複数観測データを用いたボットネットの活動分析に関する一考察
畑田 充弘†

寺田 真敏‡NTT コミュニケーションズ株式会社†〒163-1421 東京都新宿区西新宿 3-20-2 東京オペラシティタワー21F‡

中央大学大学院 理工学研究科〒112-8551 東京都文京区春日 1-13-27
概要 近年，様々な経路での感染活動や，大量のスパムメール送信，DDoS 攻撃，フィッシングサイト開設など，ボットネットに起因する不正行為が社会的問題になっており，その豊富な機能や高度な運用によって実態の把握が困難であるといわれている．ボット
ネットの活動傾向を把握するために，本稿では，不正行為に関わる複数の観測データを用いたボットネットの活動分析結果について報告する．
キーワード ボットネット，スパムメール，フィッシング，ブラックリスト

A Study of Botnet Activity Analysis using Multiple Monitoring Data
Mitsuhiro HATADA†

Masato Terada‡

NTT Communications Corporation†

Tokyo Opera City Tower 21F, 3-20-2 Nishi-Shinjuku, Shinjuku-ku, Tokyo, 163-1421 JAPAN‡Graduate School of Science Engineering, Chuo University
1-13-27 Kasuga, Bunkyo-ku Tokyo 112-8551, Japan
Abstract Today, botnet activities are major concern such as various infection method,
massive spreading E-mail spam, DDoS attacks and construction of phishing site. And
it is hard to understand the activities of botnet by its rich functions and high practicaloperation. This paper shows some results of analysis about botnet activities using
multiple monitoring data.
Keywords Botnet, Spam Mail, Phishing, Black List1.

はじめにといった視点で数多くの研究が行われている．

近年，様々な経路での感染活動や，大量のスまた，広域ネットワークから様々なレイヤの情パムメール送信，DDoS 攻撃，フィッシングサ報を収集して分析を支援する検討も行われてイト開設など，ボットネットに起因する不正行いる[2]が，不正行為に関わる複数の異なる観為が社会的問題になっている．ボットネットは測データを用いたボットネットの活動傾向のボットプログラムに感染した多数のコンピュ分析例は少ない．本稿では，これらの分析例をータと C&C と呼ばれる制御サーバで構成され， 示し考察を行う．
Herder と呼ばれる攻撃者の命令により前述のような不正行為やボットプラグラム自身の機2.

観測データ

能追加等が行われ，活動傾向の把握が困難であボットネットの活動傾向を把握するためのるといわれている．一方で，文献[1]で整理さ観測データには，自らハニーポットを設置するれているように，ボットプログラムを含むマル等のデータ収集環境を構築してログを収集しウェアの感染検知や動的／静的解析，広域観測た収集データと，インターネット上で公開されているようなブラックリストとして収集でき広告サイトやフィッシングサイトへの誘導る公開データに大別できる(図 1)．一般に，収を目的として，ボットに感染した後に指令を受集データは，詳細なログを得ることができるが， けて大量にスパムメールを送信したり，その踏ボットネットの活動傾向を分析する上では，収み台となったりすることが知られている．スパ

集環境の網羅性が課題となる．公開データは，ムメール収集サーバを構築し，スパムメールのその元となるデータの収集方法や公開方法に発信元と誘導先の IP アドレスを観測データと起因して，収集データと同様に網羅性の課題にして利用する．

加えて，信憑性や即時性が課題となる．

(1) 発信元 IP アドレス
収集した各スパムメールのヘッダから攻撃ホスト

収集データ
ハニーポットダウンロードホスト

スパムメール
収集サーバ

スパムメール
送信ホスト

定点観測システム

インターネット
センサー

スを抽出し，観測データとして記録した (観測データ No.2-1)．ヘッダ改ざんにより偽装された IP アドレス等も含んでいる可能性もあるが，本稿では偽装がないものとして調査を実施した．

(2) 誘導先 IP アドレス

センサー

収集した各スパムメールの本文に含まれるマルウェア
感染サイト
フィッシングサイト

Received:フィールドを元に発信元 IP アドレ

公開データ

URL を抽出し，直後に本文中の URL に基づ

ブラックリスト提供サイト

いて，DNS クエリにより得た IP アドレスを観図 1．観測データ測データとして記録した (観測データ No.2-2)．

2.3. マルウェア感染ブラックリスト

これらの観測データに関わる課題は今後の従来からのリモート攻撃型の感染活動とは検討とし，本稿では，これらの複数の観測デー異なり，Web ブラウザの脆弱性を突いて感染タを組み合わせたボットネットの活動傾向のする Web 感染型マルウェアもボットネットの分析結果について報告する．以下，本稿で使用感染活動の一つとして問題になっており実態した各観測データについて述べる．

調査などが行われている[4]．このようなマルウェア感染への対策の一例として，マルウェア

2.1. 感染活動ログ
総務省と経済産業省の共同プロジェクトとして，ISP を通じたボット感染者への注意喚起に感染させられるサイトの発見者によって，登録及び検証されたブラックリストが公開されている．

等を行っているサイバークリーンセンター

今回はその一例として，1 時間毎に更新され(CCC)[3]から提供された CCC DATAset 2008

る Malware Block List[5]を情報源として，1の攻撃元データを用いる．攻撃元データには，

日 2 回(日本時間 0 時及び 12 時)取得し，ブラ多数のハニーポットで収集したマルウェアダ

ックリストの取得後，都度リスト中の URL にウンロード時のタイムスタンプやダウンロー基づいて，DNS クエリにより得た IP アドレス

ドホスト IP アドレス，ウイルス名称等が含まを観測データとして記録した (観測データ

れている (観測データ No.1)．

No.3) ．

2.2. スパムメールログ

2.4. フィッシングサイトブラックリスト
インターネット利用者にとって直接的な被害となる，オンラインバンクの ID／パスワー

測データのユニーク IP アドレス一致数とそのド等の搾取のために，数多くのフィッシングサ国別分布を表 2 に示す．

イトが日々開設されており，発見者によって，
表 1．観測データのユニーク IP アドレス数
No.

れている．

ユニークIP アドレス数

今回はその一例として，PhishTank[6]を情報源として，
1 日 2 回(日本時間 6 時及び 18 時)，VALID かつ ONLINE 状態の最新の 1,000 件を取得し，2.3 同様に都度 IP アドレスを観測データとして記録した (観測データ No.4) ．

2.5. 定点観測データ

1,155905
9,463
52,498

表 2．観測データ No.1 との一致数及び国別分布
No.

一致数

2-175

2-234717

国（数）活動等を把握するための情報として有用であ

3,690

分析結果
各観測データの分析対象期間は 2008 年 4 月

分析対象期間において，観測データ No.1 のイ
ベント数は 406,555 件，No.2-1 及び No.2-2 の元となるスパムメール収集数は 1,534,057 通，
ユニークな誘導先 URL 数は 671,823 件，No.3(1) 観測データ No.1 と No.2-1一致した 75 個の IP アドレス全てについて，日単位での感染数とスパムメール受信数の推移から，増減の傾向に類似性が見える（図 2）．のユニークな URL 数は 1,713 件，No.4 のユ

感染活動ログ(No.1)と各観測データ感染活動ログ(No.1)と複数観測データ

4/ 9

ドレスと時間軸による関連付けを行う．

4/ 7

いて，全ての観測データの共通項となる IP ア

4/ 5

分析の方針として， 下記の組み合わせにおNo.2-1(y2)4540353025201510504/ 3

ト数は 264,970 件であった．

No.1(y1)
1801601401201008060402004/ 1

ニークな URL 数は 22,772 件，No.5 のイベン

4/ 111 日から 2008 年 4 月 30 日の 1 ヶ月間とした．

4/ 29

3.

5

4/ 27No.5) ．

4/ 25

ポート番号が含まれている (観測データ

4/ 23

スタンプや発信元及び宛先の IP アドレス及び

4/ 21

る．定点観測データには，攻撃検知時のタイム

JP(26), US(6), RU(6),RO(5), MX(5), Other(27)KR(5), CN(1), JP(1)IL(1)KR(4), CN(1), PH(1),US(1)
JP(3054), CN(153),
TW(94), KR(58),US(53), Other(278)4/ 19ーを分散配置し，脆弱点探索のためのスキャン

2-2
34
5

4/ 17

テム ISDAS[7]は，インターネット上にセンサ

37,914412,953

4/ 15

JPCERT/CC が運用している定点観測シス

12-1

4/ 13

登録及び検証されたブラックリストが公開さ

図 2．感染数とスパムメール受信数

3.1. 感染活動ログと各観測データ
まず，概況として各観測データから抽出した(2) 観測データ No.1 と No.2-2

ユニークな IP アドレス数を表 1 に示す．
また，一致した 7 個の IP アドレスのうち，No.4

分析対象期間において観測データ No.1 と各観と重複しない IP アドレスが 2 個存在した．このうち，例として 1 個の IP アドレスについて，日単位での感染数と誘導先 URL が含まれるス

感染数は少なく，12 種類の URL の BL 登録

パムメール受信数の推移を図 3 に抽出した．

期間に対してまばらであるのは，ブラックリス

図 3 から感染活動と誘導先が短い期間においトが公開されているため，攻撃者側もリストにてのみ連動して利用されていることがわかる．

基づく対策を回避していることが考えられる．

誘導先 URL は 2 種類あり，TLD(トップレベ

なお，12 種類の URL は TLD，SLD が同一でルドメイン)が異なるが SLD(セカンドレベルあり，第 3 レベルドメインあるいはホスト部がドメイン)は同一のものであった．

異なる URL であった．

(4) 観測データ No.1 と No.4一致した IP アドレスのうち，No.2-2 とも重No.2-2(y2)600

複しない IP アドレスは 2 個存在した．このう

500

ち，例として 1 個の IP アドレスについて，日400
300

単位での感染数とブラックリストにユニーク

200

な URL が登録されていた期間をそれぞれ図 5100に示す．

4/ 294/ 274/ 254/ 23

フィッシングサイトとしての BL 登録期間は短期間ではあるが，分析対象期間を通して感

図 3．感染数とスパムメール受信数

染活動が確認できる．

(3) 観測データ No.1 と No.3

No.1

4/ 174/ 194/ 214/ 234/ 254/ 274/ 294/ 194/ 214/ 234/ 254/ 274/ 29No.4

18014/ 1324/ 94/ 1No.1

4/ 114 に示す．

4/ 7

URL が登録されていた期間(BL 登録期間)を図4/ 5位での感染数とブラックリストにユニークな

180160140120100806040
2004/ 3一致した 1 個の IP アドレスについて，日単

4/ 15

4/ 214/ 194/ 17

4/ 15

4/ 134/ 94/ 114/ 74/ 54/ 34/ 104/ 17

No.1(y1)
1816
1412
10864
2090

4/ 29

4/ 27

4/ 25

4/ 234/ 214/ 194/ 17

4/ 154/ 134/ 114/ 94/ 74/ 54/ 34/ 14/ 154/ 134/ 114/ 94/ 74/ 504/ 34/ 10

図 5．感染数と BL 登録期間

No.3131211109876543210(5) 観測データ No.1 と No.5一致した IP アドレスのうち，同一日に出現した IP アドレスの第 1 オクテットと第 2 オクテットによる頻度を No.1 と No.5 について算図 4．感染数と BL 登録期間

4/ 294/ 274/ 254/ 234/ 214/ 194/ 174/ 154/ 134/ 114/ 94/ 74/ 54/ 34/ 1

出した結果を図 6 に示す．これより，12x.10x付近のホスト出現が共通して多いことが確認できる．この出現頻度傾向は，観測データ

No.1(図 7)だけの結果とは異なる．

また，観測データ No.1 では全て同一ハッシュ値のマルウェアを 80/TCP でダウンロードしており，4 月 7 日時点でトロイの木馬に分類される TROJ_MUTANT.AD として検出されるようになったものである．
KR の 1 個の IP アドレスについて，日単位で感染数と誘導先 URL が含まれるスパムメー
ル受信数の推移，及び URL がフィッシングサ
イトのブラックリストに登録されていた期間
を図 8 に示す．3 種類の観測データはともに 4月前半に分布しており，誘導先 URL の 31 種類はフィッシングサイトのブラックリストに登録されていた URL とは異なるものであった．
誘導先 URL31 種類の内，21 種類は 1 日のみ
誘導先 URL として用いられていた．また，KRの 4 個の IP アドレスについての誘導先 URLやフィッシングサイトのブラックリスト URLに登録されていた URL には，共通するドメイン，FQDN が多数存在する．
No.1(y1)

3000
2500
2000
1500
1000
500
4/ 194/ 214/ 234/ 254/ 274/ 294/ 214/ 234/ 254/ 274/ 294/ 174/ 194/ 154/ 134/ 94/ 114/ 74/ 504/ 1(上段：観測データ No.1 下段：観測データ No.5)

35004/ 3

図 6．同一日での出現頻度

No.2-2(y2)908070605040
3020100No.4

1210864

図 7．観測データ No.1 の出現頻度

2(1) 観測データ No.1，No.2-2，No.4
5 個の IP アドレスが，観測データ No.1，No.2-2，No.4 で一致した．Whois 情報による

4/ 174/ 154/ 134/ 114/ 94/ 74/ 54/ 33.2. 感染活動ログと複数観測データ

4/ 10

図 8．感染数，スパム受信数，BL 登録期間

(2) 観測データ No.1，No.2-1，No.5と 4 個の IP アドレスは KR の同一 netname

7 個の IP アドレスが観測データ No.1，であり，1 個の IP アドレスは CN であった．

No.2-1，No.5 で一致した．そのうちの 1 個のIP アドレスについて，それぞれの観測データるホスティングサーバ群や，DNS による負荷における検知状況及び No.5 の各センサーにお分散されたサーバ群などが，ボットネットの運ける検知状況を図 9，図 10 に示す．スパムメ用に適しているため，攻撃の対象になりやすいール発信元としての同ホストの利用に比べて，ことが十分に考えられる．加えて，URL 短縮

マルウェアのダウンロードや感染に至る攻撃サービスや検索エンジンを利用した Web ペー元としての利用頻度が高い．これは前者がスパジのリダイレクト等を含む URL の多段リンク

ムメール送信依頼という受動的な活動であり，構造も同じ目的からボットネットの運用に適

後者はボットネットの支配下に置くホストのしている．

拡大のため，ある程度能動的な活動であること

今後，ますます巧妙な手法によりボットネッが理由として考えられる．また，No.5 の各セトの活動傾向の把握，対策が困難になってくる

ンサーにおける検知状況によると，当該 IP アことが十分に考えられる．観測データの拡充やドレスを攻撃元としたイベント検知は sid A 及

網羅性の検証に加えて，URL や IP アドレスにび sid B の 2 センサーのみであったことから，基づくブラックリストを複数の観測データに攻撃活動自体はある程度局所的なものである基づいてリアルタイムに更新管理し，各種フィと推定できる．

ルタ等の対策に活用する仕組みの検討が必要になると考えている．
謝辞

本研究の遂行にあたって，定点観測データならびに研究用データセットを提供頂いた
JPCERT/CC とサイバークリーンセンターに感謝する．
図 9．各観測データにおける検知状況

参考文献[1] 藤原将志，他：マルウェアの感染方式に基づく分類に関する検討，情報処理学会 CSEC
研究報告 No.21 p177-182(2008 年 3 月)
[2] 鬼頭哲郎，他：マルチレイヤ型広域モニタリングに関する検討，情報処理学会 CSEC 研
究報告 No.16 p279-284(2007 年 3 月)
図 10．観測データ No.5 の各センサーにおける検知状況

4.

[3] サ イ バ ー ク リ ー ン セ ン タ ー ，
https://www.ccc.go.jp/[4] 秋山満昭，他：クライアントハニーポットを用いた Web 感染型マルウェアの実態調査，おわりに
本稿では，ボットネットの活動の一端と考えられるインターネット上の不正行為に関わる複数の異なる観測データを用いて，IP アドレスと時間軸を中心に行った分析例を示した．
攻撃者にとっては，対策を困難にすることは望ましいことであり，バーチャルドメインによCSS2008(2008 年 10 月)[5]Malware
Block
List，
http://www.malware.com.br/index.shtml[6] PhishTank，http://www.phishtank.com/[7] ISDAS，http://www.jpcert.or.jp/isdas/