MWS Cup 2019 課題1
2019/12/9
株式会社ソリトンシステムズ荒木 粧子

課題1 動的解析（DFIR）◼

目的
 実環境で観測されたDrive-by Downloadトラフィックとそこで得られた検体の動作ログから侵害を明らかにする◼

概要
 Soliton Dataset 2019で提供されているデータと同じフォーマットの以下のファイルの解析◼ 課題1-1

Drive-by Downloadトラフィック（15点）– sazファイルで提供、Fiddler＋EKFiddleを利用して解析◼ 課題1-2

マルウェア動作ログ（10点）– テキストファイルで提供、Grep、同梱MK2Tree（Pythonツール）、Excel、独自ツールなどで解析
Copyright © Soliton Systems K.K. All rights reserved.

3

課題1-2 マルウェア動作ログ解析◼

１-２-１以下のWindowsの機構のうち、このマルウェアが永続化に利用したものを答えなさい。（1点）


Runレジストリ(T1060)
Windowsサービス(T1050)
タスクスケジューラ(T1053)
ショートカット(T1023)

※記載の番号はATT&CKのTIDです：https://attack.mitre.org/tactics/TA0003/◼

１-２-２永続化されたマルウェア実行ファイルの所在(フルパス）とSHA256ハッシュ値および、永続化を実行したことが確認できるログのシリアル番号（SN）を記載しなさい。(1点 x 3の計3点)◼

１-２-３このマルウェアの、この端末上での最終的な目的は何と推測できますか。目的と思われる特徴的な動作を2つ取り上げ、それぞれ何をしているのかをその根拠とともに推測し説明しなさい。(各3点 x 2の計6点)

Copyright © Soliton Systems K.K. All rights reserved.

5

1-2-1 解答：Windowsサービス（T1050）■ sc.exeによるサービス登録
06/19/2019 06:18:21.921 +0900 sn=124339 evt=ps subEvt=start psGUID={18D7ADBE2B60-4BCB-8C9B-490941536ECF} psPath="C:¥Windows¥System32¥sc.exe" cmd="create
tsiakhii binPath= ""C:¥Windows¥system32¥tsiakhii¥hpiydasc.exe/d¥""C:¥Users¥n4o¥AppData¥Local¥Temp¥142ecf4c1a3676df09e0fe183664fa7237569b4f.exe¥"""" type= own start= auto DisplayName= ""wifi support""" psID=548
parentGUID={8D16B86F-F081-46FF-B832-99DAF182740E}
parentPath="C:¥Users¥n4o¥AppData¥Local¥Temp¥142ecf4c1a3676df09e0fe183664fa7237569b4f.exe"■ service.exeによるサービス登録時のレジストリ作成
06/19/2019 06:18:22.140 +0900 sn=124354 evt=reg subEvt=setVal psGUID={E21D6A6AAB80-4B9F-9D2A-5283C38BF122} psPath="C:¥Windows¥System32¥services.exe"
path="HKLM¥SYSTEM¥ControlSet001¥services¥tsiakhii" entry="ImagePath"
valType=REG_EXPAND_SZ valStr="C:¥Windows¥system32¥tsiakhii¥hpiydasc.exe/d""C:¥Users¥n4o¥AppData¥Local¥Temp¥142ecf4c1a3676df09e0fe183664fa7237569b4
f.exe""" arc=x86 packed=1 impKrnlCnt=22
sha256=f31246e291fab40e21e419a9a45ae8d74a18dd5a724647c1ac48b32daae96eeb
size=14764544 sig=None
Copyright © Soliton Systems K.K. All rights reserved.

6

1-2-2 永続化されるファイルの流れ①■マルウェア本体の起動
06/19/2019 06:18:15.406 +0900 sn=124237 evt=ps subEvt=start psGUID={8D16B86F-F081-46FFB832-99DAF182740E}
psPath="C:¥Users¥n4o¥AppData¥Local¥Temp¥142ecf4c1a3676df09e0fe183664fa7237569b4f.exe"
psID=1616 packed=1 impKrnlCnt=22
sha256=a9b203e8f543256400950dd80dcf82223811efe471db7c6cf2123d0125aa7a68 size=80384
sig=None■マルウェア本体がhpiydasc.exeというファイルを生成
06/19/2019 06:18:15.640 +0900 sn=124278 evt=file subEvt=create psGUID={8D16B86F-F08146FF-B832-99DAF182740E}
psPath="C:¥Users¥n4o¥AppData¥Local¥Temp¥142ecf4c1a3676df09e0fe183664fa7237569b4f.exe"
path="C:¥Users¥n4o¥AppData¥Local¥Temp¥hpiydasc.exe" drvType=HDD■ hpiydasc.exeの書き込み保存
06/19/2019 06:18:20.531 +0900 sn=124291 evt=file subEvt=close psGUID={8D16B86F-F08146FF-B832-99DAF182740E}
psPath="C:¥Users¥n4o¥AppData¥Local¥Temp¥142ecf4c1a3676df09e0fe183664fa7237569b4f.exe"
path="C:¥Users¥n4o¥AppData¥Local¥Temp¥hpiydasc.exe" drvType=HDD read=0 write=14764544
pe=1 arc=x86 packed=1 impKrnlCnt=22
sha256=f31246e291fab40e21e419a9a45ae8d74a18dd5a724647c1ac48b32daae96eeb
size=14764544 sig=None
Copyright © Soliton Systems K.K. All rights reserved.

7

1-2-2 永続化されるファイルの流れ②■cmd.exeにより、ファイル移動（/Cでコマンド実行、/Yで上書きチェック無し）
06/19/2019 06:18:21.343 +0900 sn=124324 evt=ps subEvt=start psGUID={A809B6C8DA58-4E96-8B55-FC63508D2223} psPath="C:¥Windows¥System32¥cmd.exe" cmd="/C move/Y ""C:¥Users¥n4o¥AppData¥Local¥Temp¥hpiydasc.exe""
C:¥Windows¥system32¥tsiakhii¥" psID=2032 parentGUID={8D16B86F-F081-46FF-B83299DAF182740E}
parentPath="C:¥Users¥n4o¥AppData¥Local¥Temp¥142ecf4c1a3676df09e0fe183664fa7237569b4f.exe" sha256=17f746d82695fa9b35493b41859d39d786d32b23a9d2e00f4011dec7a02402ae■cmd.exeの実行結果が、ファイルイベントとしても観測されている
06/19/2019 06:18:21.531 +0900 sn=124337 evt=file subEvt=rename psGUID={A809B6C8DA58-4E96-8B55-FC63508D2223} psPath="C:¥Windows¥System32¥cmd.exe"
path="C:¥Users¥n4o¥AppData¥Local¥Temp¥hpiydasc.exe" drvType=HDD
dstPath="C:¥Windows¥System32¥tsiakhii¥hpiydasc.exe" dstDrv=HDD pe=1 arc=x86 packed=1
impKrnlCnt=22
sha256=f31246e291fab40e21e419a9a45ae8d74a18dd5a724647c1ac48b32daae96eeb
size=14764544 sig=None

Copyright © Soliton Systems K.K. All rights reserved.

8

1-2-2 解答◼

永続化されたマルウェア実行ファイルの所在(フルパス）
 C:¥Windows¥system32¥tsiakhii¥hpiydasc.exe◼

SHA256ハッシュ値
 f31246e291fab40e21e419a9a45ae8d74a18dd5a724647c1ac48b32

daae96eeb◼

永続化を実行したことが確認できるログのシリアル番号（SN）（以下のいずれでも正解としています）
 124339 （sc.exeによるサービス登録）
 124354（ service.exeによるサービス登録時のレジストリ作成）

Copyright © Soliton Systems K.K. All rights reserved.

9

1-2-3 解答◼

このマルウェアの、この端末上での最終的な目的は何と推測できますか。目的と思われる特徴的な動作を2つ取り上げ、それぞれ何をしているのかをその根拠とともに推測し説明しなさい。
 スパムメール送信◼ 様々なIPアドレスの宛先ポート番号25/TCPに対してコネクションを確立していることから推察される◼ sn=124479など
 コインマイニング◼ マイニングツールのコマンドらしきものが実行されていることから推察される◼ sn=125065など

Copyright © Soliton Systems K.K. All rights reserved.

12課題１に関する参加者アンケート（抜粋）◼

暗号関連の問題が分からなかった。オススメの勉強法があれば教えていただきたいです。
→小池さんからの解説をご参照ください☺

自分は課題1-2だけ解いたのですが、怪しい挙動を追ったりチームメイトと相談しながらその挙動を推測していく作業は楽しかったです。(正解しているかどうかは別として....)◼
動的解析ログについてはもう少し細かく問題を作っていただけると解析の流れが見えて面白いかなと思いました。
◼
得点を争うCupとなるので、少々むずかしいかもしれないですが、問題文の中にも出題意図や実際での現場での声（例えば、本当の現場ではこのログデータの３倍程度が平均ですな
ど、）があると、個人的により楽しく問題に取り組めるかと思いました。
→大量のログから脅威検知するというのは、セキュリティログ解析分野における一つの命題でもあります。通常のWindowsの挙動を知っておくと、解析が早くなります。
◼

◼

（強いて言えば）EK-fiddleを入れていると一瞬で解けるというお話がありましたが事前にアナウンスがあればより嬉しかったです。競技時間があまり長くない+NWは自分で用意する（通信制限のある形態のテザリング等が多いと想定される）という状況から当日インストー
ルするのは難しいため→事前アナウンスしたのですが、周知が足りなかったかもしれません。

Copyright © Soliton Systems K.K. All rights reserved.

14

ヒント①
◼

Fiddlerについては、事前にSlackでご案内していました

Slack-MWS未参加の方は、こちらをご参照ください
https://www.iwsec.org/mws/mws ml.html
Copyright © Soliton Systems K.K. All rights reserved.

15

ヒント③ OSINT活用例◼

マルウェアのハッシュ値をGoogle検索

例）一次検体a9b203e8f543256400950dd80dcf82223811efe471db7c6cf2123d0125aa7a68◼

VirusTotal (https://www.virustotal.com/gui/file/a9b203e8f543256400950dd80dcf82223811efe471db7c6cf2123d0125aa7a68/)◼

any.run (https://app.any.run/tasks/1b5aa7f2-9829-4b8c-97f5-332e60bc763f/)※いずれも2019年12月9日時点の情報です
Copyright © Soliton Systems K.K. All rights reserved.

17

まとめ
◼ Cupに関する事前情報や、問題文面・提供資料をよくお読みください

 MWSCup申し込みページやSlack-MWSは要チェック◼ 問題作成にご興味のある意欲ある方、また、ご意見・ご不明点などがありましたら、お気軽にSlackまでご連絡く
ださい Slack-MWSの#mwscupチャンネル、DMでもOKです

Copyright © Soliton Systems K.K. All rights reserved.

18