CSS/MWS2015【MWSドライブ・バイ・ダウンロード】1A3-1

ネットワーク通信の相関性に基づく
Drive-by Download攻撃検知手法
株式会社PFU
アプライアンスソフトウェア事業部 技術部○寺田 成吾 小林 峻 小出 和弘 羽藤 逸文
瀬戸口 武研 道根 慶治 山下 康一

2015年10月21日©PFU LIMITED 2015

アジェンダ1 研究背景2 検知手法
-概要-

通信パターンの識別-

通信パターンの相関分析

3 評価方法4 評価結果-D3M 2015-Threatglass-

NCD in MWS Cup 2014

5 まとめ
©PFU LIMITED 2015

1

研究背景
Drive-by Download（DbD）攻撃の特徴
攻撃サーバ

改ざんされたサーバ②リダイレクト1. ユーザが改ざんされたサーバへアクセス
2. 攻撃サーバへリダイレクト③脆弱性攻撃3. ユーザ端末のアプリケーションの脆弱性を攻撃
4. 秘密裏にマルウェアをDL
ユーザーは一連の攻撃に気づけない④マルウェア
ダウンロード①Webアクセス 本検知手法は、③と④に着目
ユーザー端末©PFU LIMITED 2015

2

研究背景
他の検知手法• セキュリティ機器のログを用いた検知手法‐ URIやHTTPヘッダーの特徴

攻撃者による偽装や隠蔽に弱い• Webコンテンツを分析する検知手法‐‐‐‐

シグネチャとのパターンマッチ
難読化されたスクリプトの特徴
コンテンツのリンク構造
スクリプトやマルウェアの動的解析

解析コストが大きい
検知回避機能をもつマルウェアの存在©PFU LIMITED 2015

3

研究背景
我々が考案した検知手法
ネットワークトラフィックを直接観測する方式‐‐‐‐

ログよりも詳細な情報
リアルタイム分析
かんたん設置
攻撃者に監視されていることを察知されないマルウェア活動の遷移モデルを使用した検知方式‐ コンテンツの悪性検査を行わない軽量な実装‐ マルウェアの変化に強い検知手法の評価
未知のデータセットを用いて、DbD攻撃における本検知手法の有効性を評価©PFU LIMITED 20154

検知手法（概要）
ネットワークトラフィックのモニタリング
イーサネットタップやスイッチのミラーリング機能等を利用して、組織内の通信を直接モニタリング

外部組織内!

• セキュリティ製品のログからは得られない情報を分析• リアルタイムに分析©PFU LIMITED 20155

検知手法（概要）
マルウェア活動遷移モデル
マルウェアの活動をネットワークトラフィックの観点で整理

P1

P4
侵入実行形式
ファイルのダウンロード

P5

P6

P7

C&C検索

C&C通信

搾取情報のアップロード

P2

DbD攻撃検知で注目する部分

探索

P8
攻撃活動

P3
感染・浸潤

©PFU LIMITED 20156

検知手法（概要）
DbD攻撃検知の流れ
1. 通信パターンの識別
端末の通信内容を検査し、脆弱性攻撃やマルウェアのダウンロードを行った可能性がある通信を分類・収集
Phase1 (P1)
脆弱性が狙われるアプリケーションに関わる通信
Phase4 (P4)
実行ファイルのダウンロード通信

通信をモニタリング

？

？ ・・・

H

P1

H ・・・
H HTTP通信

検出した通信
P1
P4

P1

P1

P1

P4

2. 通信パターンの相関分析
あらかじめ定義した条件に基づいて、
通信それぞれの相関を分析し、DbD攻撃が疑われる事象を抽出©PFU LIMITED 2015

P1

P4

脆弱性攻撃？

マルウェア本体？

DbD攻撃に関する通信
7

検知手法（通信パターンの識別）
悪性コンテンツ候補侵入通信（Phase1）の識別
本検知手法では、下記いずれかのアプリケーションを対象としたデータであれば、脆弱性を攻撃する通信であるかにかかわらず、悪性コンテンツ候補のダウンロードであると識別
対象アプリケーション
Oracle Java Runtime
Adobe Flash Player
Microsoft Silverlight
Adobe Reader
Microsoft Internet Explorer

ダウンロードデータの種類
JAR, CLASS
SWF
XAP
PDF
HTML, JavaScript

脆弱性が狙われるアプリケーション

HTTPリクエストに含まれるURIや特徴的なヘッダーと、レスポンスに含まれるコンテンツの識別子(マジックナンバー)などを参照し、識別©PFU LIMITED 20158

検知手法（通信パターンの識別）
悪性コンテンツ候補侵入通信（Phase1）の識別例）Adobe Flash Player を対象とした通信の識別
いずれかの特徴を満たした場合、Phase1と識別▼ HTTPリクエスト

GET /contents/main.swf HTTP/1.1
SWFの拡張子ブラウザに組み込まれた Adobe Flash Player
がリクエストに付加するヘッダー

ボディ部に含まれるSWFのマジックナンバー

x-flash-version: 19.0…
▼ HTTPレスポンス

HTTP/1.1 200 OK
Flashのmedia typeContent-Length: 10000
Content-Type: application/x-shockwave-flash
CW……………………………………………………………………………………………………………

仮定
悪性コンテンツは脆弱性をもつ特定のアプリケーションによって解釈されるデータでなければならないため、攻撃者の自由度は低く偽装が難しい©PFU LIMITED 20159

検知手法（通信パターンの識別）
実行ファイルダウンロード通信（Phase4）の識別• リクエストURIやレスポンスのContent-Typeヘッダーなどが、表層的に解釈して実行ファイルであると考えられるもので、かつ実行可能なサイズのコンテンツであるもの• 実行ファイルのシグネチャに該当するコンテンツが含まれている※攻撃成功後のDL通信では、ファイル拡張子やHTTPヘッダーは偽装が容易であるため、実際のコンテンツの中身を検査することが必要※上記どちらかの条件に一致した場合、Phase4と識別▼ HTTPリクエスト▼ HTTPレスポンス

GET /contents/mal.exe HTTP/1.1
Host: www.example.com
User-Agent: Mozilla/………………

HTTP/1.1 200 OK
Content-Length: 10000
Content-Type: application/x-msdownload

MZシグネチャおよびPEヘッダーを識別©PFU LIMITED 2015

MZ…………………………………………………………………………………………………

10

検知手法（通信パターンの識別）
実行ファイルダウンロード通信（Phase4）の識別
Content-Typeヘッダーに示された情報から、ボディ部の整合性を検査。
整合性不一致の場合、怪しいコンテンツを実行ファイルのダウンロードの可能性がある通信とみなす
Content-Type (MIME Type)OK
image/jpeg
OKimage/gif
image/png
OK・・・
NG!
0x 2c 3e f2 32…(???)

0x ff d8 ff…(JPEG)
0x 47 49 46 38…(GIF)
0x 89 50 4e 47…(PNG)

実行ファイルではないが、偽装が行なわれている状況から、非常に怪しいコンテンツであると考え、Phase4として識別©PFU LIMITED 201511

検知手法（通信パターンの相関分析）
相関分析条件• 本検知手法ではコンテンツの内容が悪性かどうかを識別しないため、通信のふるまいから、脆弱性を攻撃する「Phase1」とマルウェア本体をダウンロードする「Phase4」を関連づけるための相関条件（CA）を定義• 通常のDbD攻撃では、攻撃者のサーバに対して、無駄なHTTP通信が行なわれないと仮定し、以下CA1~3の3つの相関条件を設定※CA = Correlation Analysis

CA1の条件TCP コネクション

Phase1…

同一のTCPコネクション上で、Phase1の後にPhase4を検出

Phase4
ユーザー端末©PFU LIMITED 2015

攻撃者のサーバ

12検知手法（通信パターンの相関分析）
CA2の条件TCP コネクション

Phase1

別々のTCPコネクションで、Phase1とPhase4を連続して検出

Phase4
ユーザー端末攻撃者のサーバ

CA3の条件TCP コネクション

別々のTCPコネクションで、Phase1とPhase4 を検出し、任意の正常なHTTP通信が1つ割り込み

Phase1
任意のHTTP

Phase4
ユーザー端末©PFU LIMITED 2015

攻撃者のサーバ

13

評価方法
評価環境
1000Base-Tで直結
pcap

送出用マシン（Linux）

tcpreplayコマンドを用いてpcapファイルを再生し、パケットデータを送出

評価用マシン（Linux）

プロミスキャスモードでパケットデータを取得し、本検知手法を実装したプログラムで解析

今回使用した評価データ
・D3M Dataset 2015 (MWS)・Threatglass (Barracuda)
・NCD in MWS Cup 2014 (MWS) ※誤検知の評価©PFU LIMITED 201514

評価結果（D3M 2015）
評価データ• D3Mには高対話型ハニークライアントが、URLブラックリストを巡回して得たDbD攻撃に関連するキャプチャデータが含まれている• キャプチャファイルを巡回サイトごとに分割し、脆弱性攻撃が成立してマルウェア本体のダウンロードが行なわれたサイトに関連するキャプチャファイル（11個）をピックアップ

評価結果
巡回URL数
マルウェアをDLした数
DbD検知数
検知率 (%)

D3M 2015
29911(2)※
981.8

CA1
CA2
CA3
合計

検知数
1809

割合(%)
11.1
88.90-※()内はマルウェア検体のユニーク数

同一サイトへのアクセスに関する2件のDbD攻撃が、検知できなかった©PFU LIMITED 201515

評価結果（D3M 2015）
検知できたDbD攻撃通信について実行ファイルのダウンロード通信では、Content-Typeヘッダーをimage/gifに偽装したものが見られた▼ HTTPリクエスト

GET /est***tes/z***.gif HTTP/1.0
Accept: */*Connection: Keep-Alive
User-Agent: Mozilla/4.0 (compatible; ***Host: www.el***.es※ *** :一部省略▼ HTTPレスポンス

HTTP/1.1 200 OK***
Content-Length: 78336***
Content-Type: image/gif

URIやヘッダーの情報だけでは、実行ファイルのダウンロードであることには気づけない→ 本手法の有効性

MZ......***!This program cannot be run in DOS mode.***PE***©PFU LIMITED 201516

評価結果（Threatglass）
評価データ• Threatglass は攻撃方法の理解などを目的に、Barracuda Networks社によって公開されているデータセットである。キャプチャデータが入手可能• 脆弱性攻撃が成立してマルウェア本体のダウンロードが行なわれたキャプチャファイル（65個）をピックアップ評価結果※キャプチャに含まれるジャンボフレームは、tcpedit コマンドを利用し、標準的なMTU長（1500バイト）に分割

キャプチャファイル数
DbD検知数
検知率 (%)

Threatglass
6565
100

CA1CA2CA3
合計

検知数1451065

割合(%)
21.5
78.5
0-

Threatglassのデータでは100%検知することができた©PFU LIMITED 201517

評価結果（NCD in MWS Cup 2014）
評価データ• NCDは昨年のMWS Cup開催期間中の通信をキャプチャしたもので、DbD攻撃に関する通信は含まれていないものとして評価• 無加工で利用
パケット収集期間
パケット数
通信バイト数 (GB)
宛先ユニークホスト数
HTTPリクエスト数
実行ファイルのDL数

9:34:37～12:05:57
6,864,565
5.72
1884
43,10084

評価結果• DbD攻撃の検知はなし• 誤検知（False-Positive）の評価としては、時間が短く、まだ不十分©PFU LIMITED 201518

まとめまとめ• DbD攻撃の特徴に着目した本検知手法によって、未知のトラフィックデータからDbD攻撃を検知できることを示した• URIやHTTPヘッダーなど、隠蔽や偽装が可能な情報ではなく、実際のコンテンツに着目する手法の有用性が示せた• 誤検知に関するデータが少なく、評価が不十分

課題
ネットワークトラフィックを用いた我々の検知手法において• 誤検知に関する十分な評価• C&C通信フェーズ等のマルウェア活動遷移モデルの評価• ネットワーク監視性能に関する評価©PFU LIMITED 2015

19

©PFU LIMITED 2015