Page 1

A-4.標的型サイバー攻撃
金城学院大学西松 高史

公益社団法人 私立大学情報教育協会

Page 2

このセッションの目的
標的型サイバー攻撃の流れを理解する。
・攻撃者が目的とする情報を入手するまでの手順を確認
・標的型サイバー攻撃で用いるマルウェア及び各種侵入拡大ツールの動作検証

標的型サイバー攻撃を受けた時の被害や影響範囲について、的確な想定ができる

公益社団法人 私立大学情報教育協会

Page 3

「情報セキュリティ10大脅威2017」

出展：IPA（独立行政法人 情報処理推進機構）
https://www.ipa.go.jp/security/vuln/10threats2017.html

公益社団法人 私立大学情報教育協会

Page 4「情報セキュリティ10大脅威2017」
 「組織」向け脅威

1.標的型攻撃による情報流出
2.ランサムウェアによる被害
3.ウェブサービスからの個人情報の窃取
4.サービス妨害攻撃によるサービスの停止
5.内部不正による情報漏洩とそれに伴う業務停止
6.ウェブサイトの改ざん
7.ウェブサービスへの不正ログイン
8.IoT機器の脆弱性の顕在化（けんざいか）
9.攻撃のビジネス化
10.インターネットバンキングやクレジットカード情報の不正利用
出展：IPA（独立行政法人 情報処理推進機構）
https://www.ipa.go.jp/security/vuln/10threats2017.html

公益社団法人 私立大学情報教育協会

Page 5

「情報セキュリティ10大脅威2017」
第1位 標的型攻撃による情報流出

企業や民間団体や官公庁等、特定の組織に対して、メールの添付ファイルやウェブサイトを利用してPCにウイルスを感染させ、そのPCを遠隔操作して、別のPCに感染を拡大し、最終的に個人情報や業務上の重要情報を窃取する標的型攻撃による被害が引き続き発生している。
出典：IPA（独立行政法人 情報処理推進機構)「情報セキュリティ10大脅威 2017」https://www.ipa.go.jp/security/vuln/10threats2017.html

公益社団法人 私立大学情報教育協会

Page 6

第1位 標的型攻撃による情報流出
 侵入経路電子メールから「ばらまき型」「やりとり型」
ウェブから「水飲み場型」
 事例

旅行会社JTBから個人情報流出（678万件）
 取引先になりすましメールの添付ファイルを開かせた 遠隔操作で個人情報を保管しているサーバへ侵入

富山大学から研究成果が流出
 個人情報や原子力発電所の汚染水処理に関する研究成果が流出
 非常勤の研究者のPCから感染

公益社団法人 私立大学情報教育協会

Page 7

電子メールの信憑性確認■怪しいメールという判断・知らない人からのメール
・知った人からでもアドレスがいつもと違う（gmailなどのフリーメールを利用していることが多い）メール
・送信者と署名（シグネチャ）が違う・言い回しが不自然な日本語
・日本語では使用しない漢字
・あえて正式名称を一部に含むようなURL

公益社団法人 私立大学情報教育協会

Page 8標的型サイバー攻撃の流れ① 計画立案② 攻撃準備③ 初期潜入④ 基盤構築標的となる組織の情報を収集、準備を行う。
標的型メール等でウィルス(主にRAT)を送信、感染。SNSやUSBメモリを使う場
合もRAT経由で各種ハッキングツールを送信⑤ 内部侵入調査④のツールを用いてさらに内部システムの侵入を行い調査を進める⑥ 目的遂行
⑦ 再侵入

最終目的の達成

攻撃者C&Cサーバ
①②
計画立案・
攻撃準備

③
初期潜入
④
基盤構築

RAT
感染

標的側組織
⑤内部侵入・調査

⑥目的遂行
情報漏洩
破壊

公益社団法人 私立大学情報教育協会

Page 9

初期潜入

公益社団法人 私立大学情報教育協会

Page 10

初期潜入方法 代表的な潜入方法

メールからの潜入（ばらまき型、やりとり型）
 不審なファイルを添付したメールを送信 不審なURLリンクが本文に記載されたメールを送信

USBメモリからの潜入
Webからの潜入（水飲み場型）
 添付ファイルを実行、またはURLリンク先にアクセスさせた後にRAT（遠隔操作ウィルス）を使って次の段階（基盤構築）に進む

公益社団法人 私立大学情報教育協会

Page 11

メールからの潜入
 例：以下のメールを受信した

公益社団法人 私立大学情報教育協会

Page 12RATとは
RAT = Remote Admin Tool (?)
Remote Access Trojan(?)
 「バックドア通信」を行うウイルスの総称


インターネット上の攻撃側サーバ(C&Cサーバ)からの指示により、ウイルスの拡散や情報収集の足がかりに（例） Bozok、 H-Worm
RAT
感染
ルータ／Firewall

RAT
コントローラ

仮想的な通信路

攻撃側サーバ（C&Cサーバ）
インターネット

感染側

指示
応答

学内ネットワーク

公益社団法人 私立大学情報教育協会

Page 13

RATの特徴 （１） 攻撃側への着呼型

もともと内部ネット→外部ネットへ通信可能なサービスを模して、感染ＰＣ～攻撃ＰＣ間の通信路を確立
通常の通信と、RAT通信の見分けが困難
 ポート番号：80/tcp(http) とか 443/tcp(https)とかRAT
感染側
ルータ／Firewall

攻撃側

攻撃側

感染側

①コントローラ
へ接続要求

C&Cサーバ学内ネットワーク応答②接続応答

インターネット③通信路を確立

指示
公益社団法人 私立大学情報教育協会

Page 14

RATの特徴 （２） 出口対策が困難

Proxyサーバに対応しているRATもある
 感染PCからインターネットへブラウザでアクセス可能ならば、攻撃側PCから感染PCのコントロールが可能
RAT
感染側

×
攻撃側
C&Cサーバ○学内ネットワーク
Proxyサーバ

インターネット
Webサーバ

公益社団法人 私立大学情報教育協会

Page 15

実習
 管理者Webページへのアクセス

オートコンプリートを使ってパスワードを記憶 RATを使った初期潜入を体験

RATの感染
RATの操作

RATで何ができるのか、どんな機能があるのか確認

 情報窃取デスクトップ上にあるファイルを窃取
 内部ネットワークの調査

同じネットワークに接続しているPCを探す パスワードの解析

オートコンプリートを使った場合のパスワードを解析する
公益社団法人 私立大学情報教育協会

Page 16

実習概要
sjk-pc

攻撃側ＰＣ

sjk-victim

感染側ＰＣ

実習１
RATを使った初期潜入を体験
実習２
情報窃取
実習３

sjk-dbWebサーバ

実習0
管理者Webページへアクセス

Webページへのアクセス

内部ネットワークの調査
実習４
パスワードの解析

ＰＣ教室ＬＡＮ

公益社団法人 私立大学情報教育協会

Page 17

実習１
RATを使った初期潜入を体験
公益社団法人 私立大学情報教育協会

Page 18

マルウェア感染感染側ＰＣで、添付ファイル（取材のお願い.jpg）を開く その結果、ＰＣはマルウェアに感染
 感染側PCから、攻撃側PCのC&Cサーバに接続


感染側ＰＣ

攻撃側ＰＣ

①メールの添付ファイルを解凍し、開く

RATコントローラー(C&Cサーバ)

RAT②接続

公益社団法人 私立大学情報教育協会

Page 19

攻撃側PCからの操作


感染側PCから攻撃側PCのC&Cサーバに接続されると、遠隔での操作が可能となる

攻撃側ＰＣ

感染側ＰＣ

RATコントローラー(C&Cサーバ)

RAT

指示／応答

公益社団法人 私立大学情報教育協会

Page 20

基盤構築

公益社団法人 私立大学情報教育協会

Page 21

基盤構築
初期潜入に成功すると、攻撃者は次に潜入先の内部情報を窃取するための「基盤構築」を行う
 基盤構築の段階では、内部情報を窃取するためのツールを送り込み、インストールされる
 現在の標的型サイバー攻撃は「潜伏型」と「速攻型」の2種類に大別できる
「潜伏型」：重要情報窃取を果たすまで活動する
潜入してから実際に攻撃を開始、終了までの期間が長いもの（平均5か月）
 潜入後、攻撃（情報窃取）のための基盤を拡大する
 攻撃終了の際には痕跡も消していく「速攻型」：重要情報窃取に向けた、最低限の情報を入手する
潜入してから攻撃が終了するまでの期間が数時間～1日程度
 潜入後の基盤拡大、痕跡消去は行わない


公益社団法人 私立大学情報教育協会

Page 22

基盤構築
 今回は以下のツールを前もって準備し感染側PCにインストールを行った。
圧縮ツール(7-zip)
ネットワーク調査ツール(nmap)
パスワード解析ツール(IE PassView)

公益社団法人 私立大学情報教育協会

Page 23

実習2
情報窃取
公益社団法人 私立大学情報教育協会

Page 24

情報窃取
 感染側PCのデスクトップ上に保存してあるフォルダを攻撃側PCへコピーする
対象フォルダの確認
ファイル圧縮作業
圧縮されたファイルを攻撃側PCへコピー

公益社団法人 私立大学情報教育協会

Page 25

内部侵入・調査

公益社団法人 私立大学情報教育協会

Page 26

内部侵入・調査
 内部ネットワークの調査

標的組織の内部ネットワークシステムを把握
nmap等
 端末間での侵害拡大他端末のアクセス権限を入手、他端末へ侵害パスワードの窃取（IE PassViewなど）
pwdump7, Gsecdump （ハッシュ値入手）
Pshtoolkit, Metasploit PSEXEC module （偽装アクセス） サーバへの侵入

ユーザ端末からサーバへのリモート操作
PsToolsなど
公益社団法人 私立大学情報教育協会

Page 27

ネットワーク調査ツール
nmap
指定したホストやネットワークに対してポートスキャンをするためのツール
コマンド（nmap）と様々なオプションを組み合わせることで、内部ネットワークに接続されているコンピューターの情報を調査することが可能
OSを推定することも可能
オプション例-A：OSとサーバーアプリケーションのバージョンを調査
 -O：OSのバージョンを調査
 -P0：pingスキャンを行わない
 -F：限定したポートのみ調べる


公益社団法人 私立大学情報教育協会

Page 28

実習3
内部ネットワークの調査
公益社団法人 私立大学情報教育協会

Page 29

端末間での侵害拡大
他端末へ攻撃、外部からコントロールできる端末を複数台、確保する。
 主な手法Pass the Hash攻撃オートコンプリート機能による保存パスワードの盗用
ネットワークモニタリング
基盤拡大用
端末

C&Cサーバ

潜伏用
端末

攻撃者
指令用
端末

侵入拡大（ID/PWの盗用）

情報収集用
端末

情報送信用
端末

RAT
感染

公益社団法人 私立大学情報教育協会

Page 30

Pass the Hash 攻撃 （アクセス権限の入手）
Windowsの認証を回避し、ユーザIDとパスワードのハッシュ値のみを使い不正アクセスする手法⇒ 生のパスワードが分からなくても、アクセスできる。



ドメイン管理の場合、1台のPCがやられると、全てのPCが被害にあう恐れがある。
Windows ドメイン
C&Cサーバ
攻撃者②
ユーザID＋パスワードハッシュを用いて近隣端末へ不正アクセス。
(keimpx, metasploit)
ユーザID

ドメイン管理者権限が取られれば、ドメイン配下の全てのPCは制圧+ ハッシュ

①
ユーザIDとパスワードハッシュを入手
RAT
感染(wce, lslsass, gsecdump)

公益社団法人 私立大学情報教育協会

Page 31

Pass the Hashのしくみ
ファイル共有やプリンタ共有の機能を悪用している。
 ＳＭＢ通信プロトコルを使用。
アプリケーション層

ファイル共有／プリンタ共有サービス
ＳＭＢ

トランスポート層
インターネット層

ＴＣＰ／ＩＰ

ネットワーク・インタフェース層

ネットワーク・インタフェース
公益社団法人 私立大学情報教育協会

Page 32

オートコンプリート機能で保存されたパスワードの盗用

オートコンプリートキーボードからの入力を補助する機能。
一度ブラウザから入力した「ユーザID＋パスワード」を、次回のアクセスからは自動入力に。
PC内部に保存されているパスワードは、（ツールで）読み取り可能。
パスワードの保存ツールで読み取り可能 (例：IE PassView)

公益社団法人 私立大学情報教育協会

Page 33

実習4
パスワードの解析
公益社団法人 私立大学情報教育協会

Page 34

ネットワークモニタリング
ネットワーク上を流れる情報をモニタリング。
 暗号化されていない「ユーザＩＤ/パスワード」を入手可能。
ツールで読み取り可能 (例：Sniffpass)

ユーザID/PW

公益社団法人 私立大学情報教育協会

Page 35

サーバへの侵入 感染端末を足掛かりとして、サーバへの侵入を試みサーバ上の重要情報にアクセスする。
 主な手法PsTools
サーバ

サーバへの侵入
基盤拡大用
端末

C&Cサーバ攻撃者（盗用したユーザID/PWの利用）(PsToolsの利用)

侵入済

指令用
端末
RAT
感染サーバ
基盤拡大用
端末
侵入
済

公益社団法人 私立大学情報教育協会

Page 36

PsTools(PsExec) Windows管理ユーティリティ
 Microsoftがフリーで配布

https://technet.microsoft.com/ja-jp/sysinternals/bb897553
 コマンドPsExec・・・リモートでプロセスの実行を行う
PsKill・・・リモートでプロセスの強制終了を行う
PsShutdown・・・リモートでシステムのシャットダウンを行う
 サーバ側で、ファイル共有サービスが動いていれば動作。
SMBのプロセス間通信機能を使用
感染端末と同じドメインであれば、パスワードも不要。
公益社団法人 私立大学情報教育協会

Page 37

まとめ

メールの信憑性調査（すべてのメールに対して）通報メール自体が標的型サイバー攻撃の場合がある
メール本文、ヘッダー情報から信頼できるものかを判断する
添付ファイルがある場合は更に慎重に調査する

標的型サイバー攻撃の手法
初期潜入

メールの添付ファイルやＵＲＬリンクを使ってＲＡＴを送信、感染させる

基盤構築
ＲＡＴ経由で内部情報を窃取するためのツールを送り込む

内部侵入・調査
内部ネットワークシステムの調査・把握
 他端末のアクセス権を入手して侵害拡大
 サーバーに侵入

公益社団法人 私立大学情報教育協会