Operation So-seki:
You Are a Threat Actor. As Yet You Have No Name.

Jan. 25 th , 2024
Ryo Minakawa, Kaichi Sameshima, Atsushi Kanda
NTT Communications / N.F.Laboratories© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

$whoami

Atsushi Kanda

Ryo Minakawa@NTT Communications@N.F.Laboratories

Kaichi Sameshima@NTT Communications© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC20242

⽬次• Operation So-seki• 脅威アクターのプロファイル• DDoS基盤と攻撃能⼒の変遷・分析• DDoS活動の変遷・分析• フロー情報を活⽤した攻撃基盤探索• ハクティビストと脅威情報共有• まとめ© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC20243

ハクティビストは⾃分たちに関連する情報発信を監視しています© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

4

安易にオープンな場（SNSなど）でハクティビストの話題を取り上げないでください
本講演とアクターの実名を紐付けた情報の拡散は厳に慎んでください© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

5

⽬次• Operation So-seki• 脅威アクターのプロファイル• DDoS基盤と攻撃能⼒の変遷・分析• DDoS活動の変遷・分析• フロー情報を活⽤した攻撃基盤探索• ハクティビストと脅威情報共有• まとめ© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

6

Overview: Operation So-sekiと呼ばれるサイバー脅威アクターの活動報告••

Telegramを中⼼に活動する親ロシア派DDoS攻撃煽動者の追跡など•
多⾓的観点からの分析を実施•Key Takeaways:•

DDoSインフラの追跡および分析⼿法•⻑期的な複数視点でのDDoSアクター考察•

フロー情報を活⽤したC2探索の現状•

ハクティビスト対応についての学び© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

7

⽬次• Operation So-seki• 脅威アクターのプロファイル• DDoS基盤と攻撃能⼒の変遷・分析• DDoS活動の変遷・分析• フロー情報を活⽤した攻撃基盤探索• ハクティビストと脅威情報共有• まとめ© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

8

会場限定公開© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

9

⽬次• Operation So-seki• 脅威アクターのプロファイル• DDoS基盤と攻撃能⼒の変遷・分析• DDoS活動の変遷・分析• フロー情報を活⽤した攻撃基盤探索• ハクティビストと脅威情報共有• まとめ© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

10

会場限定公開© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

11

⽬次• Operation So-seki• 脅威アクターのプロファイル• DDoS基盤と攻撃能⼒の変遷・分析• DDoS活動の変遷・分析• フロー情報を活⽤した攻撃基盤探索• ハクティビストと脅威情報共有• まとめ© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

12

会場限定公開© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

13

⽬次• Operation So-seki• 脅威アクターのプロファイル• DDoS基盤と攻撃能⼒の変遷・分析• DDoS活動の変遷・分析• フロー情報を活⽤した攻撃基盤探索• ハクティビストと脅威情報共有• まとめ© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

14ISPにおけるフロー情報の利⽤を巡る動向• 2021年『電気通信事業者におけるサイバー攻撃等への対処と通信の秘密に関するガイドライン（第6版） 』• 平時におけるフロー情報を利⽤したC2特定が電気通信事業者の正当業務⾏為として整理された• 「C2サーバの特定」までがスコープ• 2022年 『国家安全保障戦略』• いわゆる“アクティブ・サイバー・ディフェンス”の導⼊に向けた検討事項として、通信事業者によるフロー情報の活⽤を意図した取組が記載された

これらを背景にOperation So-sekiにおいてもC2追跡にフロー情報を活⽤© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

15

会場限定公開© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

16

フロー情報の限界• 網羅性︓観測できるのは、あくまでインターネットトラフィック全体のサブセット• 収集ポイントの制約︓
フロー収集ポイントを通らない通信は全く⾒えない• サンプリングの制約︓
確率的に⾒えない通信がある（通信量の少ない通信は⾒逃されやすい）• 情報量︓フローの基本単位は5タプル※• フロー情報のみでC2通信と断定することはかなり難しい『「アクティブ・サイバー・ディフェンス」事始め〜攻撃者プロファイリングの意義について〜』（JSAC2023）より

フローからしか得られない有益な情報はあるが、決して銀の弾丸ではない
様々なコンテキスト情報との複合で蓋然性を⾼めることが肝要© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024※ 5タプル＝送信元IP、送信元ポート、宛先IP、宛先ポート、プロトコル17

⽬次• Operation So-seki• 脅威アクターのプロファイル• DDoS基盤と攻撃能⼒の変遷・分析• DDoS活動の変遷・分析• フロー情報を活⽤した攻撃基盤探索• ハクティビストと脅威情報共有• まとめ© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC202418

脅威情報の発信・拡散⾏為が⽣む負の効果

攻撃技術情報の公表

被害情報の拡散TTPs変更攻撃者⾃⾝の成功体験強化
さらなるプロパガンダへの利⽤© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

19

会場限定公開© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

20

ハクティビスト特有の事情• 最終⽬標=「⾃分たちの主張を広く知らしめて世論に影響を与える」• DDoSは関⼼を集めるための⼿段• ⾃分たちのメッセージがどれだけ世の中に伝わるかに関⼼••

⾃分たちの存在/攻撃が認識されているか
DDoS被害の話題性

ハクティビストは⾃分たちの存在・活動をもっと知ってもらいたい

脅威情報を公にする⾏為と特に相性が悪い© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

21

会場限定公開© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

22

ハクティビスト対応についての学び• 脅威アクターの性質に合わせた情報共有• 攻撃者/防御者双⽅のコストとベネフィット••

脅威インテリジェンスの4Aに⽴ち返る
•
•
•
•

•

公の場での情報共有はハクティビストと特に相性が悪い

Accurate（正確であること）
Audience Focused（消費者視点であること）
Actionable（意思決定・アクションにつながること）
Adequate Timing（適切なタイミングであること）

攻撃者が得る
ベネフィット

防御者に課すコスト

防御者が得る
ベネフィット

攻撃者に課すコスト

情報の⼆次的共有にも注意を払う•

安易な情報拡散は攻撃者を利する⾏為© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

23

⽬次• Operation So-seki• 脅威アクターのプロファイル• DDoS基盤と攻撃能⼒の変遷・分析• DDoS活動の変遷・分析• フロー情報を活⽤した攻撃基盤探索• ハクティビストと脅威情報共有• まとめ© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

24

まとめ•

親ロシア派ハクティビスト•

Key Takeaways:•の⻑期追跡DDoSインフラの追跡および分析⼿法••⻑期的な複数視点でのDDoSアクター考察••

フロー情報を活⽤したC2探索の現状••

フロー情報の価値と限界

ハクティビスト対応についての学び•

脅威アクターの性質に合わせた情報共有© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024

25

Operation So-seki:
You Are a Threat Actor. As Yet You Have No Name.

Thank you︕

Your comments & feedbacks
are always welcome© 2024 NTT Communications Corporation, N.F.Laboratories Inc.

JSAC2024