ダウンロードホストに着目したマルウェアの活動傾向分析
石井宏樹† 佐藤和哉† 田端利宏‡†岡山大学工学部‡岡山大学大学院自然科学研究科

はじめに• ネットワーク上には多数のマルウェアが存在• 近年，ボットによる被害が大きな問題
ボットをはじめとするマルウェアの解析や対策法の検討
ダウンロードホストを重視した研究は少ない

研究用データセットCCC DATAset 2008の攻撃元データのダウンロードホストに着目し，マルウェアの特徴を分析＜目的＞
マルウェアの特徴を明らかにし，マルウェアのダウンロードを抑制するための指標となる情報を示すこと
2

調査項目(1) ダウンロードホストの活動期間
・ 活動期間：調査期間内で初めてダウンロードされた日 ～以降全くダウンロードされなくなる日(2) ダウンロードホストIPアドレスとマルウェアの種類数の関係(3) シグネチャファイル配布前後でのダウンロード回数の傾向(4) マルウェアの1日の平均ダウンロード回数と活動期間の関係
総ダウンロード回数
1日の平均ダウンロード回数 =活動期間(日)(5) ダウンロードホストIPアドレスとマルウェア名の関係
3ダウンロードホストの活動期間
マルウェアの実行ファイルは，ダウンロードホストからダウンロードダウンロードホストの活動期間の特徴の明確化

ダウンロードホストIPアドレス（258,711個）のうち，調査期間内のダウンロード回数の上位20個を抽出し，１日単位の傾向を分析＜抽出したIPアドレスの数が20個である理由＞• 調査期間内の総ダウンロード回数は，2,942,221回• 上位20個の総ダウンロード回数は，1,116,347回
全体の約38%を占める
上位20個を調査することで，十分な傾向分析が可能と判断

4

07/1
07 1/0/1 107 1/1/1 107 1/2/1 107 2/0/1 107 2/1/1 107 2/2/1 108 2/3/0 1
08 1/1/0 008 1/2/0 008 1/3/0 008 2/0/0 908 2/1/0 908 2/2/0 908 3/1/0 008 3/2/0 008 3/3/0 008 4/0/0 908 4/1/0 94/29

ダウンロード回数

活動期間の調査結果（1/3）

100000
105

10000
104

1000
103

100
102

72.AAA.AAA.AAA
220.BBB.BBB.BBB
207.CCC.CCC.CCC

101
101010(1) 長期間（3ヶ月以上）ダウンロードホストとして活動しているもの
5

07
/1
07 1/0/1 1
07 1/1/1 1
07 1/2/1 1
07 2/0/1 107 2/1/1 1
07 2/2/1 1
08 2/3/0 1
08 1/1/0 0
08 1/2/0 0
08 1/3/0 0
08 2/0/0 9
08 2/1/0 9
08 2/2/0 9
08 3/1/0 0
08 3/2/0 008 3/3/0 0
08 4/0/0 9
08 4/1/0 94/29

ダウンロード回数活動期間の調査結果（2/3）

100000105

100001041000
103

100
102

72.AAA.AAA.AAA
220.BBB.BBB.BBB
207.CCC.CCC.CCC

101
101010(2) 短期間（3ヶ月未満）ダウンロードホストとして活動しているもの
6

07
/1
07 1/0/1 1
07 1/1/1 1
07 1/2/1 107 2/0/1 1
07 2/1/1 1
07 2/2/1 1
08 2/3/0 1
08 1/1/0 0
08 1/2/0 0
08 1/3/0 0
08 2/0/0 9
08 2/1/0 908 2/2/0 908 3/1/0 008 3/2/0 008 3/3/0 008 4/0/0 908 4/1/0 94/29

ダウンロード回数

活動期間の調査結果（3/3）

100000105

100001041000
103

100
102

72.AAA.AAA.AAA
220.BBB.BBB.BBB
207.CCC.CCC.CCC

101101010(3) 長期間ダウンロードホストとして活動しており，活動期間の間に71ヶ月以上活動していない期間を含むもの（複数期間）

活動期間の調査結果まとめ
ダウンロードホストIPアドレスと活動期間の関連の分類(1) 長期間（3ヶ月以上）ダウンロードホストとして活動(2) 短期間（3ヶ月未満）ダウンロードホストとして活動(3) 複数期間ダウンロードホストとして活動抽出した上位20個についての分析結果
特徴個数（1） 長期間（2） 短期間（3） 複数期間5個12個
3個

短期間活動しているものが多い＜考察＞• 攻撃者は，ダウンロードホストが停止させられた場合にも，マルウェアの頒布続行• そのために，ダウンロードホストIPアドレスを頻繁に変更
8ダウンロードホストIPアドレスとマルウェアの種類数の関係＜予想＞
複数のマルウェアがダウンロードされるダウンロードホストIPアドレスからの通信を遮断

複数のマルウェアの感染防止が可能
総ダウンロード回数の多いダウンロードホストIPアドレスから，ダウンロードされるマルウェアの種類数の傾向を調査＜使用したダウンロードホストIPアドレス＞
調査期間内のダウンロード回数が上位20位まで
9ダウンロード回数とマルウェアの種類数の関係の調査結果（1/2）
160

マルウェアの種類数：上位2つは1位と8位
下位2つは2位と4位
ダウンロード回数とマルウェアの種類数には，関連性なし

マルウェアの種類(個)

140
120
100
80
60
40
200
12

3

4

5

678

9 10 11 12 13 14 15 16 17 18 19 20

ダウンロードホストIPアドレスの順位

10ダウンロード回数とマルウェアの種類数の関係の調査結果（2/2）
順位

平均ダウン
ロード回数

標準偏差

種類数

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

6125.633793.7
1296.6
9701.0478.2
1523.81701.7
139.4
326.8
158.1
1178.6254.6
277.5
1267.0187.5
154.7
241.2409.5
723.0
338.8

9226.947778.7
1933.99693.0752.61464.31665.9
147.1
559.4
170.6
1867.0602.7
539.4
1021.6
111.6
201.4
409.7
302.6
833.7
265.1

13532624097773262834
2952630
1911611

ダウンロード回数とダウンロードされたマルウェアの種類の特徴(1) ダウンロード回数の大部分が1か
ら数種類の特定のマルウェア
例：2位，17位(2) ダウンロード回数の大部分を占めるマルウェアが存在しない
例：8位，15位＜考察＞(1)：特定のマルウェアの拡大防止可能(2)：多種のマルウェアの拡大防止可能11シグネチャファイル配布前後でのダウンロード回数の傾向• シグネチャファイルの配布により，マルウェアの駆除が可能• 攻撃者は，解析されたマルウェアの使用中止，もしくは使用困難に＜予想＞解析されていない状態と解析後の状態の比較から，ダウンロード回数の減少などの傾向有り
マルウェアのハッシュ値ごとのダウンロード回数の変化とシグネチャファイルの配布日の関連を調査
12

08/08 01//0 1108 1//0 1608 1//0 21
08 1// 208 01/ 6/ 308 02/ 1/ 008 02/ 5/ 108 02/ 0/ 1508 02// 2008 02// 208 03/ 5/ 008 03/ 1/ 008 03/ 6/ 1108 03// 1608 03// 208 03/ 1/0 26
08 3/
/0 31
08 4/
/0 05
08 4/
/0 1008 4//0 15
08 4/
/0 20
08 4//0 25
4/30

ダウンロード回数

シグネチャファイル配布前後の傾向
調査結果（1/3）
3000

2500

シグネチャファイルの配布日（2008/1/21）

2000

1500

1000

5000(1) シグネチャファイル配布後にダウンロード回数が減少
13

07/12/0 7 01/12/0 7 03/1
207 /05/1207 /07
/12/
0 7 09/1
2/
0 7 11/1
2/
0 7 13/1
2/
0 7 15/1
2/
0 7 17/1
207 /19/1
2/
0 7 21/1
207 /23/1
2/
0 7 25/1
2/
0 7 27/1
2/29

ダウンロード回数

シグネチャファイル配布前後の傾向
調査結果（2/3）
3000

2500

シグネチャファイルの配布日（2007/12/14）

2000

1500

1000

5000(2) ダウンロード回数の変化がほぼ一定
1407/08 12// 308 01/ 1/ 008 01/ 5/ 108 01/ 0/ 108 01/ 5/ 208 01/ 0/ 208 01/ 5/ 308 02/ 0/ 008 02/ 4/ 008 02/ 9/ 108 02/ 4/ 108 02/ 9/ 208 02/ 4/ 208 03/ 9/ 008 03/ 5/ 108 03/ 0/ 108 03/ 5/ 208 03/ 0/ 208 03/ 5/ 308 04/ 0/ 008 04/ 4/ 008 04/ 9/ 108 04/ 4/ 108 04/ 9/0 244/29

ダウンロード回数

シグネチャファイル配布前後の傾向
調査結果（3/3）
4000

3500

3000

2500

2000

1500

1000

シグネチャファイルの配布日（2008/1/29）

500

0(3) 活動開始日付近のみダウンロード回数が多い
15シグネチャファイル配布前後の傾向
調査結果のまとめシグネチャファイル配布前後でのダウンロード回数の傾向分類(1) シグネチャファイル配布後にダウンロード回数が減少(2) ダウンロード回数の変化がほぼ一定(3) 活動開始日付近のみダウンロード回数が多い＜分類結果＞• (2)と(3)に該当するマルウェアがほとんど• (1)はシグネチャファイルの配布日が(3)の急激に減少する時期に偶然重なっただけ

シグネチャファイル配布前後でのダウンロード回数に明確な変化なし
16マルウェアの1日の平均ダウンロード回数と活動期間の関係• マルウェアの存在が明らかになると，解析が行われる• 攻撃者は，解析されたマルウェアの使用中止，もしくは使用困難に＜予想＞(1) 1日の平均ダウンロード回数が多いマルウェア存在が明らかになりやすいため，活動期間が短い(2) 1日の平均ダウンロード回数が少ないマルウェア
活動期間が長いマルウェアごとの1日の平均ダウンロード回数とそのマルウェアの活動期間について調査
17

平均ダウンロード回数と活動期間の調査結果
5

1日の平均ダウンロード回数

10000010

活動期間：20日以下に全体の約56%

4

10000
10

最長で23日，活動期間が長いものは存在しない

3
1000
10
21010011010

1001-1100.1-20.01
10020
2350100

活動期間(日)150200

活動期間長：平均ダウンロード回数の少ないものが多い 18

平均ダウンロード回数と活動期間の調査結果のまとめ
1日の平均ダウンロード回数と活動期間の関係(1) 平均ダウンロード回数の多いマルウェア：活動期間が短い
マルウェアの早期解析，シグネチャファイル配布等の対策が有効(2) 平均ダウンロード回数の少ないマルウェア：活動期間が長い
ダウンロードホストの早期停止等のマルウェア拡散への対策が有効

19

ダウンロードホストIPアドレスとマルウェア名の関係• マルウェアの実行ファイルはダウンロードホストからダウンロード• 用いられるIPアドレスは，攻撃者により指定＜予想＞(1) マルウェア名とダウンロードホストIPアドレスには，関連性有り(2) 特定のマルウェアに着目したとき，用いられるダウンロードホス
トIPアドレスの活動期間には，特徴有り

20

IPアドレスとマルウェアの関係の調査結果（1/4）＜ダウンロードホストの分類＞(1) 多種のマルウェアがダウンロードされるホスト(2) 1，2種類のみのマルウェアがダウンロードされるホスト＜マルウェアの分類＞(1) 多数のダウンロードホストからダウンロード(2) 1，2個のダウンロードホス
トからのみダウンロード
21

IPアドレスとマルウェアの関係の調査結果（2/4）
多種のマルウェアがダウンロードされるダウンロー
ドホスト

活動期間が比較的長い
72.AAA.AAA.AAA
活動期間：2007/11/012008/04/30（182日）

22

IPアドレスとマルウェアの関係の調査結果（3/4）220.DDD.DDD.DDD
活動期間：2007/12/082008/02/12（57日）

ダウンロードされたマルウェ
アが1，2種類しかないダウ
ンロードホスト

活動期間が比較的短い

125.EEE.EEE.EEE
活動期間：2008/01/262008/01/29（4日）

23

IPアドレスとマルウェアの関係の調査結果（4/4）

多数のダウンロードホストからダウンロードされるマルウェア

利用するホストには，長期間（3ヶ月以上）活動するダウンロード
24
ホストが含まれるIPアドレスとマルウェアの関係の調査
結果の考察
活動期間の長いダウンロードホストの特定(1) 多種のマルウェア感染の拡大防止(2) 長期間のダウンロードによる，特定のマルウェアの感染の拡大防止

25

まとめ
＜調査内容＞
攻撃元データのダウンロードホストに着目し，マルウェアの特徴を分析＜調査結果＞(1) ダウンロードホストの活動期間長期間，短期間，および複数期間の3種類に分類可能(2) ダウンロード回数とマルウェアの種類数の関連性は薄い(3) シグネチャファイル配布前後でダウンロード回数の変化は小さい(4) 1日の平均ダウンロード回数が多いマルウェアの活動期間は短い(5) ダウンロードホストの活動期間が長いものほど，ダウンロードされるマルウェアの種類数が多い
26