MWS2018意見交換会（プレミーティング）

Soliton Dataset 20182018年5月30日
株式会社ソリトンシステムズ

Soliton Dataset 2018について• エンタープライズ向けEDR製品であるInfoTrace MarkII for Cyber（以下Mark II）は、内部不正対策としても利用できるログ取得を行っています。
• この特性は、実際のフォレンジック現場で目にするデータに近いものとしてマルウェア対策研究に役立つと考え、マルウェアをMark II導入環境で動作させた際のログをデータセットとして提供します。

Copyright © Soliton Systems K.K. All rights reserved.

2データ取得方針••••2017年1月～2018年2月に話題になったマルウェア
セキュリティベンダーから解析結果が公開されたもの
ファイルタイプにこだわらず収集
マルウェア実行環境でプロセスとして起動したもの– 具体的な侵害活動に至らずとも、起動できたものは提供物に含めています→計 117 検体となりました

Copyright © Soliton Systems K.K. All rights reserved.

3

専用のマルウェア実行・ログ取得環境

マルウェア実行環境（隔離された物理環境）

Soliton Dataset 2018

Log
hashPEfile
impfuzzy

マルウェア実行環境の詳細はポストミーティングでのご紹介資料をご参照ください：https://www.iwsec.org/mws/2017/20171201/MWS_Soliton_20181201_Rev2.pdf
Copyright © Soliton Systems K.K. All rights reserved.

4

提供物一覧（README.txtに記載）
SolitonDataset2018├── README.txt├── ENV.txt├── List.xlsx├── MK2Log/│ ├── 30m/
│ ├── Verbose/│ ├── Normal/│ ├── OlympicDestroyer/│ ├── Petya/│ ├── StoneDrill/│ └── WannaCry/├── Format/├── impfuzzy/├── PEfile/├── Reports/├── Sysinfo/└── Tools/
Copyright © Soliton Systems K.K. All rights reserved.

データセットの説明、注意事項など
実行環境の説明
マルウェア一覧
通常出力30分（当初はこちらのみ提供予定でした）
詳細出力30分（参考情報）
正常環境（マルウェア投入無し）の30分ログ
2時間実行、破壊系
横展開、破壊系
破壊系
横展開
ログフォーマットマニュアル
各マルウェアのimpfuzzy結果
各マルウェアのPEfile結果
ログ解析サンプル（おまけ）各マルウェア実行時の環境情報
便利ツール（Python）
5

提供物①••••README.txt–

注意事項などを記載しています–

一般的な環境、横展開系の環境など––

マルウェア一覧
拡張子、ウイルス対策ベンダーのラベル、参照URL、Verboseログ有無、レポート有無–––

通常出力（30m）
詳細出力（Verbose）
正常環境（Normal）

ENV.txt

List.xlsx

InfoTrace Mark II for Cyberセキュリティログ（MK2Log)–•

Malware.batという名前の無害バッチ実行のみ••••

WannaCry：横展開
Petya：横展開、破壊系
StoneDrill：破壊系
Olympic Destroyer：2時間、破壊系

特殊マルウェア：Copyright © Soliton Systems K.K. All rights reserved.

6

提供物②
•

sysinfo–

各マルウェア実行時の環境情報•••

impfuzzy、PEfile
–

•–

•

各マルウェア検体ごとの結果

Tools–•

w32tm.exeの時刻同期結果とsysteminfo.exe の結果
マルウェアに妨害され0byteとなっているものがあります•

PEファイル以外はファイルサイズ0となっています

mk2log•Mark IIログをJSON化するPythonツール•

JSON化されたMark IIログをツリー表示するPythonツール

mk2treeFormat–

Mark IIのログフォーマットのマニュアル–

いくつかのマルウェアの動作をピックアップしたログ解析サンプル

Reports(おまけ)Copyright © Soliton Systems K.K. All rights reserved.

7

WannaCryのプロセスチェーン(MK2Tree)
アクセス関連の設定

痕跡削除

Service.exeの子プロセスとして起動

Copyright © Soliton Systems K.K. All rights reserved.

本体起動

8

WannaCryの横展開(MK2Tree)

脆弱性（MS07-010）を利用した横展開の様子

サービス起動したマルウェア本体が横展開を実施
Copyright © Soliton Systems K.K. All rights reserved.

9

WannaCryの横展開(Log)03/01/2018 19:55:17.836 +0900 sn=4028 evt=net subEvt=con com="PC1" psGUID={BECF254A-5C79-4931-9CDF143505F33B16} psPath="D:¥24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe"
srcIP=172.24.1.1 srcPort=49624 dstIP=172.24.1.2 dstPort=445
03/01/2018 19:55:17.836 +0900 sn=4029 evt=net subEvt=dcon com="PC1" psGUID={BECF254A-5C79-4931-9CDF143505F33B16} psPath="D:¥24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe"
srcIP=172.24.1.1 srcPort=49624 dstIP=172.24.1.2 dstPort=445 recv=132 send=72
03/01/2018 19:55:17.836 +0900 sn=4030 evt=net subEvt=con com="PC1" psGUID={BECF254A-5C79-4931-9CDF143505F33B16} psPath="D:¥24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe"
srcIP=172.24.1.1 srcPort=49625 dstIP=172.24.1.2 dstPort=445
03/01/2018 19:55:17.976 +0900 sn=4041 evt=net subEvt=dcon com="PC1" psGUID={BECF254A-5C79-4931-9CDF143505F33B16} psPath="D:¥24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c.exe"
srcIP=172.24.1.1 srcPort=49625 dstIP=172.24.1.2 dstPort=445 recv=637 send=516

サービス起動されたプロセス（psGUID={BECF254A-5C79-4931-9CDF-143505F33B16}）が感染先PC（172.24.1.2）に対して通信を行っていることが確認できます

Copyright © Soliton Systems K.K. All rights reserved.

10

WannaCryによるファイル暗号化(MK2Tree)

Copyright © Soliton Systems K.K. All rights reserved.

11

WannaCryによるファイル暗号化(Log)03/01/2018 19:54:57.196 +0900 sn=602 evt=file subEvt=close com="PC1" psGUID={4F58F9E3-FD37-4FBD-BC44-80AC0E0D1CEB}
psPath="C:¥ProgramData¥tjigppzrweclnc278¥tasksche.exe" path="D:¥transcript.txt" drvType=HDD read=7120 write=0
sha256=983ff9ae6a57ba30abb4faa94be6da24567f6a46ed6e2370d82e6c9d64806c8d sTime="03/01/2018 19:54:57.196" crTime="03/01/2018 19:53:27.820"
acTime="03/01/2018 00:00:00.000" moTime="03/01/2018 19:54:10.000" size=7112
03/01/2018 19:54:57.196 +0900 sn=603 evt=file subEvt=create com="PC1" psGUID={4F58F9E3-FD37-4FBD-BC44-80AC0E0D1CEB}
psPath="C:¥ProgramData¥tjigppzrweclnc278¥tasksche.exe" path="D:¥~SD9DCD.tmp" drvType=HDD
03/01/2018 19:54:57.196 +0900 sn=606 evt=file subEvt=rename com="PC1" psGUID={4F58F9E3-FD37-4FBD-BC44-80AC0E0D1CEB}
psPath="C:¥ProgramData¥tjigppzrweclnc278¥tasksche.exe" path="D:¥transcript.txt.WNCRYT" drvType=HDD dstPath="D:¥transcript.txt.WNCRY"
dstDrv=HDD sha256=264ff86387c5b15bb76749af1595e275a0dc49dcf52fd04b94c8693180ae71a0 crTime="03/01/2018 19:53:27.820" acTime="03/01/2018
00:00:00.000" moTime="03/01/2018 19:54:10.000" size=7400
03/01/2018 19:54:57.196 +0900 sn=607 evt=file subEvt=del com="PC1" psGUID={4F58F9E3-FD37-4FBD-BC44-80AC0E0D1CEB}
psPath="C:¥ProgramData¥tjigppzrweclnc278¥tasksche.exe" path="D:¥~SD9DCD.tmp" drvType=HDD crTime="03/01/2018 19:54:57.190"
acTime="03/01/2018 00:00:00.000" moTime="03/01/2018 19:54:58.000" size=0 hide=1
03/01/2018 19:54:57.196 +0900 sn=608 evt=file subEvt=create com="PC1" psGUID={4F58F9E3-FD37-4FBD-BC44-80AC0E0D1CEB}
psPath="C:¥ProgramData¥tjigppzrweclnc278¥tasksche.exe" path="D:¥transcript.txt.WNCRYT" drvType=HDD
03/01/2018 19:54:57.196 +0900 sn=609 evt=file subEvt=close com="PC1" psGUID={4F58F9E3-FD37-4FBD-BC44-80AC0E0D1CEB}
psPath="C:¥ProgramData¥tjigppzrweclnc278¥tasksche.exe" path="D:¥transcript.txt.WNCRYT" drvType=HDD read=0 write=7400 sTime="03/01/2018
19:54:57.196" crTime="03/01/2018 19:53:27.820" acTime="03/01/2018 00:00:00.000" moTime="03/01/2018 19:54:10.000" size=7400
03/01/2018 19:55:57.913 +0900 sn=6834 evt=file subEvt=del com="PC1" psGUID={4F58F9E3-FD37-4FBD-BC44-80AC0E0D1CEB}
psPath="C:¥ProgramData¥tjigppzrweclnc278¥tasksche.exe" path="D:¥transcript.txt" drvType=HDD
sha256=983ff9ae6a57ba30abb4faa94be6da24567f6a46ed6e2370d82e6c9d64806c8d crTime="03/01/2018 19:53:27.820" acTime="03/01/2018 00:00:00.000"
moTime="03/01/2018 19:54:10.000" size=7112

一部の処理が前後して出力されていますが、元ファイル（サイズ7120byte)が読み込まれ、”D:¥transcript.txt.WNCRYT”というファイル名で7400byteで書き込まれ、ファイル名が”D:¥transcript.txt.WNCRY”というファイル名に変更されたのち、元ファイルが削除されていることが分かります。
Copyright © Soliton Systems K.K. All rights reserved.

12

Olympic Destroyerのプロセスチェイン(MK2Tree)
シャドウコピーなどの削除

マルウェア本体の実行

PsExecによる横展開の試み（マルウェア実行環境の認証情報が窃取され利用されている）

Copyright © Soliton Systems K.K. All rights reserved.

13

Olympic Destroyerの感染活動(Log)03/27/2018 19:44:53.926 sn=1818 evt=ps subEvt=start
psPath="C:¥Users¥taro.yamada¥AppData¥Local¥Temp¥_jsh.exe" cmd="¥¥172.24.0.1 -u""PC4¥taro.yamada"" -p ""S0lit0n"" -accepteula -d -s -c -f""C:¥Users¥TARO~1.YAM¥AppData¥Local¥Temp¥_bbh.exe"""
parentPath="D:¥28858cc6e05225f7d156d1c6a21ed11188777fa0a752cb7b56038d79a88627cc.exe"
sha256=3337e3875b05e0bfba69ab926532e3f179e8cfbf162ebb60ce58a0281437a7ef
company="Sysinternals - www.sysinternals.com" copyright="Copyright (C) 2001-2016 MarkRussinovich" fileDesc="Execute processes remotely" fileVer="2.2" product="Sysinternals
PsExec" productVer="2.2" crTime="03/27/2018 19:41:47.879" acTime="03/27/2018
19:41:47.879" moTime="03/27/2018 19:41:47.879" size=339096 sig=Valid signer="MicrosoftCorporation" issuer="Microsoft Code Signing PCA 2011" cerSN="33 00 00 00 64 47 84 94
86 db 41 19 38 00 00 00 00 00 64" validFrom="10/29/2015 05:31:46.000"
validTo="01/29/2017 05:31:46.000"

ファイル名：_jsh.exe
会社：Sysinternals - www.sysinternals.com
著作権：Copyright (C) 2001-2016 Mark Russinovich
ファイルの説明：Execute processes remotely
製品名：Sysinternals PsExec
署名者名：Microsoft Corporation

Copyright © Soliton Systems K.K. All rights reserved.

子プロセスの中に、Windowsの署名のされたPsExecがあります(_jsh.exe）。
コマンドラインに事前に入手していた認証情報や、マルウェア実行環境から取得した認証情報などが確認できます。

14

Soliton Dataset 2018の利用例• 動的解析に関する研究や対策開発に– 話題となったWell-analyzedなマルウェアの動作ログでマルウェア挙動の概要を学ぶことができます。
– 物理環境でのマルウェア動作や、スクリプト・マクロ型マルウェアの動作、マルウェアの横展開を確認できます。
– エンタープライズの実環境に近い、OS標準ソフトウェアなどの動作も含まれたログのため、実環境でマルウェア挙動を見出す研究の参考としてお使いいただけます。
• ますます潜伏化する攻撃への対抗としてログ取得が注目されますが、パフォーマンスやログ活用観点から、たくさん記録すればよいわけではないということを実感いただけるかも知れません。

Copyright © Soliton Systems K.K. All rights reserved.

15