CCC DATAset における連携するマルウェアの変遷
大類 将之 †

菊池 浩明 †寺田 真敏 ‡Nur Rohman Rosyid††† 東海大学大学院 工学研究科 情報理工学専攻
259-1292 神奈川県平塚市北金目 4-1-1
yama，kikn@cs.dm.u-tokai.ac.jp‡ 日立製作所 Hitachi Incident Response Team (HIRT)
212-8567 神奈川県川崎市幸区鹿島田 890 日立システムプラザ新川崎
masato.terada.rd@hitachi.com†† モンクット王工科大学ラカバン校
Chalongkrung Road, Ladkrabang Bangkok 10520, THAILAND
nrohmanr@gmail.com
あらまし 本研究では，CCC DATAset 2008 から 2010 の攻撃通信データ，攻撃元データを用いて，3 年間に渡るマルウェアの振る舞いに着目し，データマイニング手法である Apriori と PreﬁxSpanを適用することで，その変遷や特徴を報告する．

Evolution of Botnet Coordinated Patterns from CCC DATAset
Masayuki Ohrui†Hiroaki Kikuchi†

MasatoTerada‡

Nur Rohman Rosyid†††Course of Information Science and Engineering,
Graduate School of Engineering, Tokai University
4-1-1 Kitakaname, Hiratsuka, Kanagawa 259-1292, JAPAN‡Hitachi Incident Response Team (HIRT), Hitachi, Ltd.
890 Kashimada, Kawasaki, Kanagawa, 212-8567, JAPAN††King Mongkut’s Institute of Technology Ladkraban
Chalongkrung Road, Ladkrabang Bangkok 10520, THAILAND

Abstract This paper aims to apply data mining technique Apriori and PreﬁxSpan, detecting
feature and evolution coordinated attacks from using the captured packets data and the downloadinglogs of the CCC DATAset 2008-2010 by focusing on the behavior of malware over thepast three years.

はじめにして，価値ある相関ルールを抽出するデータマ
イニング手法であるアソシエーション分析 (以近年のマルウェアは，数多くの亜種が存在し， 下，Apriori) を適用し，関連性の強いマルウェ
複数のダウンロードサーバに分散して感染する
アの組み合わせ，すなわち，連携感染を自動抽など，複雑化，高度化が進んでいる．特に分散出する手法を提案した [1]．また，系列パターンされたサーバによるマルウェアの連携感染は検マイニングである PreﬁxSpan を用いることで，出をより困難としている．
Apriori の欠点であった時系列を考慮したルー
我々は MWS2009 にて，攻撃元データに対1表 1: データマイニング方法の比較
提案者
抽出対象精度特徴Apriori
Agrawal，他 [4]相関ルール (A，B → C)
支持度，確信度
アイテムの集合 (順序なし)

ルが抽出可能であることを示した [2]．Aprioriと PreﬁxSpan の違いを表 1 に示す．
しかし近年，新たに Gumblar をはじめとする Web 感染型マルウェアが台頭し，被害が増加している．逆に，攻撃元データに含まれるマルウェアの感染数は減少傾向にある．これは攻撃の主流が Web 感染型マルウェアに移行して来ていることを示唆している．では，実際にマルウェアの連携感染は減少しているのだろうか．
そこで本研究では，研究用データセット CCC
DATAset 2008 から 2010 の攻撃通信データ，攻撃元データ [3] を用いて，3 年間に渡るマルウェアの振る舞いに着目し，データマイニング手法である PreﬁxSpan を適用することで，連携感染の変遷を調査した．その結果明らかになった特徴を報告する．

2

要素技術

2.1

Apriori[4] アルゴリズム

PreﬁxSpan
Pei，他 [5]シーケンスパターン (A，B，*，C)
確信度
シーケンス (順序あり)

繰り返すことで，頻出する系列パターンを効果的に発見する．

3

連携感染

3.1

定義

複数のダウンロードサーバによる連携で，個別のマルウェアを組み合わせて感染させる攻撃を連携感染と定義する．CCC DATAset 2009 攻撃通信データから得た例を以下に示す．

1. PE_VIRUT.AV に感染 [124.86.165.*]
2. ss.ka***.com (DNS) を名前解決し，hub.5
6***.com (IRC) に接続 [67.43.226.*]
3. always***.com (DNS) [67.215.1.*]，zone
t***.info (DNS) [72.10.166.*] を名前解決
4. 各サーバから TROJ_BUZUS.AGB (/vot.exe)[67.215.1.*]，WORM_SWTYMLAI.CD (/vss.exe)[72.10.166.*] を HTTP GET によりダウンロードする

Apriori アルゴリズムは，Agrawal らが提案した代表的な相関ルール抽出アルゴリズムであ5. ポートスキャンを行う
る．支持度と確信度という閾値に最小値を与え，その値を元に数多く抽出される相関ルールの中
このように連携感染は，起点となるマルウェから，効果的に価値の低いルールを枝刈りする． アをダウンロード後，IRC サーバに接続し，他これにより，価値の低いルールを除き，効率よのマルウェアを HTTP GET によりダウンロー
く価値あるルールを発見できる．
ドする．2008 年，2010 年もサーバの数や感染するマルウェアの数など若干の違いはあるが，この一連の流れで感染を行っている．

2.2

PrefixSpan[5] アルゴリズム

PreﬁxSpan アルゴリズムは，Pei らが提案した Preﬁx Projection という射影を用いた系列パターンマイニングのアルゴリズムである．系
列データから，射影対象の系列より後ろに存在するアイテムのみを抽出し，深さ優先で射影を3.2

実験データ

実験データとして，CCC DATAset 2008，2009，2010 の攻撃通信データと攻撃元データを使用する．攻撃通信データは定期的にクリーンな状態にリセットされるため，Windows XP が送信6000050000

Number of Rules [Rules/Month]

する NTP パケットを利用して，各データを一定間隔で分割した．これをタイムスロット（以下，スロット）と呼ぶ．スロットを 1 つのトランザクションとし，その間にダウンロードされたマルウェアの種類をそのトランザクションに生じるアイテムとして，頻出アイテムを抽出する．
同様に，攻撃元データもスロットに分割する．

40000

30000

20000

10000

3.3
3.3.1

調査結果

0Mar-08May-08 Jul-08 Sep-08Nov-08 Jan-09 Mar-09May-09 Jul-09 Sep-09Nov-09 Jan-10 Mar-10May-10
Date [2 years]

マルウェアの活動傾向
図 1: 2009，2010 年の連携感染数の推移 (全体)3.3.2

連携感染の活動傾向

本節では，攻撃元データから，Apriori，PreﬁxSpan を用いて連携感染を抽出し，連携感染の活動傾向を調査する．なお，2008 年の攻撃元データはハニーポットの記載がないため，使用していない．
まず，連携感染数の変化を図 1 に示す．全ハ
ニーポット 730 日分のデータに対し，Aprioriを用いて相関ルールの抽出を行い，月平均を求めた．Apriori を使用した理由は，PreﬁxSpanに比べ，抽出されるルール数が正確であったためである．系列の長さ 3 以上のパターンに絞っ

2500

2000
Number of Rules [Rules/Month]

攻撃元データから 3 年間観測されているマルウェアが存在するか調査した．結果を表 2 に示す．3 年間を通して上位のマルウェアは，PE_VIRU
T.AV である．PE_VIRUT.AV は，3.1 節で述べた連携感染の起点となるマルウェアである．感染数は減少傾向だが，マルウェアファミリ名も PEが占めており，その勢力は衰えていない．
次に，連携感染に用いられる IRC，DNS を攻撃通信データから抽出した．それぞれ表 3，表 4に示す．抽出には，PING の送信先を使い，数は各スロットのユニーク数としている．IRC では，3 年間共通して hub.*****.com が使用されていた．これは，いずれも PE を起点とした連携感染で用いられるドメインである．同様に，DNSでも一部ドメインが 3 年間使用されているのを確認できた (表中太字)．以上の結果から，連携感染はなくなっておらず，最低でも 1 つ以上のボットネットで使用されていると考えられる．

Honey001
Honey002
Honey003
Honey004
Honey005
Honey006
Honey007
Honey008
Honey009
Honey010

1500

1000

5000
Mar-08 May-08 Jul-08 Sep-08 Nov-08 Jan-09 Mar-09 May-09 Jul-09 Sep-09 Nov-09 Jan-10 Mar-10 May-10
Date [2 years]

図 2: 2009，2010 年 の 連 携 感 染 数 の 推 移(Honey001 ∼ 010)ており，2 種類以下のマルウェア間のルール及び UNKNOWN を含むルールは除外している．図 1から，マルウェアの減少に伴い，連携感染も減少傾向であることが分かる．
Honey001 ∼ 010 をまとめたものを図 2 に示
す．ハニーポットによって傾向の違いこそあるものの，全体の傾向としてはやはり減少傾向であった．攻撃通信データを解析した結果でも，2009 年は 3 種類の連携感染が確認できたことに対し，2010 年は 1 種類のみである．
次に，連携感染は何種類のマルウェアで構成された感染を行うのか，すなわち，平均連携マルウェア数を調査する．抽出には PreﬁxSpan を用いて連携マルウェア数は 3 以上とし，全ハニーポットの連携感染パターンを抽出して平均を求めた．PreﬁxSpan は時系列を考慮できるため，感染順を考慮して連携感染パターンを抽出する

表 2: 3 年間共通して観測されたマルウェア
マルウェア名

PE_BOBAX.AK
PE_VIRUT.AV
WORM_ALLAPLE.IK
PE_VIRUT.XV
PE_VIRUT.XZ
PE_VIRUT.PAU
BKDR_VANBOT.HG

2008 年
順位 Uniq.
8 47654
9 46741
10 45033
20 26518
46 14315
63 10749
9360502009 年
順位Uniq.
394324
2 222207
1230319
28166255188854793474311206

2010 年
順位Uniq.
328018
1 194557
1912564
31842433718121118152410404

表 3: 3 年間共通して用いられた IRC サーバ
順位123
4
5
6
7
89

2008 年
IRC ドメインhub.40***.com
ihub.56***.com
hub.44***.com
aaa.59***.com
irc.foo***.com
bl*.com
FE7B03EC
F3B4433F

数
81383631
32211

2009 年
IRC ドメインhub.14***.com-4.2

数35-2010 年
IRC ドメインpwned30.i***.net
pwned28.i***.net
hub.63***.com
hub.48***.com
hub.27***.com
no***.org
s*.comja**.org
irc.fo***.fo

数
3130
23
20
14
138
5
114
P3.7P3.10P3.37
1210
3.8

3.6

3.4

Frequency [Slots/Day]

Number of Patterns [Patterns/Day]

4864

3.2

3Mar-08 May-08 Jul-08 Sep-08 Nov-08 Jan-09 Mar-09 May-09 Jul-09 Sep-09 Nov-09 Jan-10 Mar-10 May-10Date [2 years]

20
Jan-09Feb-09Mar-09Apr-09Date [Day]図 3: 連携感染の平均連携マルウェア数

図 4: 連携感染の活動期間 [2]ことができるためである．こうして求められた
平均連携マルウェア数の変化を図 3 に示す．連
携感染総数の減少とは逆に，構成マルウェア数は増加している．これは連携感染はより複雑化し，巧妙化してきていることを示している．
また，攻撃通信データを解析したところ，HTTP GET でダウンロードされるマルウェア数は，2008，2009 年で 2 種類であったのに対し，2010年では 5 種類となっており，ここからも連携パターンの複雑化が裏づけられる．

最後に，連携感染の活動期間を調査する．重複しない 3 種類のマルウェアによる連携パターンの観測期間を図 4 に示す．1 日に観測されたスロット数を元にしている．このように連携感染の活動期間は 2 週間〜1 ヶ月と非常に短い．
例えば，PE_VIRUT.AV は各年で連携するマルウェアが変わっている．

表 4: 2010 年の DNS ドメインとその比較
順位
12
3
4
5
6
7
8
9
10
11
12
1326

DNS ドメインbotz.noreta***.com
proxim.ntkrn***.info
checkip.dyn***.org
www.whatism***.org
tx.mostafaaljaaf***.net
tx.nadersam***.org
www.whatsmyipaddr***.com
www.getm***.org
ss.ka***.com
ss.nadnad***.info
ss.MEMEH***.INFO
videogale***.com
blah.swapixtr***.com
xx.nadna***.info

数
133
62
60
52
35
32
31
28
19
16
15
12102

2008 年2009 年

31 位
81 位
90 位

1位
5位

表 5: 2010 年の攻撃通信データと攻撃元データの比較 (一部)
No.
123456789
合計考察

マルウェア名
WORM_DOWNAD.AD
WORM_PALEVO.SMD
WORM_PALEVO.BL
PE_VIRUT.AV
TROJ_BUZUS.MCBKDR_RBOT.SMA
BKDR_MYBOT.AH
WORM_SDBOT.CEM
WORM_MYTOB.IR-Prot.
TCP
TCP
TCP
TCP
TCP
UDP
UDP
UDP
UDP
-

攻撃通信
118106494225431361512

攻撃元
79361226
1113450261

誤差−39−70−37−16−14−30−9−1−1−251

通信では BKDR_RBOT.SMA が数多く得られたが，攻撃元データとの差はそれぞれ 70 個と 30 個と本節では，なぜダウンロード数，連携感染数大きい．
が減少したのかを考察する．
以上より，2010 年の攻撃元データの 261 件
CCC DATAset 2010 の攻撃元データ数が不には，攻撃通信データの 512 件に対して，1.961
自然に少なく，検出誤りが生じていると考えた．
倍の未検出があったことがわかる．2009 年では，そこで，攻撃通信データを解析し，各スロット攻撃元データが 200，攻撃通信データが 221 でを TCP と UDP の通信に分割し，それぞれ1.105 倍の未検出に留まっていた．この結果をtcpﬂow，TFTPgrab を用いて分析することで考慮して補正したダウンロード数の推移を図 5
マルウェア検体を得て，攻撃元データとの比較に示す．実際の未検出数がわかる 2009 年，2010を行った．表 5 に比較結果を示す1 ．攻撃通信
年の攻撃通信データを使用して，その値を元にデータに含まれるマルウェアが攻撃元データに補正を行っている．ダウンロード数は全ハニー含まれていない．
ポットにおける総数である．なぜならば，2008
特に TCP 通信では WORM_PALEVO.SMD，UDP年は，攻撃元データにハニーポット ID が含まれず，区別できないためである．なお，2009 年
1
3 年間の攻撃元データ及び Virus Total に該当する
5 月末で 2 台のハニーポットが停止している．
ハッシュ値がないマルウェア検体は調査対象から外した．
全体の傾向として，HTTP GET によってダ
なお，2008 年の攻撃通信データから分析して得られたマ
ルウェア数は 673 個で圧倒的に多いが，攻撃元データとウンロードされたマルウェア，あるいは，UDP3.4比較できないため省略する．

160000
Downloading Logs
Downloading Logs (Fixed)
Captured Packets Data
CCC DATAset

Number of Downloads [DL/Week]

140000

第 48 回 コンピュータセキュリティ研究会(CSEC48)，2010．

120000[3] 畑田，他，“マルウェア対策のための研究用データセット ∼ MWS 2010 Datasets ∼”，マルウェア対策研究人材育成ワークショップ
2010（MWS2010），2010．

10000080000

60000

40000

20000

0
Oct-07 Jan-08 Apr-08

Jul-08

Oct-08 Jan-09 Apr-09
Date [3 years]

Jul-09Oct-09 Jan-10 Apr-10 Jul-10[4] R. Agrawal，T.Imielinski，A. Swami，“Mining Association Rules between Sets
of Items in Large Databases”，Proc. ofACM SIGMOD-93，pp. 207-216，1993．

図 5: マルウェアのダウンロード数の推移
通信によるマルウェアが未検出であることが多かった．同一のマルウェアを検出できていることもあったため，マルウェア検体自体が原因，もしくは，収集しているハニーポット固有の問題と考えられる．

4

おわりに

過去 3 年間の攻撃通信データ，攻撃元データを用いて，連携感染の変遷及び特徴を報告した．
連携感染数が減少する一方で，感染するマルウェ
アの連携パターン数は増加していた．この増加は，2010 年の攻撃通信データ，攻撃元データの解析結果から裏づけられた．

謝辞
本研究を遂行するにあたり，ご助言及びご協力を下さった日立製作所の藤原将志氏に深く感謝する．

参考文献[1] 大類，他，“分散ハニーポット観測からのダウンロードサーバ間の相関ルール抽出”，マルウェア対策研究人材育成ワークショップ
2009（MWS2009）, 2009．
[2] N. R. Rosyid，et al.，“Frequent Sequential
Attack Patterns of Malware in Botnets”，[5] J. Pei，et al.，“PreﬁxSpan: Mining Sequential Patterns Eﬃciently by PreﬁxProjected Pattern Growth”，Proceedingsof the 17th international Conference on
Data Engineering，pp. 215-224，2001．