今後脅威となりうるマルウェア配布元ホスト の早期発見に関する一考察
大井 俊介 †

加藤 貴司 †

Bhed Bahadur Bista†

高田 豊雄 †† 岩手県立大学大学院 ソフトウェア情報学研究科
020-0193 岩手県岩手郡滝沢村滝沢字巣子 152-52
g231g009@edu.soft.iwate-pu.ac.jp, {k-kato,bbb,takata}@soft.iwate-pu.ac.jp
あらまし マルウェアの配布元ホストは，活動期間やマルウェアの転送ログなどにおいて様々な特徴が現れる．マルウェア配布元ホストの中から，ウィルス対策ソフト等で検知されない，未知のマルウェアを積極的に配布するホストを早期に発見することは，マルウェア感染ホストの拡大対策として効果的であると考える．本稿では，研究用データセット CCC DATAset 2008・2009 の攻撃元データ，及び攻撃通信データより，マルウェア配布元ホストの特徴を分析し，今後脅威となりうるホストの早期発見を目的とした分析結果と一考察について述べる．

Early Detection of Hosts which Distribute Malware that will
Become the Threat in Future
Shunsuke Ohi†

Takashi Katoh†

Bhed Bahadur Bista†

Toyoo Takata††Graduate School of Software and Information Science, Iwate Prefectural University152-52 Sugo, Takizawa, Iwate 020-0193 Japang231g009@edu.soft.iwate-pu.ac.jp, {k-kato,bbb,takata}@soft.iwate-pu.ac.jp

Abstract Malware distribution hosts has various kind of characteristics such as active period or
traﬃc pattern. Early detection of malware distribution hosts that distribute unknown malwares
is important for eﬀective countermeasure of outbreak of them. In this paper, based on CCC
DATAset 2008 and 2009, we analyze attack source data and attack traﬃc data, and show
characteristics of malware distribution hosts which is eﬀective for early detection of potential
threat.

1

はじめにインターネットの利用が広く普及し，それに伴い，マルウェアによる被害が増加している．
マルウェアとは悪意のあるソフトウェアの総称であり，その中でもボットと呼ばれるマルウェ
アの被害が増大している．ボットに感染したホストは，DoS 攻撃やスパムメール送信などの踏み台となり，意図せずコンピュータ犯罪の加害者になりうる危険性を秘めている．また，ボットは非常に多くの亜種が出回り，一般的なシグネチャの照合によるウィルス対策ソフトなどでの対策が難しい．さらに，ボット同士でネットワークを構築するボットネットの規模性の高さにより，攻撃元の特定も困難である [1]．
従来のボットの研究は，ボットのバイナリ解析や，感染後のホストのレジストリやファイルの走査，ボット感染後のインターネットトラフィックの分析などが主な研究内容となっており，マルウェア配布元ホストの分析に絞った研究は少ない．

本稿では，サイバークリーンセンター (CCC)によって収集されたインターネットのログから成る，ボットネット観測研究用データセット “CCCDATAset 2008・2009”[3] を用いて，長期間と短期間から確認できるマルウェア配布元ホストの特徴を分析し，今後脅威と成り得るマルウェア配布元ホストの早期発見を目的とした一考察について述べる．

2

今後脅威となりうるマルウェア配布元ホスト の検出に向けた分
析項目の設定

本稿では，ボットに感染したホストが，マルウェア配布元ホストからマルウェアをダウンロードする行動に着目する．使用するデータは，CCC
DATAset 2008・2009 における攻撃元データ，及び攻撃通信データである．
ボットに感染したホストは，インターネット上に配置された，マルウェアを所持する Webサーバや TFTP サーバ（以下，マルウェア配布元ホスト ）にアクセスし，マルウェアのダウンロード やアップデートを試みる．このマルウェ
ア配布元ホストは，活動期間やマルウェアの転送ログなどにおいて様々な特徴が現れることが既存研究により示された [2]．
本稿では，なるべく早期にマルウェア配布元ホストの活動や傾向を特定し，被害の拡大を防ぐ 指標となる情報を示す．そのために，シグネ
チャの不一致などによりウィルス対策ソフトに検知されないマルウェア (以下，UNKNOWN マルウェア) を配布するホストの早期特定と，UNKNOWN マルウェアを配布するホストになりうるホストの予想分析を行う．
本稿での分析項目を以下に述べる．

• 長期間から見るマルウェア配布元ホストの活動分析 (3.2 節)• 短期間から見るマルウェア配布元ホストの活動分析 (3.3 節)• 短期間から見る UNKNOWN マルウェア
配布元ホストの活動分析 (3.4 節)• UNKNOWN マルウェア配布元ホストとなりうるホストの特徴分析 (3.5 節)

3

マルウェア配布元ホスト の分析

3.1

分析に用いるデータ

本稿において使用するデータは，CCC DATAset
2008・2009 の攻撃元データ，及び攻撃通信データである．
攻撃元データは，2008 年 5 月 1 日から 2009
年 4 月 30 日までのハニーポット約 100 台のマルウェア検体取得ログであり，攻撃通信データは，ハニーポット 2 台の 2 日間 (2009 年 3 月 13 日(以下，3 月 13 日)，2009 年 3 月 14 日 (以下，3月 14 日)) のパケットキャプチャデータである．
攻撃通信データにおけるハニーポット 2 台は，いずれも攻撃元データのハニーポットの数に含まれる．
分析対象とするマルウェア配布元ホストは，攻撃通信データにマルウェア配布元ホストとして出現した，55 ホストを基準として分析を行う．

3.2

長期間から見るマルウェア配布元ホスト の活動分析

長期的にボットの活動を見た場合の，マルウェア配布元ホストの特徴を示す．分析期間は 2008
年 5 月 1 日から 2009 年 4 月 30 日である．
月単位でマルウェア配布元ホストの集計を行った結果，55 ホスト中 48 ホストが，2009 年 3 月
のみにマルウェア配布元ホストとして活動している．つまり，大半のマルウェア配布元ホストは短期間のみに出現している．長期的に活動するホストを図 1，図 2 で示す．
マルウェア配布元ホストを長期間からみた場
合，長期的に活動しているマルウェア配布元ホストの生存確認程度の情報は得られたが，ボットの拡大対策には役立て難い結果となった．

120000
72.10.X.X
67.215.A.A
211.95.X.X
67.18.X.X
67.215.B.B
94.247.X.X
118.232.X.X

Number of Distribute Malware

100000

80000

60000

40000

20000

0
2008/05 2008/06 2008/07 2008/08 2008/09 2008/10 2008/11 2008/12 2009/01 2009/022009/03
Yeah / Month

図 1: 長期的に活動するマルウェア配布元ホスト
20000
72.10.X.X
67.215.A.A
211.95.X.X
67.18.X.X
67.215.B.B94.247.X.X
118.232.X.X

number of distribution

15000

3 月 13 日において，全てのハニーポットにより取得されたマルウェア数は 3388 個であり，その中で攻撃通信データのログに出現した 55 ホストが配布したマルウェアの割合は 49.2%となった．3 月 14 日において，全てのハニーポットにより取得されたマルウェア数は 4241 個であり，その中で 55 ホストが配布した割合は 41.8%となった．両日に共通して現れたホストは 55 ホスト中 9 ホストあり，この 9 ホストは，図 1，図 2に出現したホストと同一のホストが大部分を占める．9 ホストの内訳を表 1 に示す．
設定した 2 日間において，僅か 2 台のハニーポットを分析することで，全てのハニーポットで取得した約半数のマルウェアの配布元が特定可能であり，残り半数のマルウェアは，新出ホストから配布されるものであることを示した．
つまり，長期間における分析と同程度の結果を，2 日間程度のログ情報で得られることを示した．

10000

3.4
5000

短期間から見る UNKNOWN マル
ウェア配布元ホスト の活動分析

既知のマルウェアは，ウィルス対策ソフトの導0入などにより対策が可能であるが，UNKNOWN
2008/11
2008/12
2009/01
2009/02
2009/03yeah/month
マルウェアの対策に関しては，一般的に難しい問題である．
図 2: 長期的に活動するマルウェア配布元ホス
マルウェア配布元ホストの中から，UNKNOWN
ト（ 一部拡大）マルウェアを積極的に配布するホストを早期に発見し，そのホストとの通信を遮断することは，
3.3 短期間から見るマルウェア配布元ホ
マルウェア感染ホストの拡大対策として効果的
スト の活動分析であると考える．分析期間は，3.3 節と同様に
3 月 13 日と 3 月 14 日の 2 日間である．
長期的なホストの分析では，長期的に活動す3 月 13 日において，UNKNOWN マルウェアるマルウェア配布元ホストの傾向を把握できた．の取得数は 234 個であり，3 月 14 日においてはしかし，大半のマルウェア配布元ホストは，あ378 個であった．UNKNOWN マルウェア配布る一定期間のみに出現するものであった．よっ
元のホストは，3.2 節や 3.3 において出現した，て，マルウェア配布元ホストの情報をボットの長期的に活動するマルウェア配布元ホスト 4 台被害拡大対策に利用するには，マルウェア配布が 8 割を占めている．その内訳を表 2 に示し ，元ホストを長期間から見た場合の分析だけではなく，短期間から見た場合の分析も必要となる． 残りのホストの内訳を表 3 に示す．表内の数字
ダウンロード 配布元ホストの早期発見に向け， は，(1) そのホストが配布した UNKNOWN マルウェアの個数と，そのホストが配布した全て長期的にマルウェア配布元ホストを見た場合とのマルウェアの個数，(2) そのホストが配布しの差異について述べる．分析期間は，3 月 13 日
た全てのマルウェアにおいて UNKNOWN マルと 3 月 14 日の 2 日間である．

表 1: UNKNOWN マルウェア配布元ホスト
図 1，図 2 に出現したホスト
XX
XXX ホスト
67.215.A.A 72.10.X.X
211.95.X.X 67.18.X.X
67.215.B.B
XXX
日時
XX
3/13376376
157
10058
3/14416416
319
10050
図 1，図 2 に出現しなかったホスト
XXX
XXX ホスト 122.18.X.X 114.164.X.X 124.102.X.X
XXX
日時
X
3/13
161
3711
3/14
1459494.247.X.X
50138

表 2: 短期間から見た UNKNOWN マルウェア配布元ホスト (既出ホスト )
3/13
3/14

67.18.X.X
67.215.A.A
100 ／ 100（ 100% ） 0 ／ 376（ 0% ）100 ／ 100（ 100% ） 28 ／ 416（ 6.7% ）94.247.X.X
211.95.X.X
50 ／ 50（ 100% ） 55 ／ 157（ 35.0% ）138 ／ 138（ 100% ） 16 ／ 319（ 5.0% ）表 3: 短期間から見た UNKNOWN マルウェア配布元ホスト (新出ホスト )
3/13
3/14
3/13
3/14
3/13
3/14

61.235.X.X
0 ／ 22 （ 0% ）30 ／ 56（ 53.6% ）92.62.X.X
20 ／ 20（ 100% ）6 ／ 6（ 100% ）195.47.X.X
none
12 ／ 12（ 100% ）62.90.X.X
6 ／ 6（ 75.0% ）29 ／ 29（ 100% ）98.126.X.X
none
2 ／ 2（ 100% ）208.75.A.A
none
5 ／ 5（ 100% ）ウェアが占める比率，から構成される．
UNKNOWN マルウェアの個数より考察すると，UNKNOWN マルウェアの配布量はホストの活動期間に比例して伸びると予想できるが，UNKNOWN マルウェアの比率より考察すると，必ずし もそうとは限らない．例えば ，ホスト
72.10.X.X は活動期間は最も長いホストであったが，UNKNOWN マルウェアを配布した数は 0 である．また，3 月 14 日において最もマルウェア配布数が多いホスト 67.215.A.A の UNKNOWN
マルウェアの配布量が，僅か 6.7% であるのに対し，マルウェア配布量がホスト 67.215.A.A の配布量の 4 分の 1 程度のホスト 67.18.X.X は，全てのマルウェアが UNKNOWN マルウェアであった．つまり，マルウェア配布元ホストの活動期間やマルウェア配布量と，UNKNOWN マ

62.140.X.X
none
1 ／ 1（ 100% ）122.211.X.X
1 ／ 1（ 100% ）none
208.75.B.B
none
9 ／ 9（ 100% ）80.239.X.X
1 ／ 1（ 100% ）none
147.202.X.X
0 ／ 2（ 0% ）2 ／ 8（ 25.0% ）219.167.X.X
1 ／ 1（ 100% ）none

ルウェア配布量の関係性は薄い．これらの結果を踏まえ，3.5 節にて検証を行う．

3.5

UNKNOWN マルウェア配布元ホスト となりうるホスト の特徴分析

UNKNOWN マルウェア配布元ホストについて検証することを以下に述べる．
• UNKNOWN マルウェア配布元ホストの所属国による分類 (3.5.1 節)• UNKNOWN マルウェア配布元ホストとの通信において現れる特徴 (3.5.2 節)• UNKNOWN マルウェア配布元ホストの応答速度 (3.5.3 節)

表 4: UNKNOWN マルウェア配布元ホストの所属国による分別
ホスト数

US5CN
2JP2

その他
7た特徴は，マルウェアの感染を検知する際の指標の一つとして用いるのがよいと考えられる．

3.5.3

UNKNOWN マルウェア配布元ホスト の応答時間

これまでの分析結果において，UNKNOWN
マルウェア配布元ホストの大半は，多数の UNKNOWN マルウェアや既知のマルウェアを積極UNKNOWN 配布元ホストが，ある特定の地的に配布していることを示した．つまり，UN域に偏って所属している可能性も考えられるた
KNOWN マルウェアの配布元ホストは，多数
め，表 2，表 3 に出現した 16 ホストの所属国をのボット感染ホストからの接続要求を受け続けWHOIS プロトコル [4] を用いて分類した．(表 4ていると考えられる．さらに，UNKNOWN マ1 ) その結果，所属国によって大きな偏りはなく．
ルウェアを配布するために，何らかの形でマル所属国の情報から UNKNOWN 配布元ホストのウェアのアップデートを行っており，既知のマ特定や推測は難しい．
ルウェアのみを配布しているホストに比べると，ホストのネットワーク応答時間に何らかの特徴が現れると考えた．そこで，ハニーポットがマル
3.5.2 UNKNOWN マルウェア配布元ホスウェア配布元ホストに接続要求を行い，接続がト との通信において現れる特徴承認されるまでの時間に着目し，検証を行った．
攻撃通信データから確認できる，UNKNOWN
検証の詳細は，攻撃通信データのハニーポッ
配布元ホスト 4 ホスト (表 2) の特徴を示す．
ト 2 台と通信を行ったマルウェア配布元ホスト
4 ホストに共通する特徴として，全ての UNにおいて，ハニーポットがマルウェア取得の際，KNOWN マルウェア転送において tcp/80 番ポー
マルウェア配布元ホストとの 3 ウェイハンドシェ
トが使用されており，マルウェアの転送要求のイクを完了するまでの時間 (以下，接続完了時際にハニーポットから送信される，SYN パケッ間) の平均時間と，接続完了時間における標準偏ト，ACK パケット，RST パケット，FIN/ACK差，及び標準誤差を求めた．結果を表 5 に示す．
パケット，HTTP リクエストが 1 度に 2 回以上
表 5 の結果より，UNKNOWN 配布元ホス送信され，それによる重複パケットが発生する
トと既知のマルウェア配布元ホストを比較する特徴を観測した．また，4 ホスト中 3 ホストとと，標準偏差，及び標準誤差で，UNKNOWNの通信において，ハニーポットが FIN/ACK パ配布元ホストの値が高くなる特徴を示した．例
ケットを用いた正規の接続切断を行った後に，として，UNKNOWN マルウェアの配布元ホスRST パケットを送信する特徴を観測した．
ト 67.215.A.A と，既知のマルウェアのみの配布
しかし，これらの特徴は，UNKNOWN マル
元ホスト 72.10.X.X は，3 月 13 日と 3 月 14 日にウェアを配布するホストのみならず，既知のマおいて同数のマルウェアを配布しており (表 1)，ルウェアを配布するホストとの通信においても
表 5 において平均接続完了時間の値が近い．し確認できた．さらに，これらの特徴は，感染した
かし，ホスト 72.10.X.X はホスト 67.215.A.A にマルウェアの攻撃特性に左右されると考えられ，比べ，接続完了時間にばらつきが少ないため，UNKNOWN マルウェア配布元ホストの早期特標準偏差，及び標準誤差の値が小さい．つまり，定に用いることは難しい．よって，本節で述べ
ホスト 67.215.A.A は，マルウェアを配布する行動以外の何らかの行動の影響により，ハニー
ポットとの接続完了時間にばらつきが生じ，標1
US：アメリカ合衆国，CN：中国，JP：日本，準偏差，及び標準誤差の値が大きくなったと予
その他：イギリス，イスラエル，エストニア，カナダ，デンマーク，ド イツ，ラトビア
想する．

3.5.1

UNKNOWN マルウェア配布元ホスト の所属国による分類

表 5: マルウェア配布元ホストの接続完了時間の分析
UNKNOWN マルウェア配布元ホスト
67.18.X.X
67.215.A.A
94.247.X.X
211.95.X.X
平均接続完了時間 (ms)
標準偏差
標準誤差

平均接続完了時間 (ms)
標準偏差
標準誤差

168.8686667
7.361879938
3.292332797
72.10.X.X
216.3158
4.417365658
1.472455219

210.6174583
15.98932249
3.334004209

既知のマルウェア配布元ホスト
114.164.X.X
122.17.X.X

16.83654545
3.086028792
0.975887991

接続完了時間の標準偏差，及び標準誤差の閾値の決定により，UNKNOWN マルウェア配布元ホストの指標となる情報を得られる可能性を示した．

4

303.2366667
12.77546462
9.033617665

まとめと今後の課題

本稿では，CCC DATAset 2008・2009 の攻撃元データと攻撃通信データを用いて，長期間と短期間から見た場合のマルウェア配布元ホストの特徴を示し，UNKNOWN マルウェア配布元ホストの早期発見を目的とした分析結果と一考察について述べた．以下に分析結果をまとめる．
長期間におけるマルウェア配布元ホストの分
析では，約半数のマルウェア配布元ホストは特定できるが，残り半数のマルウェア配布元ホストを特定するのは困難であることを示した．また，短期間におけるマルウェア配布元ホストの分析
では，長期間におけるマルウェア配布元ホストの分析と同程度の情報を得られることを示した．
さらに，マルウェア対策ソフトで検知されない，UNKNOWN マルウェアを積極的に配布するホストの応答時間の検証を行い，UNKNOWN マ
ルウェア配布元ホストの早期特定に役立つ指標を示した．
今後の課題として，3.5.3 節において検証した，マルウェア配布元ホストとの接続完了時間の標
準偏差，及び標準誤差の閾値の検討と，評価が課題となる．また，本稿において分析できた UN-

9.943666667
1.550649828
1.096475009

196.8854444
12.22903586
4.323617091
122.18.X.X
9.884166667
1.290350394
0.577062239

KNOWN 配布元ホストとの通信データのサンプル数が少ないため，より多くの UNKNOWN配布元ホストとの通信データを分析する必要がある．
今後の展望として，我々が研究・開発を行っている，個人参加型のインターネット観測システム ABLA[5] を用いて，マルウェア配布元ホストの情報を共有し，ネットワーク管理者をターゲットとしたボットの拡大予想システムを構築する予定である．

参考文献[1] Markus Jakobsson，Zulﬁkar Ramzan：“Crimeware: Understanding New Attacks
and Defenses”，Addison-Wesley（ 2008 ）．
[2] 石井宏樹，他：“ダウンロード ホストに着目したマルウェアの活動分析”，MWS 2008，Vol.2008，No.8，pp.97–102，(2008)．
[3] 畑田充弘，他：マルウェア対策のための研究用データセットとワークショップを通じた研究成果の共有，MWS2009（ 2009 年 10 月）．
[4] RFC3912 - WHOIS protocol（ 2009/9/4 ）http://www.rfc-editor.org/rfc/rfc3912.txt[5] 葛野弘樹，他：“モバイルエージェントを用いた分散型インターネット観測システムの提案”，情報処理学会論文誌，Vol.47，No.5，pp.1393–1405（ 2006 ）．