eh割り込みを賜与してユーザーモード
ボットクライアントと通信
SSDT*をフックし、自身を除外
ntoskrnl.dll , ntdll.dll, tcpip.sys,wanarp.sys などもフックし、ディスク操作とネットワーク操作も隠蔽*SSDT: System Service Dispatch Tableスパム•

古いバージョンのRustock–•Botdll.dll SMTPクライアントエンジン

2008年以降のRustock–

Hotmailを経由したスパムの送信
••
•

–
–

C&Cから資格情報を取得
送信元PCのIPアドレスを隠ぺいする効果がある
SSLを利用することにより、送信トラフィッ
クを暗号化

最大100スレッド
1メール＝1送信アドレス

展開とペイロード
脅威名MD5

Adware:Win32/Zugo

5a77b40c7e9de96a4183f82da0836a19

Backdoor:Win32/Kelihos.A

1454b22c36f1427820b24b564efb2e39

TrojanDownloader:Win32/Stasky.A

19616154d6d63a279d77ae11f7b998e9

TrojanDownloader:Win32/Bubnix.A

8e159ff1bbd5a470f903d0e32979811c

Rogue:Win32/FakeSpypro

76f4c35d23b7363fcf6d1870f0169efe

Trojan:Win32/Malagent

7d6ead50862311242902df065c908840

Trojan:Win32/Harnig.gen!DD0556114e53bae781a5870ef4220e4fc

Trojan:Win32/Hiloti.gen!D

1c8cb08d2841f6c14f69d90e6c340370

Trojan:Win32/Hiloti.gen!D

444bcb3a3fcf8389296c49467f27e1d6

TrojanDownloader:Win32/Renos.MJ

5571a3959b3bd4ecc7ae7c21d500165f

TrojanDownloader:Win32/Renos.MJ

89f987bdf3358e896a56159c1341f518

TrojanDownloader:Win32/Small.SL

Ccd08d114242f75a8f033031ceeafb88

Trojan:Win32/Meredrop

23472a09a1d42dc109644b250db0ca1e

TrojanDownloader:Win32/Waledac.C

B7030bdf24d6828c6a1547dc2eece47d

TrojanDownloader:Win32/Waledac.C

De5bd40cb5414a5d03ffd64f015ffacc

Backdoor:Win32/Cycbot.B

86d308e7a03e9619dbf423e47ac39c50

TrojanDownloader:Win32/Small.SL

2664b0abf4578d0079e3ad59ab697554

Worm:Win32/Skopvel

331fe9a906208ce29ba88501d525356b

Rogue:Win32/Winwebsec

e4a9504875c975b8053568120c56743b••

McColo, Russian BusinessNetworkとの関連
偽の医薬品販売サイト
偽ウイルスソフト•

マルウエアの追加インストール

•

–
–

–

既知のRustock ドロッパー（Win32/Harnig）に感染させる
対話的な操作を行わずに5分間で左表のマルウエアをダウンロード・インストール
これらのマルウエアは、さらに別のマルウエア等をダウンロード（多層構造のダウンローダー）バックアップ•

C&Cサーバーにアクセスできない場合のバックアップ–

毎日16個の新しいドメイン名を生成し、接続を試みる•–

6種類の生成アルゴリズム••

jvwyqarglgwqvt.info 、
hy38la8rwpaqlpiy.com 等の無意味な文字列
毎日96個のドメイン

ボットネットの制御にはIPアドレスを使用–

C&Cのアドレスをボットにハードコード

裁判における Rustock の対処•••

マイクロソフトは、商標が不正に使用されたことに基づき、被告人名不詳として起訴
C&CのIPアドレスに基づき、裁判所の差し押さえ命令を請求し、2011年3月9日に発令
連邦保安官の警護の下、現場から証拠を収集し、サーバーをホスティングプロバイダーから押収–

Rustock ボットネットのオペレーターに対して発令された一時禁止命令

本件に関係する法的文書は、www.noticeofpleadings.com に掲載されています

解析結果
•

ハードディスク20台の解析結果–

スパムを送信するためのソフトウェアとデータ
•
•
•

–
–

ロシアのIPアドレスに対するサイバー攻撃に利用されていたことを示すデータ
匿名インターネットアクセスを提供するノードとして使用••••

2011年3月16日、米国の7都市に拠点を置くホスティングプロバイダー5社からサーバーを押収
プロバイダーの支援を受け、ボットネットを制御しているIPアドレスを分断

数千個の、メールアドレス、ID/パスワードの組み合わせを含んだテキストファイル
42万個以上の電子メールアドレス
マイクロソフトや製薬会社の商標を不正に利用したテンプレート

電子メールテンプレート、商標、電子メールアドレスなどを保存する Rustockシステムへの匿名アクセスを提供するために使用したとみられるサーバーのホスティング契約を調査
–
–
–
–
–

オンライン決済サービスを利用アカウントはモスクワ付近の住所が登録
C&Cサーバの多くは“Cosma2k”という個人によって設定
このニックネームは多数の異なる名前と関連法的な措置を取るために、これらの名前、電子メールアドレス、その他の証拠に対する調査を継続している

Rustock に関する統計•

130万を超えるIPからRustockを検出–•

2011/1/22 ～2011/2/4

Rustockのネットワーク活動
1台のRustockに感染したPCの24分間の動き– 3つの通常通信– DNS Aレコード
1,406回– MXレコード
2,238回– 送信したメールサーバ 1,376台– C&C等との通信
22回

オペレーションの結果•

Rustockが利用するフェールオーバー
用ドメイン名を使った観測––•

アルゴリズムを解析し、該当するドメイン名をマイクロソフトが取得
このドメインへの通信は、シンクホールへ向けられる

地理的な分析

シンクホールに接続した IP アドレス数の推移 (1 週間ごと)
第1週（トラフィックの多い国）第1週（トラフィックの少ない国）

米国

5,580万

中国

42万

フランス

1,370万

チリ

50万

トルコ

1,340万

デンマーク

53万

カナダ

1,140万

ノルウエー

58万

インド

730万

ブラジル

710万

スパムに関する統計•

スパムメールの送信量––

一日で300億通の発信を記録
1台の感染PC（DCU）•••

45分間で7,500通のスパムを送信
24万通/日に相当

Pfizerからの裁判での参考人としての供述–

Rustockによって宣伝されている医薬品を購入し分析し、その結果を供述••••

製造環境条件が安全ではない
不適切な有効成分を含む
間違った投薬量を表示
殺虫剤、鉛を含んだ路面標示用塗装、床用ワックスなどによる汚染

マイクロソフト製品によって検出された Rustock スパム活動•

Rustock から発信される大量のスパムは、Microsoft® Forefront® Online
Protection for Exchange (FOPE) を使用して検出•

2010年12月25日から2011年1月9日の間、Rustockボットネットは完全に非アクティブ–2011 年第 1 四半期に FOPE によって検出された Rustock ボットネットの活動 (受信したメッセージの数と使用された IP アドレスの数)

クリスマス休暇と、休息期間がぶつかったことの影響？

••

休暇期間後は、通常通りの活動を再開
2月初旬までは典型的な安定した活動パターン•

遮断後の3月中旬には活動量が、ほぼゼロまで急減むすび• Rustock ボットネットは、かつては世界最大のスパムボットの 1 つとして報告され、1 日に 300 億通のスパム メッセージを発信したこともあります。
• マイクロソフト、司法制度、そして業界が力を合わせた結果、Rustock を2011 年 3 月 16 日に遮断することに成功しました。
• Waledac や Rustock などの大規模ボットネットに対して取られた対応は、この種の対応としては前例のないものですが、これが最後ではないことは確かです。
• サイバー犯罪集団がサイバー犯罪活動の基幹としてボットネットを利用し続ける限り、マイクロソフトと世界中の業界パートナー、学術機関、法執行機関は犯罪集団との闘いに継続的に尽力していきます。

• 私たちが力を合わせれば、犯罪集団によってボットネットが利用されることを阻止し、誰にとっても安全で信頼できるインターネットの実現が可能となります