Page 1

A-2.
典型的な標的型攻撃手法の紹介と実習
明治大学
服部 裕之
公益社団法人 私立大学情報教育協会

Page 2

このセッションの目的

標的型攻撃の手法を実習にて確認する（１） 標的型攻撃における攻撃パターンを理解する（２） RAT型ウィルスの感染によるリスクを理解する

公益社団法人 私立大学情報教育協会

Page 3

メニュー
1.
2.
3.
4.

標的型攻撃の流れ
マルウェア感染のメカニズム
RATを用いた内部システム調査
内部感染の拡大
1.

5.
6.

Pass-the-Hash攻撃実習
まとめ

公益社団法人 私立大学情報教育協会

Page 4標的型攻撃の流れ

公益社団法人 私立大学情報教育協会

Page 5

標的型攻撃の流れ① 計画立案② 攻撃準備③ 初期潜入ここを実習

標的となる組織の情報を収集、準備を行う。
標的型メール等でウィルス(主にRAT)を送信、感染。SNSやUSBメモリを使う場
合も④ 基盤構築攻撃者
C&Cサーバ
①②
計画立案・
攻撃準備

③
初期潜入

RAT経由で各種ハッキングツー
ルを送信⑤ 内部侵入調査③のツールを用いてさらに内部システムの侵入を行い調査を進める⑥ 目的遂行
⑦ 再侵入

最終目的の達成

④基盤構築

標的側組織
⑤内部侵入・
調査

⑥目的遂行

RAT
感染

情報漏洩
破壊

公益社団法人 私立大学情報教育協会

Page 6③ 初期潜入 標的型メール

業務連絡を装ったメール
取引先を装ったメール
冠婚葬祭を装ったメール
苦情を装ったメール（人事、給与）（案件、見積り）（社員、親族）（苦情窓口への攻撃）

表題： 貴学学生の喫煙行為について
添付：
証拠写真
私情協大学 御中。
私は御校の近隣に在住するものです。
最近、貴学と思われる学生の路上喫煙がたいへん目立ちます。
今朝撮影した写真を添付しますので、学生をよろしくご指導ください。
公益社団法人 私立大学情報教育協会

Page 7④ 基盤構築 ～ ⑤ 内部侵入・調査
 ネットワークの調査

標的組織の内部ネットワークシステムを把握する
nmap等
 アクセス権限の入手（Pass the Hash攻撃等）

各種システムのアクセス権限を入手する
lslsass, gsecdump （ハッシュ値入手）
keimpx, Pshtoolkit, Metasploit （偽装アクセス） 遠隔操作ツール

各種システムを遠隔操作するための管理ツールを仕込む
PsTools等
 バックドア

RAT以外の、より発見が困難なバックドアを作成する
HTran

公益社団法人 私立大学情報教育協会

Page 8

マルウェア感染のメカニズム

公益社団法人 私立大学情報教育協会

Page 9標的型メールの種別割合
添付ファイル型
悪意のあるファイルが添付。受信者が開くことによってウィルスに感染。

ＵＲＬリンク型
メール本文中にURLリンクが記載。受信者がクリックすることでウィルスに感染。

やりとり型
最初は添付やURLを含まない通常のメールをやりとり。相手が油断したところで、悪意のあるファイルを添付またはＵＲＬを記載。

出典： 「標的型攻撃メールの傾向と事例分析＜2013年＞」、ＩＰＡ
https://www.ipa.go.jp/files/000036584.pdf

公益社団法人 私立大学情報教育協会

Page 10添付ファイル型 ～何が添付されている？～

出典： 「標的型攻撃メールの傾向と事例分析＜2013年＞」、ＩＰＡ
https://www.ipa.go.jp/files/000036584.pdf

公益社団法人 私立大学情報教育協会

Page 11

ショートカットを悪用した手口
 添付ファイル(ZIP)を解凍すると、ショートカット(.lnk)

ファイルが表示される。
 ショートカット(.lnk)ファイルを開くと、マルウェアに感染する。
添付ファイル(zip形式)クリック
解凍
ショートカットを示す記号

Wordが起動し、オリジナルのファイルが表示される
マルウェアプログラムが実行される公益社団法人 私立大学情報教育協会

Page 12

マルウェア感染のメカニズム (例：H-worm)（通常属性ファイル）
ショートカットのリンク先：
C:¥Windows¥system32¥cmd.exe /c start worm.vbs&start 重要なファイル.docx&exit【意味】(1) worm.vbsを起動し、(2) 重要なファイル.docx を開く

オリジナルファイル (word)（Hidden + System属性ファイル）

マルウェアプログラム (vbs)【動作】(1) Windowsのレジストリを書き換え、メモリに常駐。
(2) 既存USBメモリに対して、以下の操作を行う。
(2-1) オリジナルのファイルを、同名のショートカットに書き換える。
(2-2) マルウェアプログラム本体をUSBメモリにコピー。
(2-3) オリジナルのファイルとマルウェアプログラム本体を「保護されたオペレーティングシステムファイル属性」に変更。

（３） RATの動作を開始。C&Cサーバと接続し指示を待つ。

公益社団法人 私立大学情報教育協会

Page 13

ＲＡＴを用いた内部システム調査

公益社団法人 私立大学情報教育協会

Page 14

RATとは
RAT = Remote Admin Tool (?)
Remote Access Trojan(?)
 「バックドア通信」を行うウィルスの総称


インターネット上の攻撃側サーバ(C&Cサーバ)からの指示により、ウィルスの拡散や情報収集の足がかりに。
（例） H-Worm、 Bozok、Poison Ivy
RAT
感染
ルータ／Firewall

RAT
コントローラ

仮想的な通信路攻撃側サーバ（C&Cサーバ）
インターネット

感染側

指示応答

学内ネットワーク

公益社団法人 私立大学情報教育協会

Page 15

H-worm

RATの一種。
コントローラ機能 (C&Cサーバ)
マルウェア作成ツール (H-worm)

http://www.fireeye.com/blog/technical/threatintelligence/2013/09/now-you-see-me-h-worm-by-houdini.html②RAT感染側プログラム（マルウェア）の作成①RATコントローラとして動作

H-worm
C&CサーバH-wormマルウェア

感染側

学内ネットワーク

攻撃側

インターネット

公益社団法人 私立大学情報教育協会

Page 16

RATの機能 (1/2)
H-worm に感染したPCの遠隔操作（例）コマンドプロンプトからの遠隔操作プロセスの強制終了

ファイル操作

公益社団法人 私立大学情報教育協会

Page 17

RATの機能 (2/2)
Bozok に感染したPCの遠隔操作（例）

ファイル操作
レジストリの変更
プロセスの強制終了

コマンドプロンプトからの遠隔操作
画面のキャプチャ、遠隔操作
キー入力の記録

公益社団法人 私立大学情報教育協会

Page 18

RATの特徴 （１） 攻撃側への着呼型

もともと内部ネット→外部ネットへ通信可能なサービスを模して、感染ＰＣ～攻撃ＰＣ間の通信路を確立。
通常の通信と、RAT通信の見分けが困難。
 ポート番号：80/tcp(http) とか 443/tcp(https)とかRAT
感染側
ルータ／Firewall

攻撃側
C&Cサーバ

攻撃側

感染側①コントローラへ接続要求

学内ネットワーク応答②接続応答

インターネット③通信路を確立

指示
公益社団法人 私立大学情報教育協会

Page 19

RATの特徴 （２） 出口対策が困難

Proxyサーバに対応しているRATもある。
 感染PCからインターネットへブラウザでアクセス可能ならば、攻撃側PCから感染PCのコントロールが可能。
RAT
感染側

×
攻撃側
C&Cサーバ○学内ネットワーク
Proxyサーバ

インターネットWebサーバ

公益社団法人 私立大学情報教育協会

Page 20

内部侵入の拡大

公益社団法人 私立大学情報教育協会

Page 21

Pass the Hash 攻撃 （アクセス権限の入手）
Windowsの認証を回避し、IDとパスワードのハッシュ値のみを使い不正アクセスする手法⇒ 生のパスワードが分からなくても、アクセスできる。



ドメイン管理の場合、1台のPCがやられると、全てのPCが被害にあう恐れがある。

C&Cサーバ
攻撃者②
ID＋パスワードハッシュを用いてファイルサーバへ不正アクセス。
ファイルサーバ上のファイルを読み書き(keimpx, metasploit)ID①
IDとパスワードハッシュを入手(lslsass, gsecdump)+ ハッシュ

Windows ドメイン
ファイルサーバ

ドメイン管理者権限が取られれば、ドメイン配下の全てのPCは制圧

RAT
感染

公益社団法人 私立大学情報教育協会

Page 22実習

公益社団法人 私立大学情報教育協会

Page 23

まとめ
 標的型攻撃における攻撃パターン

事前調査→初期潜入→基盤構築→内部侵入・調査→目的遂行
 RAT型ウィルスの感染によるリスク

インターネットとの境界ファイアウォールによる防御は無力に。
内部システムが丸裸にされる危険性。
検知が困難。
 感染したことに気づかない。侵入されていることに気づかない。

公益社団法人 私立大学情報教育協会