Japan Computer Emergency Response
Team Coordination Center

電子署名者 : Japan Computer Emergency Response
Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan ComputerEmergency Response Team Coordination Center,
cn=Japan Computer Emergency Response TeamCoordination Center
日付 : 2015.07.03 15:08:15 +09'00'

20分でわかる
イマドキのサイバー攻撃

2015/05/13 MWS 2015 意見交換会
JPCERT/CC 分析センター
中津留 勇

今回の内容目的• 研究動向に左右されない、サイバー攻撃の動向紹介• 動向調査時間の削減• 研究の幅の拡大、方向性チェック
前提• 紹介するのは、以下のマルウェア関連情報の「一部」• JPCERT/CC に報告のあったインシデント• 日本国内で話題になったインシデント

1Copyright©2015JPCERT/CC All rights reserved.

DRIVE-BY-DOWNLOAD
攻撃
2Copyright©2015JPCERT/CC All rights reserved.

Drive-by-Download 攻撃
Web ブラウザやアドオンを狙った攻撃

3

Copyright©2015JPCERT/CC All rights reserved.

改ざん内容の変化

4

Copyright©2015JPCERT/CC All rights reserved.

Exploit Kit の現在インシデント対応において見るもの• Angler Exploit Kit• Nuclear Exploit Kit• RIG Exploit Kit• Fiesta Exploit Kit

脆弱性情報

分析の難しさ• 製品の移り変わり、リーク版の減少• 難読化の強化

5

Copyright©2015JPCERT/CC All rights reserved.

ランサムウェア

6Copyright©2015JPCERT/CC All rights reserved.

ランサムウェアの日本語対応
代表的なランサムウェアが日本語対応

http://blog.trendmicro.co.jp/archives/8801
http://blog.trendmicro.co.jp/archives/11378
7

Copyright©2015JPCERT/CC All rights reserved.

ファイルの暗号化による脅迫

8

Copyright©2015JPCERT/CC All rights reserved.

Drive-by-Download との関係
Angler Exploit Kit -> TeslaCrypt/AlphaCrypt

https://isc.sans.edu/forums/diary/Angler+exploit+kit+pushes+new+variant+of+ransomware/19681
9

Copyright©2015JPCERT/CC All rights reserved.

不正送金に関連するマルウェア

10

Copyright©2015JPCERT/CC All rights reserved.

バンキングトロイWeb/HTTP Injects と呼ばれる機能が代表的

11

Copyright©2015JPCERT/CC All rights reserved.

現在日本で見かけるバンキングトロイ
ZeuS, Citadel, Gameover の時代は終焉

12

Vawtrak

Dyre

Tsukuba

Tinba

DridexChthonic

Copyright©2015JPCERT/CC All rights reserved.

proxy.pac を用いる手法
受信データの書き換えを中間者攻撃で行う—Internet Explorer、Chrome、Firefox など

13

Copyright©2015JPCERT/CC All rights reserved.

proxy.pac とオレオレ証明書

14

Copyright©2015JPCERT/CC All rights reserved.

マクロを用いるダウンローダの感染経路

15

Copyright©2015JPCERT/CC All rights reserved.

UAC 回避
Dridex, Vawtrak のダウンローダなどが使用— http://www.jpcert.or.jp/magazine/acreport-uac-bypass.html

16

Copyright©2015JPCERT/CC All rights reserved.

標的型攻撃17

Copyright©2015JPCERT/CC All rights reserved.

2014年度の傾向: ファイルタイプと脆弱性
実行ファイルと、2014年に発見された脆弱性を悪用する文書

一太郎・MS Office18

Copyright©2015JPCERT/CC All rights reserved.

傾向分析: アイコン偽装
拡張子偽装と組み合わせて使用—正規アイコンからフリー素材まで様々

19

Word 文書

Excel 文書

PDF 文書JPEG 画像

システムアイコン

その他

Copyright©2015JPCERT/CC All rights reserved.

より高度な標的型攻撃
http://www.lac.co.jp/security/alert/2013/10/09_alert_01.html

http://www.gomplayer.jp/player/notice/view.html?intSeq=300&page=1
20

Copyright©2015JPCERT/CC All rights reserved.

事例: Drive-by-Download 型

21

Copyright©2015JPCERT/CC All rights reserved.

事例: 自動アップデート機能の悪用

22

Copyright©2015JPCERT/CC All rights reserved.

事例: ドメイン名ハイジャック

23

Copyright©2015JPCERT/CC All rights reserved.

攻撃の全容24

Copyright©2015JPCERT/CC All rights reserved.

標的型攻撃で使用されるマルウェア/ツール
マルウェア• EMDIVI/Xabil、PlugX などのボット• UDP リモートシェル

•プロキシ
ツール系

• SQLサーバスキャンツール
• パスワードハッシュ取得ツール• Active Directory 情報取得ツール• アーカイバ（RAR）

25

Copyright©2015JPCERT/CC All rights reserved.

おまけ26

Copyright©2015JPCERT/CC All rights reserved.

パスワードリスト攻撃ツール
辞書攻撃専用ツール

27

Copyright©2015JPCERT/CC All rights reserved.

アドウェア28

Copyright©2015JPCERT/CC All rights reserved.

ありがとうございました
連絡先：JPCERT/CC 分析センター
aa-info@jpcert.or.jp

29

Copyright©2015JPCERT/CC All rights reserved.

お問合せ、インシデント対応のご依頼はJPCERTコーディネーションセンター— Email：office@jpcert.or.jp— Tel：03-3518-4600— https://www.jpcert.or.jp/
インシデント報告— Email：info@jpcert.or.jp— https://www.jpcert.or.jp/form/
制御システムインシデントの報告— Email：icsr-ir@jpcert.or.jp— https://www.jpcert.or.jp/ics/ics-form

30

Copyright©2015JPCERT/CC All rights reserved.