サンドボックス解析結果に基づく URL ブラックリスト生成についての一検討
畑田 充弘†

田中 恭之†

稲積 孝紀††NTT コミュニケーションズ株式会社
108-8118	  東京都港区芝浦 3-4-1 グランパークタワー16F{m.hatada, yasuyuki.tanaka, t.inazumi}@ntt.com
あ らま し マルウェア感染後の早期検知手法としては，システムログや通信トラフィックによる異常検知があるが，本稿では企業等におけるインターネット通信の代表例であるHTTP通信に着目し，出口対策としてのURLブラックリスト生成方式を提案する．サンドボックス解析結果から得られるマルウェアの通信先URLを用いるが，正常通信によるURLと区別が難しいものもあり，有効な手法としてテイント解析の研究が進んでいる．しかしながら，解析コストなどの課題もあるため，サンドボッ
クス解析結果をもとにシステム情報やユーザ情報の読み取りを条件とした簡易なURLブラックリス
ト生成方式について，事例を示すとともに課題を考察する．

A Study on Light-weight URL Blacklist Generation based on
Sandbox Analysis
Mitsuhiro Hatada†

Yasuyuki Tanaka†

Takanori Inazumi††NTT Communications CorporationGran Park Tower 16F, 3-4-1, Shibaura, Minato-ku, Tokyo 108-8118, JAPAN{m.hatada, yasuyuki.tanaka, t.inazumi}@ntt.com
Abstract To detect the malware infection in internal network, not only anomaly
detection but URL blacklist is also effective method that is focusing on HTTP traffic as
typical example of the Internet traffic in organizations. Although URL blacklist can beextracted from the result of the malware analysis by sandbox, some URL are difficult todistinguish them from normal traffic such as checking the Internet reachability to majorsite. Taint analysis can be effective approach for identifying the malicious URL such as
C&C or information leakage, but faces some technical challenges. In this paper, we
present a novel approach of URL blacklist generation based on whether the malware
read the system information or user credentials or not. We analyze and discuss the casesof our light-weight approach.

1 はじめにAV Comparatives によると、主要なマルウ
ェア対策ソフトが 90%以上の検知率で悪意のある Web サイトへのアクセスを検知・防御できていると報告がある[1]が，テストデータは独自に収集した URL（実行ファイルへの直接リンクやDrive-by download 含む）や手動で検索したURL，研究者から提供された URL 等をもとにしており，その網羅性については不明である．

一方で，感染を防ぐための「入口対策」の限界として，マルウェアの多様化，ゼロデイ脆弱性の悪用，脆弱性を持つソフトウェアの多様化，通常の通信に紛れたバックドア通信が挙げられており，「出口対策」の重要性が取り上げられている．
マルウェアへの感染を防止する入口対策には，ファイアウォールによる IP アドレスやポート番号，アプリケーション識別によるアクセス制御，侵入検知／防御システムによるシグネチャを用いた攻撃検知等がある．IP アドレスや URL のブラックリストを用いたアクセス制御が可能[3]であり，マルウェアへの感染を検知する出口対策としても利用できる．また Web プロキシでのURL フィルタも行われている[4]．
入口対策用 URL ブラックリストを生成する代表的な手法として，クライアント型ハニーポットによる悪性サイトの検知[5]がある．Web サイトに設置された exploit やマルウェアを検知するという明確な根拠を得ることができる．一方で，出口対策用 URL ブラックリストを生成するためには，静的解析によりマルウェアがアクセスする URL を抽出したり，動的解析により実際にマルウェアがアクセスする URL を記録したりする方式が考えられる．しかしながら，マルウェアがアクセスする URL にはインターネットの接続確認やグローバル IP アドレスの確認等も含まれているため，C&C 通信，マルウェアのダウンロード，外部への情報送信など不正なアクセス先URL を区別する必要がある．
本稿では，企業等におけるインターネット通信の代表例である HTTP 通信と，適用箇所が広い URL ブラックリストに着目し，特に出口対策としての URL ブラックリスト生成方式を提案する．

2 関連研究動的解析で得られるマルウェアの通信先には，①インターネット接続確認，②C&C 通信，③マルウェアのダウンロード，④スパムメール送信，⑤感染拡大のための攻撃，⑥DoS，⑦外部への情報送信、などが挙げられる．このうち，①はメジャーな Web サイトへのアクセスによって，インターネットへの接続確認や，IP アドレス確認サイトでのグローバル IP アドレスの確認等，正常な通信との区別が困難である．④は組織等のセキュリティ・ポリシーにも依存するが，Web メールによるスパムメール送信なども大量送信でなければ正常な通信との区別が困難である．⑤の攻撃先は近隣 IP アドレス帯や②によって指定される場合（⑥も同様）あるが，その対象が不正サイトであるとは言い難い．このようなトラフィックの特徴に基づく感染検知手法としては，ヘッダによるもの[6,7]，ペイロードによるもの[8]などがあるが，URL ブラックリストを生成するものではない．
ア ク セ ス 先が 不正サ イ ト と い え る ， つ ま り
URL ブラックリストとして利用可能な②③⑦について，②はシステムコールのビヘイビアグラ
フとデータフロー解析によって，外部への送信データや受信データに基づいて C&C 通信を判定するもの[9]がある．③はダウンロードしたファイルがマルウェアかどうかによって判定することができる．⑦はテイント解析[10, 11]によって外部へ感染ホストのシステムやユーザ固有の情報などの送信先を判定するものもある．特に②や⑦については，ビヘイビアグラフの網羅性や，テイントの伝搬漏れ・誤伝搬などとともに，解析コストが大きいことも課題である．

3 提案方式
出口対策用 URL ブラックリストを生成するために，関連研究等による厳密な不正サイトの判別も有効ではあるが，近年では多様な動的解析環境（サンドボックス[12]）が利用できることから，簡易な方式を提案する．

3.1

処理概要

図 1 に処理概要を記述する．マルウェアをサンドボックスで解析し，解析結果（レポート）を得

る．予め定義したチェック対象と一致した場合，当該マルウェアのアクセス先 URL を解析結果から抽出する．メジャーサイト等のホワイトリストに該当するものを除き，URL ブラックリストを得る．以下，各処理について述べる．

図 2 チェック対象の例

3.3

図 1 処理概要

3.2

チェック対象定義

感染ホストの識別情報や，感染ホストを使用しているユーザやアプリケーションの情報を，C&C サーバや他の外部サーバに送信するといったマルウェアの挙動がある．読み出す情報には以下のようなものがある．


OS のライセンス情報（シリアルナンバー）
ユーザ名
ブラウザの Cookie
ブラウザの閲覧履歴
メールサーバ設定(FQDN, IP アドレス，ID/パスワード)
FTP サーバ設定（FQDN，IP アドレス，ID/パスワード）

これらの情報は通常，レジストリやファイルとして記録されており，チェック対象として記録しておく．図 2 に具体的なチェック対象のレジスト
リとファイルの例を挙げる．

サンドボックス解析

マルウェアをサンドボックスで解析すると，その解析結果として JSON 形式や XML 形式等で出力される．MWS Datasets 2013 の FFRI
Dataset 2013[13]は，Cuckoo Sandbox を用いたマルウェア 2,644 検体の動的解析ログであり，解析対象 1 検体につき 1 ログファイル（JSON 形式）として提供されている．
図 3 に id=560 のログファイルの抜粋(一部 xでマスク済，以降の URL 等記載時にも同様の処理を行う)を示しているが，解析対象ファイルや解析環境のメタ情報，API コール，挙動のサマリとしてのアクセスしたレジストリやファイル，
ネットワークアクティビティ等が出力される．

3.4

URL 抽出FFRI Dataset 2013 のサンドボックス解析
結果から，network の http の uri を抽出する．
サンドボックス解析結果とチェック対象が一致（あるいは一致した件数が N 件以上）等の条件で，チェック対象の読み出し時刻以降のアクセスであることを条件とする．ただし，uri には図 4に示すような，URL のスキームとホスト名が重複しているもの（id=1013）や，DGA（DomainGeneration Algorithm）[14]のようなホスト名
だが，ホスト名に対する DNS クエリのログ（ network の dns ） も な い 場 合 も あ る（id=1027）．

図 4 URL 抽出時の注意点の例

3.6

ブラックリストサンドボックス解析結果がチェック対象の情報と一致するものがあった場合に，当該マルウ
ェアの通信先 URL から，ホワイトリストに一致した URL を除外してブラックリストとする．

4 データセットを用いた事例調査
図 3 サンドボックス解析結果例

3.5

ホワイトリスト定義

インターネット接続確認のためのメジャーなWeb サイト（http://www.google.com）や，グローバル IP アドレス確認のための Web サイト（http://checkip.dyndns.org/）をホワイトリストとして予め定義しておく．

提案方式の評価に向けて，FFRI Dataset
2013 を対象に，基礎データの集計結果と事例を挙げ考察する．

4.1

集計

FFRI Dataset 2013 のサンドボックス解析
結 果 の う ち ， 4 件 （ id=1199, 1496, 1578,2567）については JSON 形式のファイルが途中で切れているため集計からは除外し，2,640検体についての各集計値を表 1 に示す．
表 1 基礎データ
項目件数
256
HTTP 通信ありの検体
1,628
延べ URL628
ユニーク URL
147
ユニーク FQDN
本データセットにおいては，約 9%の検体のみで HTTP 通信を行っている．延べ URL 数に対するユニーク URL 数は約 38%となっており，同一の URL に複数回アクセスしている検体や，同一あるいは URL クエリパラメータが異なるURL へアクセスしている複数の検体がある．
1 検体あたり 90 秒間の解析時間では不十分（短い）であったり，解析環境を検知して動作を停止する検体があったり，検体を取得してから動的解析までの時間経過によってアクセス可能な通信先が減少したりするため，これらを解決することにより抽出可能な URL 数を増やすことができる可能性がある．

4.2

URL ブラックリスト生成例 1

ブラウザの Cookie や履歴の情報をファイル読み出しのチェック対象とした場合，id=1565 な
どが URL 抽出対象となり，ブラックリストが生成される（図 5）．パス部が{3 桁の数字}/{3 桁の数字}.html というパターンの URL があることがわかる．当該検体以外でもいくつかの検体で同様のパターンが確認できた．

図 5 チェック対象がファイルの場合の例

4.3

URL ブラックリスト生成例 2

インストール済ソフトウェアの情報をレジスト

リ読み出しのチェック対象とした場合，id=1690が URL 抽出対象となった（図 6）．ホスト名がIP アドレスの URL も当該検体以外で見られ，中には 80 番ポートを使用せず，他のポートを指定した URL アクセスを行っている検体もある．
なお，プロダクトキーの読み出しは本データセッ
トでは見られなかった．

図 6 チェック対象がレジストリの場合の例

5 課題
ここまでで，提案方式とデータセットを用いた事例調査結果を述べたが，本提案方式に関わる主な課題を以下に示す．
(ア) チェック対象のメンテナンス
OS のバージョンやインストールされているアプリケーションの種類によって，チェック対象とすべきファイルやレジストリが変わってくる．また，プロダクトキーや各種設定情報など何をチェック対象とすべきかも，その利用価値や実際のマルウェアの挙動を分析しながらチェック対象をメンテナンスしていく必要がある．
(イ) ホワイトリストのメンテナンス
正常通信に紛れてマルウェアが通信を行うことを考えると，メジャーサイトであってもマルウェアが不正利用を行う場合がある．また，マルウェアがインターネット接続確認を行う場合，メジャーサイトであるとは限らないため，チェック対象のメンテナンスと同様に実際のマルウェアの挙動を分析しながらメンテナンスしていく必要がある．
(ウ) サンドボックス解析結果の詳細度
本研究で用いたデータセットには，アクセスしたファイルやレジストリの一覧だけではなく，API コールの時刻やプロセスツリーなど詳細なデータが利用できるが，その詳細度はサンドボックスに依存する．また，サンドボックスのインターネットへの接続条件や，マルウェアが備える解析環境の回避技術に対してシステム固有の情報をランダム化する等の実現レベルによって，解析により取得可能な情報量が大きく変わってくることが考えられる．
(エ) ブラックリストとしての確からしさ
今回の提案方式で生成される URL ブラックリストが，テイント解析等による従来手法と比較してどの程度悪性サイトを判定できているのかを確認する必要がある．また，ドメインや IP アドレスのレピュテーション情報などとの比較も一つの方法として考えられる．
(オ) 攻撃耐性
提案方式で URL ブラックリストを生成し検知・防御に活用する場合に、回避策として，サンドボックスで解析するマルウェア検体の役割分担により，ある検体で情報収集を行って感染ホスト上にファイルとして記録し，他の検体がそのファイルを読み出して外部へ送信する等が考えられる．

http://www.ipa.go.jp/security/vuln/newattack.ht
ml (参照 2013/08/19)[3]

PaloAlto

Networks:

URL

Filtering,https://www.paloaltonetworks.com/products/fea
tures/url-filtering.html (参照 2013/08/19)[4]

DigitalArts

i-Filter：，

http://www.daj.jp/bs/i-filter/ (参照 2013/08/19)[5]

Akiyama,M.,

etal.:

DesignandImplementation of High Interaction Client
Honeypot
IEICE

for

Drive-by-download

Transactions

onAttacks,

Communication,

Vol.E93-B No.5 pp.1131-1139, May 2010.
[6] 川元，他：マルウェア感染検知のためのトラヒック
デ ー タ に お け る ペ イ ロ ー ド 情報の 特徴量評価，MWS2011(2011 年 10 月)[7] 市野，他：トラヒックの時系列データを考慮した
AdaBoost に基づくマルウェア感染検知手法，情報処理学会論文誌 53(9) 2012 年[8] 大月，他：マルウェア感染検知のためのトラヒック
デ ー タ に お け る ペ イ ロ ー ド 情報の 特徴量評価，
MWS2012 (2012 年 10 月)[9] Jacob, G., et al.: Jackstraws: Picking

6 まとめCommand and Control Connections from Bot

本稿では，マルウェアのサンドボックス解析結果をもとに，システム情報やユーザ情報に関するファイルやレジストリの読み取りを条件とした，簡易な URL ブラックリスト生成方式を提案した．そして FFRI Dataset 2013 を用いた事例
調査の結果を示すとともに，課題の考察を行った．今後は課題(ア)に対して，精査したチェック対象をもとに，テイント解析結果との比較など有効性の評価を行っていく．

Traffic, 20th Usenix Security Symposium. USA,August 2011.
[10] Kang, G. M., et al.: DTA++: Dynamic Taint
AnalysiswithTargetedControl-Flow

Propagation, Proceedings of the 18th Annual
Network and Distributed System Security
Symposium, Feb. 2011[11] 川古谷，他：テイント伝搬に基づく解析対象コー
ドの追跡方法，MWS2012 (2012 年 10 月)[12] Egele, M., et al.: A survey on automated

参考文献

dynamic[1] AV Comparatives: Whole Product Dynamic

tools. ACM Comput. Surv. 44, 2, Mar. 2008

“Real-World” Protection Test – (March-June[13] 神薗，他：マルウェア対策のための研究用デー2013),

タセット 〜MWS Datasets 2013〜，MWS2013

http://www.av-comparatives.org/wp-content/upl(2013 年 10 月)

oads/2013/07/avc_prot_2013a_en.pdf[14] TrendLabs SECURITY BLOG, マルウェア( 参 照

malware-analysistechniquesand

2013/08/19)

解 析 の 現 場 か ら -06[2] IPA：「新しいタイプの攻撃」の対策に向けた設

http://blog.trendmicro.co.jp/archives/3799 (参照

計 ・ 運 用 ガ イ ド 改 訂 第2版 ，2013/08/19)「 DGA 」 ,