ダウンロードホストに着目したマルウェアの活動傾向分析
石井宏樹 †佐藤和哉 †田端利宏 ‡† 岡山大学工学部
700-8530 岡山市津島中 3-1-1‡ 岡山大学大学院自然科学研究科
700-8530 岡山市津島中 3-1-1{h-ishii, sato}@swlab.cs.okayama-u.ac.jp

tabata@cs.okayama-u.ac.jp

あらまし 近年，マルウェアの一種であるボットによる被害が問題となっている．これに対して，ネットワークを介したマルウェアの感染動作，およびボット感染時の情報に着目した研究が行われている．一方で，ダウンロードホストを重視した調査は少ない．本稿では，ダウンロードホストとマルウェアの関係，およびマルウェアの活動の特徴に着目し，研究用データセット CCC DATAset
2008 の攻撃元データから分析したマルウェアの活動傾向について述べる．

Analysis of Malware Activities Based on Download Hosts
Hiroki Ishii†

Kazuya Sato†

Toshihiro Tabata‡†Faculty of Engineering, Okayama University
3-1-1, Tsushima-naka, Okayama 700-8530, Japan‡Graduate School of Natural Science and Technology, Okayama University
3-1-1, Tsushima-naka, Okayama 700-8530, Japan

Abstract Recently, damage caused by bot is one of serious problem. The bot is a kind ofmalware. Therefore, there are studies based on infection behavior of malware through networkand on the information of the bot infected state. On the other hand, there is few studies based on
download hosts. In this paper, we describe an analysis of malware activities analyzed from theattack data of “CCC DATAset 2008”. Specifically, we focus on the relation between download
hosts and malware and the characteristics of malware activities.
はじめに量送信や特定サイトへの DDoS 攻撃といった攻撃活動を行う．このため，ボットにはウイルス
現在，ネットワーク上には多数のマルウェアやワームよりも被害の規模が大きいという特徴が存在している．文献 1) によると，2007 年度の日本国内におけるマルウェアの被害報告数は， がある．また，ボットは，自分自身の存在を隠63,726 件であり，被害件数は多い．また，近年， 蔽する機能，および攻撃者によってボットの更新を可能にする機能を持つ．これらの特徴によマルウェアの一種であるボットによる被害が大り，ボットの発見と対策が困難になっている 2) ．
きな問題となっている．ボットとは，ネットワー以上のことから，ボットをはじめとするマルク経由で操作可能なマルウェアのことである．
ウェアの解析や対策法の検討が行われている．
ボットの特徴の 1 つとして，感染した計算機
文献 3) では，Nepenthes を用いて収集したマルで「ボットネット」と呼ばれるネットワークをウェア情報を元に，ネットワークを介したマル形成することが挙げられる．攻撃者は，形成さウェアの感染動作に着目した調査が行われていれたボットネットを用いて，スパムメールの大1

る．文献 4) では，フィールド調査により，ボット感染時の動作，感染後の動作，およびボットのソースコードの解析が行われている．また，ボットネットの基本的対策として，攻撃を受けた際の対策，攻撃力を軽減するための対策，およびボットに利用される計算機等を減らすための対策がある．一方で，ダウンロードホストを重視した研究は少ない．
そこで，本論文では，研究用データセット CCC
DATAset 2008 の攻撃元データ（以降，攻撃元データ）のダウンロードホストに着目し，マルウェアの特徴を分析した．本調査の目的は，マルウェアの特徴を明らかにし，マルウェアのダウンロードを抑制するための指標となる情報を示すことである．具体的には，ダウンロードホ
ストの活動期間，IP アドレスとマルウェアの種類数の関係，シグネチャファイル配布前後でのダウンロード回数の傾向，マルウェアの 1 日の平均ダウンロード回数と活動期間との関係，および IP アドレスとマルウェア名の関係について述べる．

上位 20 個を抽出して，1 日単位の傾向を分析した．抽出した IP アドレスの数が 20 個である理由
は，調査期間中の総ダウンロード回数 2,942,221回に対し，上位 20 個の総ダウンロード回数は1,116,347 回で全体の約 38 ％を占めていることである．このため，上位 20 個を調査することにより，十分な傾向分析ができると判断した．
(2) ダウンロードホスト IP アドレスとマルウェ
アの種類数の関係
数種類のマルウェアがダウンロードされる
ダウンロードホスト IP アドレスからの通信を遮断することで，複数のマルウェアからの感染を防げると考えられる．そこで，調査期間中に総ダウンロード回数の多いダウンロードホスト
IP アドレスから，ダウンロードされるマルウェアの種類数の傾向を調査した．本調査では，(1)で抽出した，20 個のダウンロードホスト IP アドレスを使用した．
(3) シグネチャファイル配布前後でのダウンロード回数の傾向
シグネチャファイルの配布により，マルウェアを駆除できるようになると，攻撃者は，解析
2 調査内容されたマルウェアを使用しなくなる．あるいは，調査項目を以下に示す．
使用困難になると考えられる．このため，解析(1) ダウンロードホストの活動期間(2) ダウンロードホスト IP アドレスとマルウェ されていない状態（UNKNOWN）と解析後の状態（マルウェア名が付けられている）の比較
アの種類数の関係(3) シグネチャファイル配布前後でのダウンロー から，ダウンロード回数の減少などの傾向が得られると考えられる．
ド回数の傾向そこで，マルウェアのハッシュ値ごとのダウ(4) マルウェアの 1 日の平均ダウンロード回数
ンロード回数の変化とシグネチャファイルの配と活動期間の関係(5) ダウンロードホスト IP アドレスとマルウェ 布日の関連について調査した．
(4) マルウェアの 1 日の平均ダウンロード回数
ア名の関係と活動期間との関係
以下に，各項目の詳細を述べる．
マルウェアの存在が明らかになると，解析が(1) ダウンロードホストの活動期間
マルウェアの実行ファイルは，ダウンロード行われるため，攻撃者はそのマルウェアを使用ホストからダウンロードされる．このため，ダしなくなる．あるいは，使用困難になると考えウンロードホストの活動期間には特徴があるとられる．このため，1 日の平均ダウンロード回考えられる．活動期間とは，調査期間内で初め数が多いマルウェアほど存在が明らかになりやてダウンロードされた日から，以降全くダウンすいため，活動期間が短いと考えられる．一方，ロードされなくなる日までの期間のことである． 1 日の平均ダウンロード回数が少ないマルウェ
調査期間は，2007 年 11 月 1 日から 2008 年 4 月
アほど，活動期間が長いと考えられる．
30 日までの 6ヶ月間である．
そこで，マルウェアごとの 1 日の平均ダウン
本調査では，ダウンロードホスト IP アドレ
ロード回数とそのマルウェアの活動期間についス（258,711 個）のうち，ダウンロード回数のて調査した．1 日の平均ダウンロード回数とは，

5100000
101604)120(個類100種のアェ80ウ60ル
マ40

140

10000
10

数回
ド1000ーロン100
ウダ103

1072.AAA.AAA.AAA
220.BBB.BBB.BBB
207.CCC.CCC.CCC

211010200101

001 11 21 01 11 21 31 10 20 30 09 19 29 10 20 30 09 19 29
1/ 1/ 1/ 2/ 2/ 2/ 2/ 1/ 1/ 1/ 2/ 2/ 2/ 3/ 3/ 3/ 4/ 4/ 4//1 /1 /1 /1 /1 /1 /1 /0 /0 /0 /0 /0 /0 /0 /0 /0 /0 /0 /007 07 07 07 07 07 07 08 08 08 08 08 08 08 08 08 08 08 08

図 1 日付とダウンロード回数の関係

123456789 10 11 12 13 14 15 16 17 18 19 20

ダウンロードホストIPアドレスの順位

図 2 ダウンロード IP アドレス上位 20 個のマルウェアの種類数

表 1 抽出した 20 個の活動期間の分類
特徴(1) 長期間(2) 短期間(3) 複数期間

個数
5個
12 個
3個

マルウェアの総ダウンロード回数をマルウェアの活動期間で割ったものである．

(5) ダウンロードホスト IP アドレスとマルウェ
ア名の関係
マルウェアの実行ファイルは，ダウンロードホストからダウンロードされる．このとき用いられる IP アドレスは，攻撃者によって指定される．このため，マルウェア名とダウンロードホスト IP アドレスには，関連性があると考えられる．また，特定のマルウェアに着目したとき，用いられるダウンロードホスト IP アドレスの活動期間には，関連があると考えられる．
そこで，本調査では，マルウェア名とダウンロードホスト IP アドレス，および IP アドレスの活動期間の関連性について調査した．
3
3.1

調査結果
ダウンロードホストの活動期間

調査結果を図 1 に示す．抽出した上位 20 個のダウンロードホスト IP アドレスについて分析すると，ダウンロードホスト IP アドレスと活動期間の関連について，以下の 3 種類に分類できる．

(1) 長期間（3ヶ月以上）ダウンロードホストとして活動しているもの
例：72.AAA.AAA.AAA(2) 短期間（3ヶ月未満）ダウンロードホストとして活動しているもの
例：220.BBB.BBB.BBB(3) 長期間ダウンロードホストとして活動しており，活動期間の間に 1ヶ月以上活動していない期間を含むもの（複数期間）
例：207.CCC.CCC.CCC
さらに，抽出した 20 個のダウンロードホス
ト IP アドレスを (1)〜(3) に分類した．分類した結果を表 1 に示す．表 1 から，(2) に該当するものが多いことがわかる．
このことより，攻撃者は，ダウンロードホストが停止させられた場合にもマルウェアを頒布し続けるために，ダウンロードホストの IP アドレスを頻繁に変更していると考えられる．
3.2

ダウンロードホスト IP アドレスとマルウェアの種類数の関係調査結果を図 2 に示す．また，各ダウンロー
ドホスト IP アドレスにおけるマルウェア 1 種類あたりの平均ダウンロード回数，平均ダウンロード回数の標準偏差，およびマルウェアの種類数について表 2 に示す．
図 2 より，マルウェアの種類数の上位 2 つは1 位と 8 位であり，下位 2 つは 2 位と 4 位であることがわかる．このことより，ダウンロード回数とダウンロードされたマルウェアの種類数には，関連性はみられない．
しかし，図 2，および表 2 の調査結果から，調査期間中にダウンロードされたマルウェアの種類とダウンロード回数に関して，以下の 2 種類に分類できる．

(1) ダウンロード回数の大部分を 1 から数種類の特定のマルウェアが占める(2) ダウンロード回数の大部分を占めるマルウ
ェアが存在しない表 2 抽出した 20 個の平均ダウンロード回数，標準偏差，およびマルウェアの種類数
順位

1234567891011121314151617181920

平均ダウン
ロード回数
6125.633793.7
1296.6
9701.0478.2
1523.81701.7139.4326.8158.11178.6
254.6
277.5
1267.0
187.5
154.7
241.2
409.5
723.0
338.8

標準偏差

種類数

9226.947778.7
1933.99693.0752.61464.31665.9
147.1
559.4
170.6
1867.0602.7
539.4
1021.6
111.6
201.4
409.7
302.6
833.7
265.1

135
3
262
40
97
77
32
628
34
2952630
1911611

また，総ダウンロード回数の少ないダウンロードホストについても調査した結果，同様に2 種類に分類できる．
このことより，平均ダウンロード回数，標準偏差，および種類数を基に，(1) の特徴を持つダウンロードホストを特定することで，特定のマルウェアの拡大を防止できると考えられる．また，(2) の特徴を持つダウンロードホストを特定することによって，多種のマルウェアの拡大を防止できると考えられる．

3.3

シグネチャファイル配布前後でのダウンロード回数の傾向特徴が見られた代表的なものについて，調査した結果を図 3〜図 5 に示す．
図 3 のようにシグネチャファイル配布日前後でダウンロード回数が減少するマルウェアも存在する．しかし，実際には，図 4 のようにダウンロード回数がほぼ一定のマルウェア，および
図 5 のように活動開始日付近のみダウンロード回数が多く，その後は急激に減少するマルウェ
アがほとんどである．このため，図 3 は，シグネチャファイルの配布日が図 5 の急激に減少する時期に偶然重なっただけと考えられる．

3000
2500

数2000
回
ドー
ロン1500ウダ1000

シグネチャファイルの配布日（2008/1/21）

500
0
1 6 1 6 1 5 0 5 0 5 1 6 1 6 1 6 1 5 0 5 0 5 0/1 /1 /2 /2 /3 /0 /1 /1 /2 /2 /0 /0 /1 /1 /2 /2 /3 /0 /1 /1 /2 /2 /301 /01 /01 /01 /01 /02 /02 /02 /02 /02 /03 /03 /03 /03 /03 /03 /03 /04 /04 /04 /04 /04 /04/08 08 08 08 08 08 08 08 08 08 08 08 08 08 08 08 08 08 08 08 08 08 08

図 3 シグネチャファイル配布後にダウンロー
ド回数が減少するマルウェア
3000
2500

数2000
回
ドー
ロン1500ウダ1000

シグネチャファイルの配布日（2007/12/14）

500

001 03 05 07 09 11 13 15 17 19 21 23 25 27 29
2/ 2/ 2/ 2/ 2/ 2/ 2/ 2/ 2/ 2/ 2/ 2/ 2/ 2/ 2//1 7/1 7/1 7/1 7/1 7/1 7/1 7/1 7/1 7/1 7/1 7/1 7/1 7/1 7/17000000000000000

図 4 ダウンロード回数の変化がほぼ一定のマルウェア
図 3 を図 5 の一種とした場合，シグネチャファイル配布前後でのダウンロードの回数に明確な変化は見られなかったことになる．しかし，ダウンロード回数の変化は，以下の 2 種類に分類できる．
(1) 図 4 のように，マルウェアの活動中はダウンロード回数の変化がほぼ一定(2) 図 5 のように，マルウェアの活動開始日からおよそ 10〜20 日以内の間はダウンロード回数が多く，その後はダウンロード回数が急激に減少
また，マルウェアの亜種をひとまとめにした
マルウェアの種類別に，ダウンロード回数の変化に同様の傾向が見られないか調査した．しかし，調査した結果，同じ種類のマルウェアの中でも上記の (1)，(2) の 2 種類がどちらも存在していた．このため，マルウェアの種類別ではダウンロード回数の変化に明確な特徴を持たない．
さらに，同じマルウェア名でもハッシュ値ごとに特徴があるか調査した．調査結果の一部として，BKDR VANBOT.AD についての調査結果を表 3 に示す．ハッシュ値が eb52cab976・・・であ54000

100000103500

4

数3000
回
ド2500
ーロン2000
1500
ウダ1000

シグネチャファイルの配布日（2008/1/29）

500
031 05 10 15 20 25 30 04 09 14 19 24 29 05 10 15 20 25 30 04 09 14 19 24 29
2/ 1/ 1/ 1/ 1/ 1/ 1/ 2/ 2/ 2/ 2/ 2/ 2/ 3/ 3/ 3/ 3/ 3/ 3/ 4/ 4/ 4/ 4/ 4/ 4//1 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0 8/0
70 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0

図 5 活動開始日付近のみダウンロード回数が多いマルウェア

10数10000回
3ド101000ー
ロ 2ン10100
ウ1ダ1010均
平 01の10日-11 100.1-20.01
10050

100
活動期間(日)150200

図 6 1 日の平均ダウンロード回数と活動期間の関係

数と活動期間の正確な関係が取れない．このため，本調査では，調査開始日である 2007 年 11
マルウェア名UNKNOWN
月 1 日，および調査終了日である 2008 年 4 月
UNKNOWN
eb52cab976・・・ 2008/1/11
930 日にダウンロードされたマルウェアを調査対
BKDR VANBOT.AD eb52cab976・・・ 2008/1/162
BKDR VANBOT.AD eb52cab976・・・ 2008/1/18
4
象から除外した．調査対象となるマルウェアは，
BKDR VANBOT.AD eb52cab976・・・ 2008/1/19
7780 個である．各マルウェアの 1 日の平均ダウ
BKDR VANBOT.AD eb52cab976・・・ 2008/1/21
2
UNKNOWN
9d6c66bf09・・・ 2008/1/22
967
ンロード回数と活動期間との関係を図 6 に示す．
BKDR VANBOT.AD eb52cab976・・・ 2008/1/222
図 6 より，マルウェアの活動期間は，20 日以UNKNOWN
9d6c66bf09・・・ 2008/1/23
1985
BKDR VANBOT.AD eb52cab976・・・ 2008/1/23
2
下に全体の約 56 ％が集中している．また，活BKDR VANBOT.AD 9d6c66bf09・・・ 2008/1/24
2043
動期間が長くなると，1 日の平均ダウンロード回数の少ないものが比較的多くなる．さらに，る BKDR VANBOT.AD は，2008/1/11 以降，1 日の平均ダウンロード回数が 103 以上のマルマルウェア名が UNKNOWN から BKDR VAN
ウェアの活動期間は，最長で 23 日であり，活動BOT.AD に変化している．このことは，2008/1/期間が長いものは存在しない．
11 から 2008/1/15 の間にシグネチャファイルのこれらのことより，1 日の平均ダウンロード配布が行われたことを示している．また，2008/1
回数が多いマルウェアほど，早期にマルウェア/22 には，ハッシュ値が 9d6c66bf09・・・であるの解析を行い，シグネチャファイルの配布などBKDR VANBOT.AD が新たにダウンロードさの対策が必要となると考えられる．また，1 日れている．このことから，シグネチャファイルの平均ダウンロード回数が少ないマルウェアでが配布された数日後に，マルウェアの更新が行も，早期にダウンロードホストを停止させるなわれたと考えられる．2008/1/22 におけるマル
どのマルウェア拡散への対策が有効になると考ウェアの更新前後の 1 日のダウンロード回数は，えられる．
更新前は 2 回，更新後は 967 回である．このた
3.5 ダウンロードホスト IP アドレスとマルめ，マルウェアの更新前後ではダウンロード回
ウェア名の関係数に明確な変化がある．
表 3 各ハッシュ値の 1 日のダウンロード回数
マルウェアの取得日
ハッシュ値
eb52cab976・・・ 2008/1/10

ダウンロー
ド回数
20

ダウンロードホスト IP アドレスとマルウェ
このことから，シグネチャファイル配布後も，ア名の関係を，図 7 に示す．図 7 は，各ダウンマルウェアの更新に対する注意が必要であるこ
ロードホストからのマルウェアのダウンロードとがわかる．
回数が 500 回以上のものを示している．
3.4 マルウェアの 1 日の平均ダウンロード回
図 7 より，ダウンロードホストは，多種のマ数と活動期間との関係
ルウェアがダウンロードされるダウンロードホ
調査期間をまたいで活動しているマルウェ
スト，およびダウンロードされたマルウェアがアは，マルウェアの 1 日の平均ダウンロード回
1，2 種類しかないダウンロードホストの 2 種類

期間：107 日），および WORM IRCBOT の124.GGG.GGG.GGG（活動期間：133 日）が挙げられる．
これらのことより，活動期間の長いマルウェ
アのダウンロードホストを特定することで，多種のマルウェア感染の拡大を防止できると考えられる．また，特定のマルウェアが長期間ダウンロードされ，感染が拡大することも防止できると考えられる．

4

図 7 ダウンロードホスト IP アドレスとマルウェア名の関連に分類できる．
多種のマルウェアがダウンロードされるダウンロードホストについては，活動期間が比較的長い．特に，72.AAA.AAA.AAA（活動期間：182 日）からダウンロードされたマルウェアは種類，ダウンロード回数ともに多い．一方，ダウンロードされたマルウェアが 1，2 種類しかな
いダウンロードホストについては，活動期間が比較的短い．例として，220.DDD.DDD.DDD（活動期間：57 日），125.EEE.EEE.EEE（活動期間：4 日）が挙げられる．
また，マルウェアについては，多数のダウンロードホストからダウンロードされるマルウェ
ア，および 1，2 個のダウンロードホストからしかダウンロードされないマルウェアに分類できる．
多数のダウンロードホストからダウンロードされるマルウェアが利用するホストの活動期間に着目すると，長期間（3ヶ月以上）活動しているダウンロードホストが含まれている．例として，PE VIRUT の 218.FFF.FFF.FFF（活動おわりに攻撃元データを基にダウンロードホストに着目してマルウェアの特徴を分析した結果を報告した．
調査結果から，ダウンロードホスト，およびマルウェアには以下の特徴があるといえる．ダウンロードホストの活動期間は，長期間，短期間，および複数期間の 3 種類に分類可能である．
ダウンロードホストからのダウンロード回数とダウンロードされるマルウェアの種類数の関連性は薄い．シグネチャファイル配布前後でダウンロード回数の変化は小さい．しかし，マルウェ
アの更新前後ではダウンロード回数が変化する．
1 日の平均ダウンロード回数が多いマルウェアの活動期間は短い傾向にある．ダウンロードホ
ストの活動期間が長いものほど，ダウンロードされるマルウェアの種類数が多い傾向にある．
謝辞 本研究の一部は，中島記念国際交流財団 日本人若手研究者研究助成の支援を受けて行った．
参考文献[1] トレンドマイクロ ウイルス感染被害レポート 2007 年度（最終版），
http://jp.trendmicro.com/jp/threat/security
news/monthlyreport/article/20080108011916.
html[2] サイバークリーンセンター (CCC) — ボット ウ
イルスとは，
https://www.ccc.go.jp/bot/index.html[3] 藤原将志，寺田真敏，安部哲哉，菊池浩明， マルウェアの感染動作に基づく分類に関する検討，情報処理学会研究報告，Vol.2008，No.21，2008CSEC-40，pp.177–182，March 2008.

[4] 高橋正和，村上純一，須藤年章，平原伸昭，佐々木良一， フィールド調査によるボットネットの挙動解析， 情報処理学会論文誌，Vol.47，No.8，pp.2512–2523，August 2006.