通信ログを基にしたマルウェア配布オペレーションの抽出と可視化の試み
森久 和昭 †

神宮 真人 †

神田 慎也 †Gregory Blanc†

門林 雄基 †† 奈良先端科学技術大学院大学情報科学研究科
630-0192 奈良県生駒市高山町 8916 番地の 5{kazuaki-m, masato-j, shinya-ka, gregory, youki-k}@is.naist.jp
あらまし マルウェアは USB メモリといった物理デバイスだけでなく，インターネットを通じてダウンロードされる．本研究では CCC DATAset2010 攻撃通信データの通信宛先 IP アドレスに着目する．複数のホストの通信ログにおいて，同一の IP アドレスが観測された場合，ダウンロードサイト間には関係があると推測できる．そこで我々はこの関係を明らかにするために，同一 IP アドレスの抽出と可視化を試みた．IP
アドレスが所属する AS 番号の情報を組み合わせてグループ化をおこない，その結果を用いてマルウェアダウンロードホストの関係について考察をおこなった．

Towards Extracting and Visualizing Malware DistributionOperations Based on Network Traﬃc Logs
Kazuaki Morihisa†

Masato Jingu †Shinya Kanda†
Youki Kadobayashi†

Gregory Blanc††Graduate School of Information Scinece, Nara Institute of Science and Technology
8916-5 Takayama-cho, Ikoma-city, Nara 630-0192 JAPAN{kazuaki-m, masato-j, shinya-ka, gregory, youki-k}@is.naist.jp

Abstract A malware has been downloaded from not only physical device like USB memory but theInternet. In this research, we focus on the IP addresses contained in the attack communications of theCCC DATAset2010. Through several host traﬃc logs, we were able to follow a same given IP address andguess it is related to malware download sites. In order to verify such hypothesis, we attempted extracting
and visualizing such IP address relationships. By combining IP addresses with the information of ASes
they belong to, we were able to cluster the malware download hosts and made considerations about theirrelationships.

1

はじめにウェアの配布をおこなうことが可能である．そのためマルウェア対策者としては広範囲に拡散している

マルウェアは USB メモリなどの物理デバイスだ

マルウェアの情報から攻撃者の特定と，その感染対けではなく，ネットワークを介して感染する事例が策をおこなう必要がある．ここでは同一マルウェア多発している．これはネットワーク上の脆弱性のあの配布をおこなったり，あるマルウェアが通信をおるホストや Web サーバを攻撃することによって，こなうホストをまとめて「マルウェア配布オペレー広範囲に感染活動をおこなえることが原因である．

ション」と呼ぶ．

また攻撃者はボットネットを使用したり，複数のホマルウェアは先に述べたようにネットワークを介ストを踏み台として経由したりすることで攻撃者自して感染する．現在のインターネットではホストの身が特定されることを防ぎながら，より手軽にマル一意性を示す IP アドレスを持たなければ通信をおらかにしている．しかしこの分析についてもネットこなうことができない．したがってマルウェアを配ワークにおけるマルウェア配布サイトの関係は調査

布する場合の通信や，マルウェアがおこなう通信にされておらず，同一マルウェア配布サイト同士の関はこの IP アドレスが必ず含まれる．そこで我々は係が明らかになっていない．そこで我々はこの同一

この IP アドレスに注目した．マルウェアに感染したマルウェア配布サイト同士の関係について分析をおホストがおこなう通信ログを基に IP アドレスの関こなう．

係を抽出し，その IP アドレスが所属する自律システム (AS: Autonomous System) 番号でグループ化をおこなう．このグループ化をおこなった結果を分析することによって，マルウェア配布に関する特徴3

マルウェア配布オペレーションの定義を得ることが目的である．また特徴を分類するために可視化をおこなった．現在，マルウェアの活動に

この章ではマルウェア配布オペレーションについ関する研究はいくつかおこなわれている [6],[7]．して定義する．まずマルウェアとは悪意のある第三者

かし AS 番号に基づいた分析と可視化に関する研究が他人のコンピュータから情報を盗み出したり，破はおこなわれていない．そこで我々は IP アドレスに壊したりするためのプログラムのことである．この着目し，それが依存する AS 番号に基づく情報を用

マルウェアは Web サイトを通じてダウンロードされいるアプローチをおこなった．なお使用する通信ロることが多発している．またその種類は多く改変さ

グは CCC DATAset 2010 を用いた．以下，第 2 章れた亜種も存在する．これらのマルウェアを配布しでは関連研究について述べる．第 3 章ではマルウェているホストには共通点があると考えられる．たとア配布オペレーションについて定義とその抽出アル

えば同一のマルウェアを配布している場合，一人のゴリズムおよび可視化について説明する．第 5 章で攻撃者がホストを攻撃した結果，マルウェアの配布は抽出結果に基づいて考察をおこなう．最後に第 6活動をおこなうようになったと想定できる．そこで章ではまとめと今後の課題を述べる．

マルウェア配布をおこなうホスト同士をグループ化し，これらの活動をマルウェア配布オペレーションと呼ぶ．このような状況においてマルウェア配布オ

2

関連研究
これまでにマルウェアに関する研究がいくつかおこなわれている [6], [7]．文献 [6] ではマルウェア配布元の可視化をおこなっている．著者らはマルウェア配布ホストを地理的分布に基づいて世界地図にマッピングしている．その結果，マルウェアの配布は世界各地からおこなわれているということと，Web ベースのマルウェア配布サイトは中国に集中しているということが分かっている．しかしこの可視化のアプローチは IP アドレスを実世界の地理情報に当てはめているため，ネットワークトポロジとしてのまとまりを把握することが困難である．そこでマルウェアに感染したノードがおこなう通信から発見した IPアドレスと AS の関係を組み合わせて可視化し，視覚的に把握しやすくなるようなビューワーを作成する．
文献 [7] ではマルウェアの配布元とその通信ホストの関係と，マルウェアの活動の特徴について分析をおこなっている．その結果，ダウンロードホストの活動期間が 3 つに分類できること，ダウンロードの回数とマルウェアの種類に関係があることを明

ペレーションを抽出することは，マルウェアの感染活動範囲を特定したり被害状況を確認したり，攻撃者を特定するための手がかりにしたりすることができるようになる．次にこのマルウェア配布オペレーションの具体例を示す．
図 1 では，ハニーポットが異なるマルウェア配布サイトから同一のマルウェアをダウンロードするモデル図である．この場合，マルウェア配布サイト Aとマルウェア配布サイト B には，同一のマルウェアを配布したという関係がある．そのため両者はマルウェア配布オペレーションにグループ化できる．
またマルウェアがおこなう通信においてペイロード部分に IP アドレスが含まれている場合にもホストに関係があると仮定する．図 2 では，マルウェアに感染したハニーポットがマルウェア配布サイト A(以下，ホスト A) と通信しているモデル図である．ハ
ニーポットとホスト A は直接通信をしている (実線で表し，直接ノードと呼ぶ) が，ホスト B とは直接通信していない．しかし，ホスト A との通信内容(ペイロード部分) においてホスト B の IP アドレス

同一マルウェアのダウンロード
ハニーポットマルウェア配布オペレーション
マルウェア配布
サイトA
マルウェア配布サイトBうことが断定できる．この性質を利用してマルウェ
ア配布サイトの IP アドレスと AS 番号の関係を調査することによって，マルウェア配布オペレーションの特徴を抽出することが可能である．

マルウェア配布オペレーション4の抽出
図 1: マルウェア配布オペレーション例 1

マルウェアに感染した
ハニーポットマルウェア配布オペレーション
ホスト A

マルウェア配布オペレーションを抽出するために，データセットからデータを取り出し，AS 番号との対応付け処理をおこなう必要がある．そこでこの章
では，データセットから抽出した IP アドレスを AS番号にマッピングするアルゴリズムを示す．

ホスト B
4.1

図 2: マルウェア配布オペレーション例 2

アルゴリズム

本節では，マルウェア配布オペレーションの抽出アルゴリズムについて詳述する．抽出アルゴリズムが含まれていたり，マルウェア内部にホスト B のは下記の 3 つのフェーズで成り立っている．

IP アドレスが含まれていたりした場合，ホスト Aとホスト B には関係があると考えられる (点線で表phase1 通信ログから IP アドレスを抽出する．

し，間接ノードと呼ぶ)．そのため両者はマルウェア配布オペレーションにグループ化できる．

phase2 ある期間の AS 番号を抽出する．
phase3 IP アドレスと AS 番号をマッピングする．
phase1 では，IP アドレスの正規表現を利用し，今回はグループ化の条件として IP アドレスに着通信ログのペイロードに IP アドレスが含まれてい目しているが，マルウェア配布オペレーションの調るパケットを特定する．通信ログは CCC DATAset

査にはこの IP アドレスの他に AS 番号を利用して位である．AS 同士は自己管理下のネットワークの2010 の攻撃通信データを用いた．phase2 では，通信ログを取得した時期の AS 番号を取得する．AS 番
号の情報は CAIDA[1] のデータを利用した．phase3

経路情報を交換する．このとき，経路情報を提供すでは，phase1 で特定したパケットの送信元 IP アド

る AS をプロバイダー AS と呼ぶ．一方，経路情報レスと宛先 IP アドレス，及びペイロードに含まれを受け取る側の AS をカスタマー AS と呼ぶ (参考る IP アドレスに対して，通信当時に当該 IP アド

文献 [5])．この 2 つの組み合わせによって，経路情レスが存在していた AS 番号をマッピングする．次報を流すプロバイダーと受け取るカスタマーの P2Cにアルゴリズムの疑似コードを示す．

いる．AS とは大きくインターネットを分割する単関係と，お互いが経路情報を流す P2P の組み合わ以上の処理をおこなうことによって，攻撃通信デーせが発生する．AS が互いに経路情報を交換するこタから IP アドレスの抽出と AS 番号のマッピングとによって，より大きなネットワークを構成するこをおこなうことができる．このマッピングデータをとができる．AS が管理するネットワークには IP ア用いてマルウェア配布オペレーションの調査と可視ドレスが割り当てられ，必ず 1 つの IP アドレスに化をおこなう．

対して，1 つの対応する AS がある．また AS には次に攻撃通信データに出現した IP アドレスと AS

インターネット上において重複しない唯一の AS 番

番号を表 1 にまとめる．この表 1 より 1 日ごとに接号が割り当てらている．そのため AS 番号と IP ア

続数の増減があることが読み取れる．

ドレスは一対多の関係になっている．つまり異なるIP アドレスであったとしても，AS 番号が同じであれば，同一 AS のネットワークに存在しているといAlgorithm 1 AS 番号マッピングの方法
1: pcap ← 通信ログ
2: for all packet in pcap do
3:

4:

packet の送信元 IP アドレスと送信先 IP ア
ドレスを保存する
if packet のペイロードに IP アドレスが含まれている then5:

ペイロードに含まれている IP アドレスを

図 3: マルウェア配布サイトの構造保存する

end if
7: end for

含まれていたことを示す．図 3 の 1-A はハニーポッ

8: for all IP in 保存した IP アドレス do

これに対し 1-B はハニーポットからノードへ HTTP

6:

トとノードが 1 対 1 で通信をおこなうモデルである．

9:

パケット送信日時の AS データを用意する通信をおこなう際に観測できる．なぜなら URL が10:IP に該当する AS をさがす

IP アドレスで指定されており，これがペイロード

11:探した結果の AS 番号と IP をマッピングし部分に含まれていたためである．そこで 1-A およびて保存する

1-B は同じ通信モデルである．次に 2 は 1 つのノードに対して複数のハニーポットが接続しているモデ

12: end for

ルである．3 はノードからハニーポットへのパケッ
表 1: IP アドレスと AS 番号の出現数

トの中に第三者のノードの IP アドレスが含まれているモデルである．4 はハニーポットとノードの通IP アドレス数

AS 数

信において両方向とも，パケットの中にノードの IP

3月5日
3月6日

日付

200
298

101
145

アドレスが含まれているものである．これはノード

3月7日
3月8日
3月9日

266
210
271

126
102
136

させるための命令をハニーポットへ送信しているた

3 月 10 日
3 月 11 日

227
293108148

特徴として一方のノードへ送信したパケット中に他が FTP サーバであり，マルウェアをダウンロード
めこのようなモデルになる．5 は 1 台のハニーポッ
トが複数のノードと通信をおこなっている．さらに方のノードの IP アドレスが含まれていることである．これはノード同士が連携して攻撃をおこなっていたり，ボットネットである可能性がある．以上の

4.2

攻撃通信データの可視化

5 種類がマルウェアオペレーションのモデルとして攻撃通信データと抽出したデータはテキストデー明らかになった．この結果より，異なるハニーポッタであるため直感的にどのような構造になっている

トであっても共通のノードが存在していることと，のか把握することが難しい．そこで今回は 2 つの方共通の間接ノードが存在することが読み取れる．し法で可視化をおこなった．

たがってこれらのノードをグループ化することでマ

攻撃通信データの可視化：AS 番号のマッピング情

ルウェア配布オペレーションを抽出可能である．

報は用いず，マルウェアに感染したホスト (ハニーを用いて可視化をおこなった．これはハニーポット

AS 番号をマッピングしたデータの可視化:AS 番号とマッピングしたデータを可視化した結果を図 4 に示す．なお可視化には Java と，グラフィック描画ラとノードの基本的な関係を明らかにすることが可能

イブラリとして Prefuse[3] を用いた．図 4 の円形のである．

部分はハニーポットである．このハニーポットから

ポット:H) とその通信相手 (ノード:N) のデータだけ可視化した結果を基にモデル化した図を図 3 に示矢印で通信先の AS を示している．この図からも，す．なお可視化には Graphviz[2] を用いた．図 3 中異なるハニーポットから共通して使用している ASの実線は直接通信がおこなわれたことを示し，点線があることが読み取れる．したがってマルウェア配は通信パケットのペイロード部分に IP アドレスが布サイトの一部はハニーポットとは別の，AS のネッであった．下段のノード (X.X.16.183, X.X.245.174,X.X.62.186) は間接ノードであり，上段の攻撃ノード (マルウェアの配布と，FTP で接続を促すノード)と関係があることが推測される．この攻撃ノードと間接ノード間の通信ログは得られないため，実際に通信がおこなわれたか，また通信がおこなわれている場合には，どのような内容であったかを確認することはできない．ただし仮説として， X.X.30.162
が情報収集を目的とするような悪意のあるノードであった場合，下段ノードはユーザ情報や，コンピュータの情報を送信していることが想定される．以上より，マルウェア配布ノードの通信パケットをマイニ
図 4: マッピングデータの可視化ングしたことにより，攻撃ノードの発見とそれと連携しているノードを推測することができた．しかし，攻撃元を隠すためにマルウェア配布オペレーションの中にさらに，役割を分割している可能性がある．
この別々の役割のノードが連携した場合，組織的な攻撃が可能となる．この場合はオペレーションを詳細に把握することによって対策が立てやすくなる．
例えばそのオペレーションが属する AS からの経路

図 5: オペレーションの構造例

情報を受け取らないことや接続関係を無くすことが挙げられる．

トワーク内にあることが考えられる．

5.2

5

抽出結果の一例と考察

5.1

マルウェア配布オペレーションの一例

本節では手動で解析したデータの中から発見したオペレーションを例として挙げる．注目点としてハニーポットを中心とし，そのハニーポットが感染しているマルウェアの活動を観測し他のノードや ASとどのような関係があるかを調査する．
ハニーポットの通信ログを可視化した結果，先に述べたように図 3 のようなモデル構造が得られた．
この構造に実際に用いられた IP アドレスを当てはめると図 5 になる．ここで用いられた IP アドレスは実際の攻撃ノードであるため一部を伏せている．
この図 5 からは攻撃ノードがどのように連携しているのか判断することはできない．そこで IP アドレスを AS 番号でマッピングした情報を用いると図 5は 2 つの AS が関係していることがわかった．すな
わち，X.X.30.162 が所属する AS と，それ以外が所属する AS である．さらに通信ログを調査した結果，X.X.30.162 はマルウェアを実際に配布するノードAS の関係を用いた調査結果の考察

5.1 節で示したマルウェア配布オペレーションについて考察をおこなう．図 5 の構造において便宜的に攻撃ノードである X.X.30.162 が所属する ASを ASX とする．またハニーポットと下段のノード(X.X.16.183, X.X.245.174, X.X.62.186) が所属するAS を ASY とする．この両者の AS について，RouteViews[4] が公開している経路広告情報を用いて分析・可視化すると図 6 の構造であった．ASX は AS1 のカスタマー AS であり，ASY は AS2 のカスタマーAS である．また AS1 と AS2 は P2P の関係にあることがわかった．つまり ASX および ASY のプロバイダー AS 同士が P2P 関係であるため，ASX とASY は AS 階層構造の同じ階層に位置しているということがいえる．ここで ASX と ASY が所属しているノードの役割に注目すると，ASX が攻撃をおこなう側のノードが存在しており，ASY は攻撃を受ける側のノードが存在している．したがって，AS階層構造において同じ階層に位置する AS 同士でも攻撃がおこなわれていることが確認できた．以上より IP アドレス情報から AS 情報とマッピングする

6
AS1

P2P

AS2

まとめ
本研究ではマルウェア配布オペレーションの抽出と可視化をおこなった．オペレーションの抽出は CCC

C2P

C2P

DATAset 2010 の攻撃通信データを用いて IP アドレスに着目しておこなった．またその IP アドレス

AS x

AS yが所属する AS 番号とマッピングすることによって被害者 (ハニーポット) と攻撃者の関係を明らかにすることを試みた．その結果，5 種類のマルウェア配

図 6: ASX と ASY の関係図

布構造が存在していることが明らかになり，一部のマルウェア配布オペレーションの AS の関係性を手ことで，攻撃ノードから攻撃を受けるノードまでの動で解析することができた．その結果， AS の信頼ネットワークトポロジの作成が可能であることを示性評価をおこなうことが可能ではないかということした．と，少数の通信を記録するセンサーを用いることで，以上の結果を用いると，AS の信頼性を評価する攻撃範囲の特定およびマルウェアの拡散状態についことができるのではないかと考えられる．つまりハて把握できるのではないかということがわかった．

ニーポットで得られた攻撃通信データを AS 情報に今後の課題として，インターネット上すべての ASマッピングすることによって，攻撃ノードが存在すと攻撃に使われた AS の関係をマッピングし，よりる数量を AS 単位で集計することができるためであ

大きなマルウェア配布オペレーションの発見をおこる．現状のネットワークでは，階層構造の下位に位なうことが考えられる．また可視化の方法も改善す

置する AS は個人が運営していたり，ポリシーが明る余地があり，より詳細な情報を確認できる機能や確でないまま運営していたりするため，悪意のある異なる通信ログから同一マルウェアオペレーションホストを設置しやすいといえる．そこで攻撃ノードを抽出し比較するというアプローチが考えられる．

から攻撃を受けるノードまでのネットワークトポロ

謝辞

本研究をおこなうにあたり，AS 情報の提ジを調査することによって，どの AS に攻撃ノード供および助言をいただいた，奈良先端科学技術大学が多いのかという情報を得ることが可能である．そ院大学の櫨山寛章氏に感謝の意を示す．の情報を基に AS の信頼性を客観的に判断することができるようになる．
次に AS 情報をマッピングすることによる利点について考察する． AS 情報と経路広告情報は公開情報であるため誰もが過去の情報を取得することが可能である．また通信ログを取得するときに時間情報を合わせて保存することによって，後で AS 情報とマッピングできる．つまり 1ヶ所に設置したセンサーで通信ログを取得するだけで，後からマルウェア配布ホストがおこなった攻撃のネットワークトポロジを明らかにすることができる．そのため少数のセンサーで攻撃に使われた AS を明らかにすることができ，攻撃範囲の特定およびマルウェアの拡散状態について把握することができるのではないかと考えられる．

参考文献[1] Caida. http://www.caida.org/home/.
[2] Graphviz. http://www.graphviz.org/.
[3] Prefuse. http://prefuse.org/.
[4] Route views. http://routeview.org/.
[5] Xenofontas Dimitropoulos, et al. AS Relationships: Inference and Validation. ACM SIGCOMM CCR, 2007.
[6] 松木隆宏, 新井悠. CCC DATAset 2009 によるマルウェア配布元の可視化. MWS2009, 2009.
[7] 石井宏樹, 佐藤和哉, 田端利宏. ダウンロード
ホストに着目したマルウェアの活動傾向分析.
MWS2008, 2008.