Computer Security Symposium 201119-21 October 2011

大小 2 つの観測網による結果から見たマルウェアの挙動と対策に関する一考察
永尾禎啓 †鈴木博志 †加藤雅彦 †齋藤衛†† 株式会社インターネットイニシアティブ
サービス本部 セキュリティ情報統括室
101-0051 東京都千代田区神田神保町 1-105{nagao,hiroshi-suzuki,masa,msaito}@iij.ad.jp
あらまし

CCC DATAset 2011 の広範な観測網によるマルウェア感染活動観測と、自社観測網による局所的な観測からマルウェアの挙動を分析し、ネットワーク上で活動するマルウェアへの対策について考察する。

A study of malware countermeasures and an analysis ofmalware behavior based on observations from two honeypot
networks of diﬀerent sizes
Tadaaki Nagao†

Hiroshi Suzuki†

Masahiko Katoh†Mamoru Saito††Oﬃce of Emergency Response and Clearinghouse for Security Information
Service DivisionInternet Initiative Japan Inc.
Jinbocho Mitsui Bldg., 1-105 Kanda Jinbo-cho, Chiyoda-ku, Tokyo 101-0051, Japan{nagao,hiroshi-suzuki,masa,msaito}@iij.ad.jp

Abstract In this paper, we compare two observational data sets of malware infection activities, oneof which is CCC DATAset 2011 Attack Source Data from Cyber Clean Center’s wide honeypot network
and another from IIJ’s locally installed honeypot network. We study and discuss diﬀerences observed
between them, and moreover, we also discuss countermeasures against infection activities.

1

はじめに[3]、四半期毎発行の Internet Infrastracture Review

インターネットにおけるマルウェア活動の脅威が(IIR)[4] などでその結果を報告している。
研究用データセット CCC DATAset 2011[5] は国大きく問題になる中、その状況を把握し対策につな

内インターネット上の広範にわたる観測点を持つサげるために、サイバークリーンセンター [1](CCC) をイバークリーンセンターの観測網を使用して得られはじめとして、The Honeynet Project [2] など各所たデータであるのに対し、MITF では IIJ ネットでマルウェア活動の観測が実施されている。インターワーク内のみに密に設置した観測点で構成する観測

ネットイニシアティブ (IIJ) でも、2007 年 4 月より、網を使用している。

マルウェア捕獲、解析、対策プロジェクト Malware

本稿では、研究用データセット CCC DATAset
2011 の攻撃元データ (以降、CCC2011 攻撃元データ) を用いて、これを MITF で得られた攻撃元デー

Investigation Task Force (MITF) を開始し、その一環として、サービス利用者のネットワーク上に観測点を設置してマルウェア活動の観測を行っておりタ (以降、MITF 攻撃元データ) と比較し、検討し- 191 -考察を加える。ここでは、MWS2008、MWS2009、これら共通マルウェアをより詳細に見るために、MWS2010 における筆者らによる調査 [6][7][8] と同共通マルウェアのみに着目して CCC2011 攻撃元様の手法を用いる。また、ネットワーク上で活動すデータと MITF 攻撃元データそれぞれでの各マルるマルウェアへの対策について検討する。

ウェアの取得件数を求めた (図 1)。

攻撃元データの比較

2

CCC2011 攻撃元データの比較対象として、MITFで取得しているデータから、同期間 2010 年 5 月 1日から 2011 年 1 月 31 日までの、表 1 に示す攻撃元関連情報を抽出して MITF 攻撃元データとした。
項目時刻

図 1: 共通マルウェアのハッシュ値ごとの取得件数

マルウェア取得元 IP アドレス
マルウェア取得元ポート番号
観測点 IP アドレス

また、共通マルウェアについて、CCC2011 攻撃観測点ポート番号

元データと MITF 攻撃元データにおける初出日時プロトコルの差を求めた。CCC2011 攻撃元データで先に観測マルウェア検体のハッシュ値されたマルウェアについて、その時間の差と種類の数の関係を図 2 に示す。

表 1: MITF 攻撃元データの情報項目

なお本稿では、以下、マルウェアをハッシュ値で同定して数えることにする。すなわち、同一のハッシュ値を持つマルウェアは 1 種類と数える。

2.1

共通するマルウェア

まず、CCC2011 攻撃元データと MITF 攻撃元データとで共通するマルウェアハッシュ値は 204 種類あった。本稿ではこれらを共通マルウェアと呼ぶ

図 2: CCC で先に観測された共通マルウェアの初出ことにする。この種類数は、MITF 攻撃元データに日時の差 (単位: 時間)現れるマルウェア全体の約 4.8% であり、MITF 攻撃元データにおける共通マルウェアの取得件数合計は全マルウェア取得件数の約 78% であった。

同様にして、MITF 攻撃元データで先に観測されたマルウェアについて図 3 に示す。

CCC2011 攻撃元データにおいては、共通マルウェ

CCC2011 攻撃元データで先行して観測されたマアは観測されたマルウェア全体の約 1.6% であり、ルウェアは 116 種類で、時間差の平均は約 27.0 日、それらの取得件数合計は全マルウェア取得件数の約最大は約 235 日であった。これらのうち、CCC201117% であった。

攻撃元データに現れてから 1 時間未満で MITF 攻

このことから、共通マルウェアという少数のマル撃元データにも現れたマルウェアは 9 種類 (共通マウェア群には、CCC の広範な観測網に MITF の観ルウェア 204 種類の約 4.4%) あった。その一方で、測網のどちらから見ても、比較的活発に感染活動を24 時間以上経過してから現れたマルウェアは 86 種行っているマルウェアが多く含まれていると考えら

類 (約 42%) あった。

れる。

- 192 -

して、CCC2011 攻撃元データ中の固有マルウェアの取得件数をネットマスク長ごとに分類した。このようにして取得元の分布を表したものを図 4 に示す。
次に、MITF 攻撃元データに固有のマルウェアについても、IP アドレス空間上で観測点からどれほど離れたところで活動しているかを明らかにする。
先程と同様に計算すればよいが、MITF 攻撃元デー
タでは各取得時点での実際の観測点 IP アドレスがわかっているため、これと取得元 IP アドレスの共通部分を示すネットマスク長を求め、MITF 攻撃元
図 3: MITF で先に観測された共通マルウェアの初データ中の固有マルウェアの取得件数をネットマス出日時の差 (単位: 時間)ク長ごとに分類した。このようにして取得元の分布を表したものを図 5 に示す。

そして、MITF 攻撃元データで先行して観測されたマルウェアは 88 種類で、時間差の平均は約 19.0日、最大は約 222 日であった。これらのうち、MITF攻撃元データに現れてから 1 時間未満で CCC2011
攻撃元データにも現れたマルウェアは 8 種類 (約3.9%) あり、24 時間以上経過してから現れたマルウェアは 61 種類 (約 30%) あった。

2.2

一方の観測に固有のマルウェア
図 4: CCC2011 攻撃元データに固有のマルウェア

前節前半部で示した共通マルウェアの割合を言い換えれば、MITF 攻撃元データにおけるマルウェア

における取得元から MITF 観測点範囲までの距離と取得件数の関係

総取得件数のうち約 22% は、CCC2011 攻撃元デー
タには含まれていない、MITF 攻撃元データに固有のマルウェアによるものだということになる。
同様に、CCC2011 攻撃元データにおけるマルウェア総取得件数のうち約 83% が、MITF 攻撃元デー
タには含まれていない、CCC2011 攻撃元データに固有のマルウェアである。
まず、CCC2011 攻撃元データに固有のマルウェアについて、MITF の観測点から IP アドレス空間上でどれほど離れたところで活動しているかを明らかにする。そのために、各取得時点での取得元 IPアドレスと MITF の観測点が存在する IP アドレスとの間で、アドレス共通部分を示すネットマスク長

図 5: MITF 攻撃元データに固有のマルウェアにおを求め、これを両者間の距離を表す指標として使うける取得元から観測点までの距離と取得件数の関係ことにした。両者の IP アドレスが数値として近ければ、ネットマスク長は大きくなる (仮に両者が一致した場合には最大値の 32 となる)。MITF の観測点は複数あるが、それぞれの取得元 IP アドレスについて、最も近い観測点 IP アドレスを採用した。そ- 193 -

3

考察

3.1

過去の観測結果との比較

謝辞
研究用データセット CCC DATAset 2011 を提供
下さり、本考察の機会を与えて下さったサイバーク

今回の CCC2011 攻撃元データの全マルウェア取得件数は、畑田らによる報告 [5] にもあるとおり昨年と比べて約 86% 減少しており、また昨年も、一リーンセンターの皆様およびマルウェア対策研究人
材育成ワークショップ 2011 実行委員会の皆様に感謝致します。

昨年と比べて約 53% の減少であった。一方、MITF攻撃元データは昨年と比べて約 80% 減少し、昨年も一昨年と比べて約 77% の減少であった。今回の参考文献

データ収集期間は 9 か月間、昨年と一昨年は 1 年間というように期間の違いはあるが、それを考慮して[1] サイバークリーンセンター,

もなお、観測網の大小によらず大幅減少の傾向が継https://www.ccc.go.jp/続していることがわかる。この傾向の理由としては、[2] The Honeynet Project,

畑田らの指摘する理由のほか、マルウェアの感染活

http://www.honeynet.org/

動の主流がネットワーク経由の直接攻撃から離れ、Web ブラウザ経由の Drive-by-download 攻撃等に移行していることが考えられる。

[3] ITpro, 「マルウエアを専用装置で捕獲、挙動を解析」――IIJ が新システム,
http://itpro.nikkeibp.co.jp/article/
NEWS/20071115/287291/3.2

マルウェア感染活動の局所性

節 2.1 で示した図 1 からは、MITF 攻撃元データで活発な感染活動が見られるマルウェアであっても、CCC2011 攻撃元データでは活発とは言えない[4] IIJ Internet Infrastructure Review,
http://www.iij.ad.jp/development/iir/[5] 畑田充弘, 他:
マルウェア対策のための研究用データセット 〜

ものの多く存在する。このように、CCC2011 攻撃MWS 2011 Datasets〜,

元データと MITF 攻撃元データとで活発な感染活

MWS2011(2011 年 10 月)

動が観測されるマルウェアには差異が見られた。
また、CCC2011 攻撃元データと MITF 攻撃元
データにおける共通マルウェアの初出日時比較 (図[6] 永尾禎啓, 他:
観測網の大小に基づく結果の比較とその差異に関する一考察,

2 および図 3) からは、一方での観測から相当程度遅れてもう一方で観測されるマルウェアが多く存在することがわかった。一度に広範囲のネットワークを対象として感染活動を行うマルウェアでは、このMWS2008, pp.93-95, 2008[7] 永尾禎啓, 他:
観測網の大小に基づく結果の比較とマルウェアような時間差は小さいはずであるから、多くのマル対策に関する一考察,ウェアでは一回あたりの活動範囲が局所的であるもMWS2009,
http://www.iwsec.org/mws/2009/paper/A2-2.pdf, 2009のと考えられる。
節 2.2 では、まず図 4 で CCC2011 攻撃元データに固有のマルウェアの取得元分布を示したが、ここ[8] 永尾禎啓, 他:

からは、CCC2011 攻撃元データに固有のマルウェ

大小 2 つの観測網による結果の時間変化とマルアについて、その取得元のほとんどは MITF 観測ウェア対策に関する一考察,点から遠く離れていたことがわかる。次の MITF 攻

MWS2010,
http://www.iwsec.org/mws/2010/manuscript/1A2-1.pdf, 2010

撃元データに固有のマルウェアの取得元分布を示した図 5 からは、MITF の観測点から遠い IP アドレスからのマルウェア取得が大半を占めていたことがわかるが、この点は過去の調査で比較的近いアドレスが大半を占めていた状況と大きく異なっている。

- 194 -