2010-10-19(Tue)マルウェア対策研究人材育成ワークショップ(MWS2010)

マルウェア対策のための研究用データセット～MWS 2010 Datasets～
畑田充弘（NTTコミュニケーションズ）、中津留勇（JPCERT/CC）、秋山満昭（NTT PF研）、三輪信介（NICT）

目次
 課題と目的 MWS 2010 Datasets

CCC DATAset 2010
 MARS for MWS 2010
 D3M 2010 実績（速報） おわりに1課題 共通の教材がないこと

 研究用データを入手すること自体が難しくなっていること
 DARPAの最新は2001年、CDX Datasetsは2009年だがマルウェアによる攻撃ではない(https://www.ccc.go.jp/bot/index.html)

2

目的 研究用データセットの提供
CCC DATAset 2008
 CCC DATAset 2009
 研究成果を共有する場、切磋琢磨する環境作り
MWS 2008
 MWS 2009
3

MWS 2010 Datasets
 CCC DATAset 2010
（NTTコミュニケーションズ/CCC）

CCCが提供するサーバ型ハニーポットで収集したデータ群

 MARS for MWS 2010


CCC DATAset 2010のマルウェア検体を擬似環境で動作させて得た一次解析結果のデータ群

 D3M 2010


4

（CSEC研究会/NICT）（NTTコミュニケーションズ/NTT PF研）

クライアント型ハニーポットで収集したWeb感染型マルウェアに関するデータ群（提供元/作成元）

CCC DATAset 2010
 マルウェア検体
 攻撃通信データ
 攻撃元データ

5CCC DATAset 2010 – マルウェア検体
 50検体のハッシュ値
 解析結果を照合できる検体：10検体
 未知検体：40検体

6

CCC DATAset 2010 – 攻撃通信データ
 サーバ型ハニーポット2台のパケットキャプチャデータ
 Windows XP SP1+α 2010年3月5日～11日
 2200万パケット、3.5GB

7

CCC DATAset 2010 – 攻撃元データ
 ハニーポット92台のマルウェア取得時のログ
 116万件（TCP：105万件）
 3万種（ハッシュ）、1000種（ウイルス名称）の検体

8

ログ項目
マルウェア検体の取得時刻
送信元IPアドレス
送信元ポート番号
宛先IPアドレス
宛先ポート番号
TCPまたはUDP
マルウェア検体のハッシュ値（SHA1）

例（一部を*でマスク）
2010-03-05 03:02:41
honey001
1028**. 243.167
5824
TCP*****bc3c850cf68a39c9e8013f2169d408a9d90

ウイルス名称
ファイル名

WORM_DOWNAD.ADC:¥WINDOWS¥system32¥dhnlr.dll

CCC DATAset 2010 – 2008/2009比較
項目2008
マルウェア検体
検体数1
選定条件
多機能，解読困難

2009

1050
解析結果あり，関連性の 解析結果あり，特徴的ある複数検体，特徴的な な機能，2010年1月～3機能
月に収集した未知検体

攻撃通信データ
ハニーポット honey001, honey002 honey003, honey004
収集日2008/4/28, 2008/4/29 2009/3/13, 2009/3/14

総パケット数 15,901,943
3,511,850
攻撃元データ
ハニーポット 112台
94台
数
ハニーポット なし（ダウンロードホスト ありIDと通信方向のみ）
収集期間
2007/11/1～2008/4/30 2008/5/1～2009/4/30
全レコード数 2,942,221
9

2010

2,470,766

honey001, honey002
2010/3/5～2010/3/11
22,486,674
92台
あり
2009/5/1～2010/4/30
1,162,093

MARS for MWS 2010
 CCC DATAset 2010のマルウェア検体を擬似環境で動作させて得た一次解析結果のデータ群
 解析結果の応用によるマルウェア解析技術の研究

10

MARS for MWS 2010
 分類情報検体ファイル名、ハッシュ値 動的解析結果


検体動作時のメモリダンプ、パケットダンプ、模倣DNSへのアクセス記録

 静的解析結果
11

strings結果、メモリダンプに対するVolatility Frameworkによる解析結果

D3M 2010
 クライアント型ハニーポットで収集したWeb感染型マルウェアに関するデータ群
 マルウェア解析技術、感染手法の検知技術の研究

12

D3M 2010
 マルウェア検体

3検体のハッシュ値
 Gumblar：8080系
 攻撃通信データ

Windows XP SP2
 2010年3月8、9、11日
 入り口URL
malwaredomainlist.com
 各日で205、180、172個

13133MB

研究用データセットの利用実績
CCC
DATAset

2008

2009

2010

マルウェア検体

576

攻撃通信データ
攻撃元データ

9

14

5

8

65MARS
D3M

総括
合計
14

1
422（8）

1128（15）22（10）

今後の課題 データ種類、収集環境の網羅性、期間、運用/構成情報 正常データも15

MWS201x これからが本番16

参考文献







MIT Lincoln Laboratory, DARPA Intrusion Detection Evaluation Data Sets, http://www.ll.mit.ed
u/mission/communications/ist/corpora/ideval/index.html
B. Sangster, et al.: Toward Instrumenting Network Warfare Competitions to Generate Labeled
Datasets, 18th USENIX Security Symposium CSET’09 (2009.08)
サイバークリーンセンター, https://www.ccc.go.jp/
畑田充弘, 他: マルウェア対策のための研究用データセットとワークショップを通じた研究成果の共有, 情報処理学会シンポジウムシリーズ, Vol.2009, No.11, CSS2009(MWS2009), pp.18 (2009.10)
畑田充弘: 研究用データセットを用いたマルウェア対策研究人材育成ワークショップ, 情報処理, Vol.51, No.3, pp.284-287 (2010.03)
竹森敬祐, 他: MWS Cup 2009, 情報処理, Vol.51, No.3, pp.296-299 (2010.03)
マルウェア対策研究人材育成ワークショップ, http://www.iwsec.org/mws/2010/
三輪信介, 他: 小規模攻撃再現テストベッドによる動作記録データセットの生成, 情報処理学会シンポジウムシリーズ, Vol.2009, No.11, CSS2009(MWS2009), pp.931-936 (2009.10)
N. Petroni, et al: FATKit: A Framework for the Extractionand Analysis of Digital Forensic Data fr
om Volatile System Memory, Digital Investigation Journal 3(4) (2006.12)
Mitsuaki Akiyama, et al: Design and Implementation of High Interaction Client Honeypot for D
rive-by-download Attacks, IEICE Transactions on Communication, Vol.E93-B No.5 pp.1131-113
9 (2010.05)

17