SHIELD Security Reserch Center

T

A

B

L

E

O

F

C

O

N

T

E

N

T

S

ルーカス・ザイコフスキー インタビュー ………………………………………………… 3
第２回 CODE BLUE 全講演レポート Part2 ………………………………………………… 8
Threat Scope ………………………………………………………………………………… 17●はじめに本文書は、株式会社日立システムズ セキュリティリサーチセンタが運営するセキュリティ情報サイト、S.S.R.C.(Shield Security ResearchCenter) の公開資料です。本サイトでは、本文書のバックナンバーをはじめ、S.S.R.C. によるリサーチ結果などを随時公開しています。
S.S.R.C. http://www.shield.ne.jp/ssrc/●ご利用条件
本文書内の文章等すべての情報掲載に当たりまして、株式会社日立システムズ（以下、「当社」といいます。）と致しましても細心の注意を払っておりますが、その内容に誤りや欠陥があった場合にも、いかなる保証もするものではありません。本文書をご利用いただい
たことにより生じた損害につきましても、当社は一切責任を負いかねます。
本文書に記載した会社名・製品名は各社の商標または登録商標です。
本文書に掲載されている情報は、掲載した時点のものです。掲載した時点以降に変更される場合もありますので、あらかじめご了承ください。
本文書の一部または全部を著作権法が定める範囲を超えて複製・転載することを禁じます。
© Hitachi Systems, Ltd. 2015. All rights reserved.

2インシデント対応、コンピューターフォレンジックのエキスパートが POS システム・ハッキングの実態を語る !!

●プロフィール
90 年代中盤から IT や情報セキュリティに関心を持
ち、現在はコンピューターフォレンジック製品で有名な AccessData 社のエンタープライズ・ディフェ
ンス・アーキテクトとして活躍している。前職はMandiant 社のテクニカル・セールス・エンジニアで、インシデント対応、コンピューターフォレンジック、
メモリ解析などを数多く行ってきたとのこと。

Lucas Zaichkowsky

ルーカス・ザイコフスキー インタビュー●インタビュー = 笠原利香

●写真 + 構成 = 斉藤健一

2014 年、数千万人規模のクレジットカード情報が流出する大事件が立て続けに発生し、世間の注目が POS システムに集まることとなった。しかし、ルーカス・ザイコフスキー氏によれば、大規模流出の背後にはニュースにはならない事件も多数あり、さらに、犯行も容易だという。POS システムへのハッキングとはどのような手口で行われるのだろうか。BlackHat USA 2014 の会場で話を伺った。

3

のでしょうか ?
小規模店舗の POS システムがL：身に覚えのない請求が来たというカード保有

狙われている !!

者からの問い合わせに対して、クレジットカード会社が調査したところ、皆、過去に同じ店舗でカー笠 原 利 香（ 以 下 R）： は じ め ま し て。 今 回 のドを利用していたことがわかったのです。これは、BlackHat において、あなたは POS システムのハッ

クレジットカードの不正利用が発覚する一般的な

キングについて講演を行いました。日本でもこのケースだと思います。

テーマに関心を持つ人が多いので、ぜひ内容につ

R：なるほど。

いて伺いたいと思います。よろしくお願いします。

L：このような事件が発生すると、個人経営の小ルーカス・ザイコフスキー（以下 L）：はじめまし

規模店舗であっても、セキュリティ企業に依頼して。こちらこそよろしくお願いします。

てフォレンジック調査を行わなくてはなりませ

R：それでは、講演の概要をお聞かせください。

ん。さらに、クレジットカード会社に対して、平

L：はい。始まりは、僕が住んでいるコロラド州

均で約 3 万～ 4 万ドル（約 360 万～ 480 万円）ほデュランゴという人口 1 万 7000 人ほどの小さな

どの罰金も支払わなくてはならないのです。

街での出来事です。2010 年、この街にある小さ

R：厳しいですね。

なバーの POS システムから 270 名を超えるクレ

L：そのとおりです。先ほど紹介した家族経営のジットカード情報が流出、悪用されるという事件

レストランは、1980 年代にオープンして順調にが発生しました。2011 年には、家族経営の小さ

営業していたのですが、事件の発覚から 4 ヵ月後

なレストランで同様の事件が発生しました。さらには閉店せざるを得なくなりました。

に、2013 年には、この街で開催される自転車レー

R：悲しい話です。こういったことも POS システスへの参加登録サイトからクレジットカード情報ムの研究を始めるきっかけになっているのでしょが盗まれる事件も発生しています。

うか ?

R：立て続けに発生していますね。でも、なぜそL：そうですね。要素の 1 つではあると思います。

れぞれの店舗やサイトが流出させたと特定できた

R：わかりました。
L：2010 年頃、僕は POS システムの調査も行って
いて、個人的に 20 ～ 30 ほどの事案を見てきました。また、Verizon 社のレポートによると、2013年には 200 ほどの POS システムのフォレンジッ
ク調査を行ったとのことです。米国では、Verizon
社以外にもフォレンジック調査を行う企業が 20社ほどありますし、600 万ほどの小規模店舗がク
レジットカード会社と契約しているそうですから、小規模店舗 POS システムからの流出は相当数に昇ると考えられます。
R：紹介していただいた事例は、本当に氷山の一角なのですね。
L：はい。大企業の情報流出事件は報道されます
が、小規模店舗の場合はほとんどニュースになりません。ですから全体像が見えにくいのです。ただ、Verizon 社以外にも Mandiant 社や Trustwave
社などがレポートを発表しており、これらを統合してみると毎年数千件の事件が発生しているのではないかと、個人的には推測しています。
4

小規模店舗のシステムから情報を盗み出すのは簡単 !
R：では、どのような手口でクレジットカード情報が盗まれているか教えてください。
L：米国では、小規模店舗が POS システムを導入する場合、クレジットカード会社とは別に、機器の販売を行うディーラーとも契約を結びます。そして、ディーラーが PC ベースの POS システムに、
pcAnywhere や VNC、RDP といったリモート管理
ツールをメンテナンス用にインストールしているのです。ですから、攻撃は簡単です。インターネッ
トをスキャンして、リモート管理ツールのポートを開放しているマシンを見つけ出し、Exploit を実行したり、ブルートフォースによるパスワードク
ラッキングを行ったりすればよいのです。
R：本当に簡単なのですね。しかし、乗っ取った
PC が POS なのか否か、どのように判断しているのですか ?

R：わかりました。

L：こちらも簡単です。犯人は当然管理者権限も奪取していますから、タスクマネージャーを起動

大企業ではアカウントの盗用がして「pointofsales.exe」など、関連するプログラ

最大の原因 !

ムが動いているか調べればよいのです。
R：なるほど。

L：講演では次に大企業での例を紹介しました。

L：攻撃者は POS に、キーロガーやスニッファー、

とても洗練された攻撃を仕掛けてくるので、小規RAM スクレイパー（RAM Scraper）と呼ばれる、模店舗の事例とは異なる犯人像が浮かび上がってPC のメモリに一時的に保存される暗号化されてきます。一般的に、事件が起こると、情報を流出いない状態のクレジットカード情報を盗み出すさせた企業の責任が追及されますが、僕が調査しツールなどを仕掛けて、盗んだ情報を自動で送信た例では、どの企業もセキュリティに関して、堅させているというわけです。僕が住んでいる街の牢だと思われる対策を講じているところばかりで事例では、送信先の IP アドレスはロシアや東欧諸した。

国が使用しているものだと判明しています。

R：興味深いですね。

R：話を伺っていると、悪いのは店舗ではなく、

L：攻撃者はまず、受付に設置された PC や企業ブディーラーなのではないかと思うのですが、どう

ログのサーバーなどを狙い、ユーザーアカウント

なのでしょう ?

を手に入れます。次に組織のネットワーク図の作

L：正にそのとおりだと思います。しかし、店舗

成や、どのユーザーがどんな情報を扱っているのとクレジットカード会社との契約で、決済においかなどを丹念に調査していきます。最終的には各て店舗側に問題があった場合、その責任は店舗側

種管理者の権限を奪取し、バックドアを仕掛けてが負うこととなっています。ですから、ディーラー

持続的にアクセスできる環境を構築します。

を相手どり訴訟を起こす店舗も出てきています。

R：いわゆる標的型攻撃と呼ばれる手法ですね。

ただ、この場合でもいちばん得をするのは弁護士

L：はい。多くの場合、ターゲット組織内ネット

だと思いますが…（苦笑）。

ワークでの攻撃者の活動は、管理者の活動と同5

じに映りますから、検知されにくいのです。事ます。攻撃者が狙うのは PC ベースの POS 端末で件が発生すると、多くの人がマルウェアの感染をす。多くは Windows がインストールされており、疑いますが、実は、事件の 90% 以上は、アカウ

この端末で Web ページを閲覧したり、メールをントの盗用が原因で発生しているのです。 また、送受信したりすることも可能なのです。

Windows を使用していたから被害に遭ったのだ

R：セキュリティに対する意識が低すぎますね。

という意見も出てきますが、これも正しくありま

ちなみに Windows のバージョンはどうなっていせん。Windows、Linux、AIX など、どんなシステるのでしょうか ?

ムであっても、攻撃者はそれを熟知しており、バッ

L：以前は XP が多かったのですが、最近では 7 もクドアを仕掛けられるのです。また、最近では IC増えてきています。他にも問題があって、多くのチップが埋め込まれ、利用の際に PIN コードを入POS 端末はアドミニストレーターアカウントで動力するクレジットカードも普及してきています。

いているのです。

暗号化された PIN コードを現実的な時間で解読す

R：おっしゃるとおり、こちらも問題ですね。

ることは不可能ですから、理論上は安全のはずで

L：はい。ですから、攻撃者にとって POS 端末はす。しかし、攻撃者はこれらの技術の研究にも余非常に魅力的なターゲットなのです。

念はなく、異なる視点から攻撃手法をいくつか考

R：納得しました。

案しています。

L：また、PC ベースの POS 端末には磁気カードリーダーや PIN コード入力用のパッド、バーコードリーダー、レシート印刷用のプリンターなどがクレジットカード情報が盗まれる場所

接続されています。これは、ちょっとした豆知識
R：攻撃者はどんなタイプの POS 端末からでも情ですが、POS 端末では磁気カードリーダーはキー報を盗めるのでしょうか ?

ボード（USB の HID プロファイル）として接続さ

L：いえ、そうではありません。例えば、POS 端

れているのです。ですから、POS 端末でメモ帳を末自体にダイアルアップ機能があり、直接クレ起動してカードをスワイプすると、カード番号やジットカード処理を行うシステムと接続するタイ

保有者の氏名などが瞬時に入力されるのです。小プのものや、磁気カードリーダーとキャッシャー

規模店舗の事例で、攻撃者はキーロガーを仕掛けが一体化している端末などでは、リモートから情ると言いましたが、その理由がここにあるのです。

報を盗むことはできないと思います。

R：それは知りませんでした。

R：それはなぜですか ?

L：カードの磁気情報を盗んだら、それを元に複L：これらの端末は、独自のネットワークやプロ

製を作ることができます。もちろん、カード保有

トコルを利用しているので、情報を盗むことは困者の氏名を変更することも可能です。

難で、攻撃者もハッキングの対象から除外していR：怖いですね。

ザイコフスキー氏が BlackHat USA 2014 で行った講演の動画やスライドは、YouTube や BlackHat のサイトで公開されている。詳細な情報を知りたい方は、一度ご覧になることをお勧めする。
・Black Hat USA 2014 - Enterprise: Point of Sale System Architectureand Security（講演動画）
https://www.youtube.com/watch?v=xRroX_jU3ak
・Point of Sale System Architecture and Security（講演スライド）
https://www.blackhat.com/docs/us-14/materials/us-14-ZaichkowskyPoint-Of-Sale%20System-Architecture-And-Security.pdf
カード情報の処理の流れ（講演スライド p24 より）

6

L：POS 端末の情報を集約する POS サーバーも狙

R：レガシーな仕様のサポートだったり、運用のわれます。店舗内のネットワークは暗号化されて問題だったりと、どちらもセキュリティが損なわおらず、スニッファーを仕掛ければ簡単に情報をれる典型例ですね。

盗むことができます。また、POS 端末と同様、リ

L：他にも、サードパーティが情報を流出させる

モート管理ツールがインストールされていること危険性もあります。冒頭で紹介した自転車レースも多く、Web 閲覧などインターネットの利用にもの参加登録サイトでは、Web の運営とクレジット

使われているという問題もあります。

カード決済をそれぞれ別の組織が担当していまし

R：なるほど。

た。情報を流出させたのはクレジットカード決済

L：また、PIN コード入力用のパッドですが、先を行っていた企業ですが、責任を負うのは Web

ほども言ったようにデータは暗号化されているのを運営していた組織なのです。

で理論上は安全です。店舗や企業は暗号データを
POS システムのセキュリティを考える

扱うだけで、復号鍵はカード処理を行うペイメン
ト・プロセッサーというシステムだけが持っています。しかし、このシステムが攻撃され、情報が

R：POS システムを攻撃から守るにはどうしたら盗まれた事例はあります。

よいでしょうか ?

R：やはり、100% 安全というのはあり得ないので

L：小規模店舗の例では、ディーラーに対してセすね。

キュリティ教育をする必要があると思います。リ

L：そして、IC チップが埋め込まれたカードです

モート管理ツールの利用は止めるべきです（笑）。

が、この IC チップのクローンを作ることはできまもし、利用を続けるならば、LogMeIn のように 2せん。ただし、チップの中には、カード番号・有要素認証を採用しているものを使うべきです。次効期限・CVV 番号（カード裏面に記載される 3 桁に重要なのが、POS 端末や POS サーバーとインの数字）といった磁気カードと同等のデータも格ターネットを利用する端末を分けることです。他

納されており、RAM スクレイパーなどのツールをに、磁気カードリーダーを暗号化対応のものに変使えば、暗号化されていない情報を読むことがで更することなども有効だと思います。

きるのです。

R：そのとおりだと思います。

R：そうなんですか。IC チップに格納されている

L：一方、大企業の場合、90% 以上が管理者アカ

データはすべて暗号化されていると思っていましウントの盗用が原因です。多くの組織では、ネッた。

トワークへの侵入やマルウェアの感染には目を光

L：この点は多くの人が誤解しているようです。

らせていますが、すでに存在しているアカウント

他にも、本来は IC チップに格納する CVV 番号とのネットワーク内での行動には、あまり注意を払

磁気情報の CVV 番号は、異なる数字を使うよういません。犯人は洗練された攻撃を仕掛けてきま

仕様で決められているのですが、同じ番号を使っす。ですから、防御側もネットワークを注意深くているカードも多いのです。このような場合は IC

調査していく必要があるでしょう。

チップのカードであっても磁気カードとして複製

R：たいへん参考になりました。ありがとうござすることが可能になります。

いました。

7

第 2 回 CODE BLUE
全講演レポート Part2
取材＋文 = 西方望・斉藤健一
前号に引き続き、CODE BLUE2 日目の模様をお届けする。初日の講演レポートをご覧になりたい方は、バッ
クナンバーを参照していただきたい（http://www.shield.ne.jp/ssrc/contents/doc/SSRC-HJ-201501.pdf）。
IDA Pro の歩みとこれから
イルファク・ギルファノヴ（Ilfak Guilfanov）
開発者は脆弱性を作る側IDA Pro といえば、リバースエンジニアリングには欠かせない逆アセンブラの定番。2 日目の基調講演では、その作成者にして Hex-Rays 社のCEO であるイルファク・ギルファノヴ氏が、IDA
Pro 開発の経緯と、ソフトウェアのセキュリティ
がいかに重要であり、どのように実現するかを語った。
ギルファノヴ氏は、自分はリバースエンジニア

イルファク・ギルファノヴ（Ilfak Guilfanov）氏

ではなくソフトウェア開発者であり、CEO の今で

Windows のソースコードは 10 年で 10 倍の規も自分でコーディングをしているという。開発者

模になっているが、これは開発がかつてより容易

は「脆弱性を作る」側なので、より堅牢なソフトになった証拠だ。今はテスト用フレームワークやウェアを開発する必要があると述べた。

コード解析ツールがあるが、昔は遅いコンピュー

かつてソフトウェアは「動けばよい」とされ、ターで貧弱なツールを使うしかなかった。エディ

セキュリティは考えられていなかった。しかし、タはごくシンプルなものしかなく、コンパイラは

現在はコンピューターに多くのセンシティブなほとんど警告を出さず、しかも遅いという状況。

情報が保存されるようになり、デジタルセキュリ

そんな中、ギルファノヴ氏は Sourcer という逆

ティの重要性は大幅に増している。だが、ソフト

アセンブラに感銘を受けたが、遅いのが欠点だっウェア開発の手順や考え方はあまり変わっていなた。そこで、Dis*Doc というインタラクティブない。

逆アセンブラをヒントに（使ったことはないそうだ）IDA の開発を始めたという。当時の遅いプロ
ユーザーの反応が IDA 開発の励みにセッサーや 640KB の制限などで苦心したが、バー
ジョン 0.1 を世に出すと、「すばらしい」「こうい

しかし、セキュリティを最初から考えて開発しうのが欲しかった」などのフィードバックが多数たり、社会的な認知が広まったりと状況は改善さあり、開発を続ける動機になったという。

れつつある。開発手法やツールも進歩している。

96 年に IDA は商用化され、GUI も導入される。

コンパイラの選択肢も増え、言語も進化、バージョ

このときから使われるようになった IDA ロゴの女

ン管理やアジャイルなど新しい手法も有益だ。

性は、ルイ 14 世の二度目の妻、マントノン侯爵
8

夫人であるというトリビアも披露された。また、報奨金がすべてを解決するわけではないが役に立逆コンパイラである Hex-Rays Decompiler 開発のつ手法であり、20 件ほどの脆弱性がこの制度を通苦労話も語られた。

じてフィックスされた。
なぜセキュリティは難しいのか、ということについて、ギルファノヴ氏は「盲人が水の漏れない

セキュリティについて人間は盲目器を作るようなもの」というたとえ話で語った。
ギルファノヴ氏は、IDA のメンテナンスを続け目が見えなければ、器を指で触って確認するしかている理由は、ユーザーの問題解決に役立つからなく、小さな穴は見つけにくい。小さな穴でも残っだという。当然他のツールのように悪用されるこていれば水が漏れる。セキュリティについて、わとがあるが、ほとんどのユーザーは「ホワイトれわれは盲人のようなものだ。すべての穴を見つハット」であると信じているそうだ。IDA は表にけるのは人間には難しい。だから視覚補助用具に出るツールではないが、セキュリティ研究者などたとえられるようなツールの助けが必要になる。

が多く使用している。彼らの重要な仕事を手助け

テストの自動化や継続的なモニタリング、ソフト

できて光栄であり、IDA が彼らやすべてのユーザー

ウェア検証ツールや場合によっては言語自体を見にとって安全であってほしいので、常にセキュリ直すこと、コード生成ツールを使用するなどで人ティ強化に努めている。

的なミスを減らすことが大切だと述べた。

さまざまな改善を行っているが、リソースは限

安全なソフトウェアを開発することの重要性を、られているのでバグ報奨金制度を導入している。

開発者の視点から語った興味深い講演だった。
（西）

ドローンへの攻撃：マルウェア感染とネットワーク経由の攻撃
ドンチョル・ホン
デバイスからドローンへの感染
ドローンからドローンへの感染
近年、遠隔操縦の無人飛行装置、いわゆるドローンが安価かつインテリジェントになり、またスマートフォンからの操作もできるなど使いやす
くなったことにより、急速に普及が進んでいる。
それに伴う関心の高まりを反映してか、このセッションにはテレビの取材が入り、当日夜のニュース番組で紹介された。

ドンチョル・ホン氏

スピーカーのドンチョル・ホン氏は SEWORKS

ピューターやデバイス、ドローンから他のドロー社の CTO であり、毎年夏にラスベガスで開催さンへというように感染を拡げることができるといれるハッカー大会、DEFCON の CTF（キャプチャー・う。そして、それを実証するためにホン氏が作成

ザ・フラッグ）競技の決勝に 5 度出場したことがし た マ ル ウ ェ ア が HSDrone だ。HSDrone に は、あるというハッカーだ。自己紹介の後、ホン氏は、

スマートデバイス上で動作しドローンの機能を停

ドローンには良い面と悪い面があるというところ

止させるものと、ドローン上で動作し他のドローから話をはじめ、良い例として人命救助、悪い例

ンに感染するものの 2 種類がある。

としてプライバシー侵害を、ビデオを交えて解説
暗号化されていない、接続制限も無意味した。
ホン氏によると、ドローンをハッキングするこ

ドローンには通常のラジコン同様の電波を使とは可能であり、さらにドローンから他のコン9

いコントローラーで操作するものもあるが、ホしてプロセスを停止、墜落させることができる。

ン 氏 が ハ ッ ク し た の は、Wi-Fi 経 由 で iPhone や

ドローンからドローンへの感染の場合は、FTP で

Android のアプリから操作ができる某社の製品。

ファイルを送り込む。ただし、Wi-Fi アダプター

これは、現在一般に購入できる代表的なドローン

がマスターモード（AP のモード）になっている（マルチコプター）の 1 つだ。最近のドローンはので、これをマネージドモード（クライアントのこのように Wi-Fi を利用したものが多いが、セキュモード）にする必要がある（感染ドローンの操作

リティを考える必要がある、とホン氏は警告する。

はできなくなる）。このドローンはネットワーク

このドローン上では TELNET や FTP のデーモンをスキャンし、他のドローンを発見すると FTP でが動作しており、これを通じて外部からコマンド

ファイルを送り込んで実行、という形で感染を拡を実行したり、ファイルを送り込んだりすることげる。

ができる。そして、ドローンを制御するプログラ

そして、アプリを実行するだけで飛んでいるドムのプロセスを停止すると、ドローンは機能を停

ローンがたちどころに墜落する場面や、感染ド止し墜落してしまう。

ローンが他のドローンを墜落させる場面を撮影しドローン上では Wi-Fi アクセスポイント（AP）

たビデオが披露された。さらに、感染ドローンが動作し、これにスマートフォンが接続するのだから他の AP をスキャンし、脆弱な AP であればが、暗号化はされていない。特定のデバイスだけ

DNS 設定を書き換えて、ユーザーを任意のサイト

がドローンに接続できるようにする機能はあるこに誘導する攻撃についても解説。

とはあるが、Android アプリのみで、iPhone では

最後にホン氏は、ドローンは物理的に離れた場使えない。いずれにせよ単に接続可能な MAC ア所への攻撃ができ、今後ドローンマルウェアがドレスを制限しているだけのことであり、MAC ア

PC、AP、スマートデバイス、他のドローンなどあドレスを偽装するのは容易なことだ。

らゆるものへの攻撃に使われる可能性がある、と述べた。
この後の質疑応答では、会場から多数の質問がドローンはあらゆるものへの攻撃に出た。おそらく今回の CODE BLUE で最も質問が利用できる多かったセッションだろう。この点からも、ドローンへの関心の高さをうかがうことができた。（西）ホン氏は Android のアプリを改変し、HSDroneを作成した。これを実行すると、ドローンに接続

マイクロソフトの脆弱性調査 : ベンダーでありながら発見者となるためにデイヴィッド・シードマン（David Seidman）
MSRC や、同社 Web サービスの脆弱性発見に関わるバグ報奨金プログラムとは異なる。

マイクロソフトがシードマン氏は、他社製品の脆弱性に取り組む

他社製品の脆弱性を調査する !?

理由について、Windows では数多くの他社製品のデイヴィッド・シードマン氏は、MSRC（Microsoft

コードが実行されており、これらはマイクロソフ

Security Response Center）のシニアセキュリティ

ト製品利用者を攻撃する要因になりかねない。例

プログラムマネージャーリード。本セッション

えば Adobe Reader や Java などは PC を乗っ取る

で は、 主 に マ イ ク ロ ソ フ ト の MSVR（Microsoft

ために使用される脆弱性の大多数を占めている、

Vulnerability Research） の 紹 介、 お よ び、MSVRと語った。実際、製品開発チームがテスト中に他を運用して得られた教訓などが語られた。

社製品のコンポーネントに脆弱性を発見することは珍しくはないという。

MSVR とは、マイクロソフト社員による他社製品ベンダーへの脆弱性報告を支援するプログラムのことで、マイクロソフト製品の脆弱性を扱う
10

他社とのコミュニケーションでは苦労も多い !!
MSVR では、発見した脆弱性について、再現性
やマイクロソフト製品への影響などを社内で確認したうえでベンダーへ報告する。その後、ベンダーとマイクロソフト社内の発見者との間で情報を共有しながら修正作業を進める。また、脆弱性の内容によってはベンダーのアップデート公開後に MSVR でアドバイザリをリリースすることもあデイヴィッド・シードマン（David Seidman）氏

るそうだ。

のバグ報告を協調的かつ円滑に処理できるように

シードマン氏によれば、脆弱性報告にはさまざなったり、社員のスキル・モチベーションの向上

まな苦労が伴うという。例えば、当該ベンダーのにつながったりするなど、いくつものメリットがセキュリティ対応窓口が見つからないことも多あったという。

い。また、対応窓口に脆弱性報告があると伝えて、

また、ベンダーに対しては、脆弱性報告が 1 つ

PGP ま た は S/MIME の 公 開 鍵 を 要 求 し て も、 担

あれば、おそらく関連する脆弱性がいくつも存在

当者から「PGP とは何 ?」といった返答が来るこするはずだと強調し、徹底的に調査するよう促しともあるそうだ。さらに、当該ベンダーとの情報た。調査には多大な労力がかかり、経営陣など上共有がうまく行かず、バグフィックスを発見者が層部を説得するのも難しいかもしれないが、顧客数ヵ月も知らされなかった事例もあったという。

の立場に立って考える必要があると説く。シード

また、セッション後半では、MSVR が発見した

マン氏は、2003 年に大規模なネットワーク障害

脆弱性として、FFmpeg の Libavcodec と VMware

を引き起こした SQL Slammer を例に挙げ、マイの事例が紹介された。どちらも任意のコードが実

クロソフト自身も過去の手痛い経験から学び、改行できるものだったそうだ。

善を進めてきたと話す。
もちろん、ベンダー内部においてもセキュリ
ティ監査は行われているが、外部の力を借りるこ

MSVR から得た教訓とは ?

とによって思ってもいないような脆弱性が発見さ最後に、シードマン氏は MSVR から得られたれることもある。故に、脆弱性の報告はコード全

教訓をいくつかの側面から語った。まず、マイク

体を調べる絶好のチャンスと捉えるべき、と語っ

ロソフト社内では、MSVR を設けたことで、社内た。（斉）

バグハンターの愉しみ
キヌガワ マサト
で、会場がたびたび笑いに包まるものとなった。
キヌガワ氏は、バグや脆弱性の報告に対して支バグハンターの年収は 2700 万円 ?

払われている報奨金で生計を立てているプロのバ

実は…

グハンター。趣味は音楽鑑賞と XSS だとか。バグ
2 日目の 4 枠目は、30 分のショートセッション

ハンターという職業は、職場は自宅、勤務時間はが 2 本という構成。まずは「バグハンター」を職やる気がある時だけ。それでやっていけるのか、業にしているというキヌガワ マサト氏の講演が行と自問した上で、誰もが気になる年収を公開した。

われた。セッション中の撮影は禁止となっていた

なんと 27135346 円 !

が、セッション自体は冗談を交えた軽妙な語り口

ろで「8 進数ですが」とオチを付けるキヌガワ氏（ち11

会場が軽くどよめいたとこ

なみに 10 進数に直せば 607 万 7158 円）。
Web アプリケーションの報奨プログラムは、
2010 年に Google が開始した Google Vulnerability
Reward Program（VRP）が最初で、その後いろいろな企業が続いた。日本ではまだサイボウズだけなので、今後の盛り上がりに期待したいとのこと。
Google VRP は素晴らしい
Google VRP で は 1 つ の バ グ に つ き 100 ～20000 ドル程度の報奨金が支払われる。キヌガ
ワ氏がこれまでに Google から報奨金を得たのはキヌガワ氏の講演スライド

127 件で、獲得総額は 130803.7 ドル。ここでも「こ

文字コードと解釈してしまう。UTF-32 は 1 文字 4

れは 8 進数ではありません、8 がありますからね」

バイトだが、0x00 は無視されて、例えば UTF-32と笑いを取るのを忘れない。報告したバグの 73%の「00002200」は「22」となる。このため、「"」が XSS だそうだ。

や「<」「>」などを送り込むことができ、任意のGoogle VRP は対応が早いのが特徴だという。

JavaScript が実行可能になってしまうというもの

報奨制度があっても返事が来なかったりなかなかだ。このバグは、普段使われない文字コードや、修正されなかったり、ということがよくあるそう

ブラウザーの細かい挙動を利用しているところがだが、Google は対応が早いのでやる気も出る。

面白いとキヌガワ氏は語った。

バグの「面白さ」も評価してくれることや、簡潔
やりたいことをやっていたら…

な説明で問題を理解してくれることもモチベー
ションにつながるという。
また、トップの報告者に対してクリスマスプレ

キヌガワ氏がセキュリティに目覚めたのは 2009

ゼントを贈ったり、謝辞を掲載して報告者への敬年のことで、まだ 5 年程度しか経っていないそう

意を示してくれたりすることなどもキヌガワ氏はだ。2010 年に専門学校を中退した後、愉しくな評価している。ちなみにキヌガワ氏は、Nexus10

い毎日を送っていたキヌガワ氏だが、やりたいこ

や Chromebook などをプレゼントされたそうだ。

とを好きにやろう、と思い「やりたいこと」だった脆弱性探しに没頭、しばらくすると Google が報奨金プログラムを開始。気づいたら報告者ラン愉しいバグ紹介

キング 2 位になるほど見つけていた。
続いてキヌガワ氏が発見した「愉しい」バグがつまり、稼ごうとか働きたくないと思ったわけ

いくつか紹介された。例えば、ログイン画面などではなく、好きなことをやっていたらバグハンに使われる Google の最重要ドメイン、accounts.

ターになっただけだという。将来は結婚して主夫

google.com での XSS というもの。このバグの報をやりながらバグ探しができれば…

告により、当時の報奨金規定を超える 5000 ドルの、バグハントはできても女子ハントのスキルがを獲得したそうだ。影響範囲が広いこと、面白い

足りない、と発言しまた笑いを誘った。

と思うもの

ことが評価されたと思う、とキヌガワ氏は言う。

キヌガワ氏は、聴衆の中にもし迷っている人がこのバグは、ドキュメントモードが 9 以下の IE

いるなら、好きなことをしていれば何かがあるか

で、oe パラメーターに UTF-32 を指定した URL をも、と経験に基づくアドバイスをして講演を締め入力することにより、XSS が可能となるというもくくった。（西）のだ。IE は UTF-32 をサポートしておらず、別の12マルウエアによる検出回避方法の解説
篠塚 大志

実際のマルウェアが使用している回避手法
ショートセッションの 2 本目は、シマンテック
社のセキュリティリサーチャー、篠塚 大志氏による「マルウエアによる検出回避方法の解説」。マ
ルウェアの解析に携わっている立場から、近年のマルウェアがアンチウイルスソフトによる検出を回避するために使用している 4 種のテクニックを、実際の検体を元に解説した。

篠塚 大志氏

最初に紹介されたのは、復号鍵とデータを別のルはヘッダーや特定の構造がない。そのため無意

ファイルに保存する方法。この例として挙げられ味なコードを埋め込んで巨大化すると、全体をスたマルウェアは RAR 自己解凍ファイルで、実行すキャンせざるを得なくなり、パフォーマンスの維ると AutoIt（Windows 用のプログラミング言語）

持が難しくなる。ファイルベースのスキャナーののスクリプト・復号手順のスクリプト・復号鍵設

問題点を突くテクニックだ。

定ファイル・暗号化されたコードの 4 つのファイ

3 番目は、プロセスの保護。コードを正規のルとなり、AutoIt スクリプトが実行される。

Windows プロセスに注入し、そこから IE を起動

すると、暗号化されたコードがメモリ内で復号

してコードを注入する場合、悪性のコードを含むされ、新しく実行した Windows の正規プロセス

ファイルは存在しない。とはいえ、メモリスキャの中に注入される。このコードは IE などを起動、ンを行うアンチウイルスソフトなら検知することその中にバックドアを注入する。この方式だと、ができる。だが、検知できたとしても、IE 自体は悪性のコードはファイルとしては暗号化された状正規のプロセスであり、簡単に落とせない。では、態でしか存在しないので、ファイルベースのウイ

IE にコードを注入したプロセスが悪いのか、とい

ルススキャナーでは検出が難しい。

えばこれも正規のプロセス。
ならばコードを展開した AutoIt が悪いのか。し大量のゴミでスキャン妨害

かしこのマルウェアは、Windows の未公開 API

プロセスを落とすとブルースクリーンを利用して、AutoIt のプロセスを Windows シス
テムの維持に必須のプロセスとして扱わせる。そ2 番目は、ゴミコードの巨大化。先頭から Tabの結果、AutoIt を止めるとブルースクリーンでが約 500 個入っているもの、大きすぎてエディタ

Windows が落ちてしまう。

で開けなかったもの、先頭から 16MB も意味のな

また、ウォッチドッグにより常に状態を監視し、いコードが含まれて実効部分は 1％しかないもの

必要なプロセスが落ちたりファイルが消されたりとった実例が紹介された。

すると、それをまた復元するという手法も使い、ファイルベースのスキャナーは、検出力とパ常にマルウェアが動作している状態を維持しよう

フォーマンスのバランスを取る必要があるため、とする。

通常はファイルタイプごとに最適化されたスキャンを行う。実行ファイル・ZIP ファイル・JPEG ファ
イルは、それぞれ先頭の構造に特徴があり、容易に判別できるが、スクリプト（テキスト）ファイ13

最後に篠塚氏は、攻撃者は日々新しい攻撃手法を開発しており、ファイルベースのスキャンだけ

複合的な防御力が今まで以上に必要では対応できなくなってきている、と述べた。そ4 番目は、コードをファイルではない場所に保して、例えば通信内容を監視してバックドアが通存する手法。例として挙げられたマルウェアの信を行った場合に検知する IPS など、アンチウイ

ファイルは、それ自体に悪性のコードが含まれてルスソフトには複合的な防御力が今まで以上に必いるわけではない。実行コードはレジストリに書要になってくる、と締めくくった。

き込まれており、これを読み出して実行するのだ。

アンチウイルスベンダーとマルウェアとの戦い

つまりファイル自体に悪性のコードが含まれていの一端をうかがい知ることができる、興味深いないため、ファイルベースのスキャンでは検出がセッションだった。（西）難しくなるわけだ。
サイバーエスピオナージを抑制するためにデバイスを無効化するハイパーバイザー "DeviceDisEnabler"
須崎 有康
モバイルガジェットはセンサーデバイスの塊
今や誰もがさまざまなモバイル機器を持ち歩いているが、それには多数のセンサーデバイスが搭載されている。これらのデバイスが乗っ取られると、サイバースパイ活動（エスピオナージ）に利用される可能性があり、企業などでは無効にしたいところだが、実現は難しい。本セッションでは、
産業技術総合研究所セキュアシステム研究部門の須崎 有康氏須崎 有康氏が、デバイスを無効化する手段についての研究を発表した。
自己紹介と概要の説明の後、須崎氏は「この会OS からデバイスを隠ぺいする場に何台デジカメがありますか」という質問からハイパーバイザー

話をはじめた。いわゆる「デジカメ」は持っていなくても、スマートフォン、タブレット、ノート

これらのモバイルガジェットは、企業や病院なPC などにはカメラが搭載されている。おそらくどの重要な情報を扱う場所にも入り込んでいる。

会場の人数よりカメラの方が多いのではないか。

しかし、例えば病院でタブレットを使う場合、ジャカメラだけでなく、モバイルガジェットにはマイロや GPS は不要だろう。管理者は、これらのデイク・スピーカー・GPS・ジャイロスコープなど

バイスを無効にして危険性を軽減したいが、物理

さまざまなセンサーが搭載されている。攻撃者は、的に取り外すことは困難だ。また、何らかの制限

これらのデバイスを外部から有効化し、諜報活動を設けても、デバイスを使いたいユーザーが回避を行おうとする。実例として、スマートフォンのしてしまうかもしれない。

インカメラで使用者の瞳に反射する画面を読み取

そこで須崎氏が提案するのが、「DeviceDisEnabler

る手法や、マイクとは異なりアプリが使用するの（以下 DDE）」だ。DDE は BitVisor をベースとするに許可が不要なジャイロを使って音声を解析する

ハイパーバイザーで、軽量かつ既存 OS に挿入可能、手法などが紹介された。

OS からデバイスを隠ぺいし、また DDE を回避して OS を起動することはできない、という特徴を持
14

つ。DDE は現在のところ x86 ／ AMD64 のモバイ能により、暗号化したファイルが元に戻されてしルガジェット（ノート PC、タブレット）で動作す

まうため、リカバリーを無効にする必要がある。
暗 号 鍵 は、TPM（Trusted Platform Module）

る。また、今のところは PCI デバイスの無効化のみに保存することにより読み出しを防ぐ。そしてで USB はサポートしていない。
DDE は、ハードウェアと OS の間で動作するが、ブートシーケンスの計測値を保存して比較する

VMware などと違い、OS はデバイスに直接アク

Trusted Boot により、正しい手順でブートしなけ

セスできる。この際 DDE が OS の問い合わせに対れば鍵が取り出せないようにしている。
現在のところ DDE を利用するためにはさまざしてデバイスが存在しないことを意味する ID を

ま な 条 件 が あ る。 今 後 の 計 画 と し て、Atom や返すため、OS からはデバイスが見えない。

ARM などの CPU、TPM がない場合、USB デバイ
より幅広いモバイルガジェットへのスへの対応など、より幅広いモバイルガジェット対応を目指すへの適用を目指すという。これらを解決するために、ARM で使用できるハイパーバイザーや、TPMの代わりにネットを利用する方法などを検討してユーザーによる回避、つまり DDE の除去・改いると須崎氏は述べた。

ざんの防止は、ディスクの一部を暗号化して正規の DDE なしでは復号できないようにすることにそして、DDE を導入したノート PC が、ハイパーより実現した。だが、これは簡単ではなかった。

バイザーを起動してからでないと Windows が正

ディスク全体を暗号化すると Windows が起動せ常に起動しない、というデモビデオが披露された。

ず、起動に必須のファイルを暗号化しようとした

モバイルデバイスがこれからも増加していくのが、ディスク上の物理的位置を突き止めるのに苦は確実であり、こういった研究はさらに重要に労したという。また、Windows のリカバリー機なってくるだろう。今後の進展に期待したい。
（西）Microsoft Application Compatibility Framework の積極的な利用によるエクスプロイット
ジョン・エリクソン（Jon Erickson）
Windows のアプリケーション互換性を俯瞰的に解説スピーカーのジョン・エリクソン氏は、脅威イ
ンテリジェンス・プロバイダー、ISIGHT Partners
社のエンジニアで、主にマルウェアの解析を行っている。『ハッキング：美しき策謀』（オライリー
刊）の著者と同姓同名だが別人とのこと。それでも本を持ってきてくれれば喜んでサインします、とセッションの冒頭に冗談を飛ばして会場を沸か

ジョン・エリクソン氏せた。
本 セ ッ シ ョ ン の テ ー マ は Windows の ア プ リ

アプリケーションの間にレイヤーを設け、shim（隙ケーション互換性の修正に関するものだ。例えば、間などを埋める詰め物の意）と呼ばれるプログラ

プログラム内にハードコードされたパスが含まれムが、各種ファンクションコールを修正することていた場合、Windows XP では動作しても、7 にで、プログラム自体をリコンパイルしなくても動バージョンアップした環境では動作しない、と作するフレームワークが採用された。

いった不具合が発生する。こういった互換性の問

ただ、エリクソン氏によれば、アプリケーショ

題を解決するため、Windows XP 以降では、OS とン互換性フレームワークは強力な機能を持つにも15かかわらず、一般にはあまり知られていないといン氏はこのワームの動作を説明し、sdb-explorer

う。そこで、本セッションでは、フレームワーク

を使えば、パッチファイルそのものを解析できるの概要から使用するツールや過去の研究成果、さとして、その有用性を強調した。

らにこのフレームワークを使った悪用事例とそのアプリケーション互換性の悪用事例と対応策まで、幅広く解説された。

その対策
アプリケーション互換性に潜む脅威とは ?
セッション後半では、アプリケーション互換性
セッションの序盤では、アプリケーション互換を悪用する事例がいくつか紹介された。まずは、性を修正するためのツールが紹介された。パッ

Web ブラウザーのデフォルト検索サイトを強制的

チ を 作 成 す る マ イ ク ロ ソ フ ト 製 の Applicationに書き換える Search Protect というアドウェアのCompatibility Toolkit（ACT）は有名だが、他にも、例。InjectionDLL shim を使い Web ブラウザーに

パ ッ チ フ ァ イ ル（sdb：shim database） を XML

ライブラリの DLL を注入しているそうだ。

に書き出す Sdb2xml や、sdb の解析を目的にエリ

また、ウクライナ政府を標的とした BlackEnergy

クソン氏自身が開発した sdb-explorer などがあるというマルウェアは、UAC 回避を行うという。アという。

プリケーション互換性フレームワークでは、ロー

次に、過去の研究成果を紹介しつつ、アプリケー

ドする sdb ファイルに署名はなく、インストール

ション互換性に潜む脅威をあぶり出した。最初時に管理者権限が必要になるものの、ファイル名に取り上げたのは、Alex Ionesceu 氏のブログ記さえ同じであれば、攻撃者が用意したニセ sdb を事。sdb のセキュリティについて書かれたものだ

読み込んでしまうことが原因だ。

が未完だったそうだ。そこで、エリクソン氏は自こういった悪用事例の対策として、アプリケー

ら続きを調査することにしたのだという。他にも、ション互換性フレームワーク自体を無効にすればMark Baggett 氏が発表した Windows のデフォル

よいという考えもあるが、エリクソン氏は推奨しト shim だけを使って PC を乗っ取る手法など紹介ていない。というのも、これを無効にしてしまうと、した。

マイクロソフトが提供する脆弱性緩和ツールである EMET（Enhanced Mitigation Experience Toolkit）

また、ISIGHT Partners 社が発見した sandworm

も無効になってしまうからだ。

についても言及した。このワームは、Windows のOLE の脆弱性（CVE-2014-4114）を悪用したもの

sdb ファイルへの署名追加という根本的な対策

で、不正な inf ファイルを含んだ PowerPoint の書については、マイクロソフトの対応を待つしかな

類を開くことで、任意のコードが実行できてしまい。エリクソン氏は、防御策として自組織ネット

うというもの。マイクロソフトによるパッチが提ワーク内にある PC のファイルとレジストリの調供されたが、修正が不十分で UAC（User Account

査および監視を挙げるとともに、まず、管理者がControl：ユーザーアカウント制御）を回避できる

こういった脅威を認識する必要があると語った。
盛大な拍手の中、CODE BLUE はすべてのセッ状態だったため、結果としてパッチが再度配布さションを終了した。（斉）

れることになったいわく付きのものだ。エリクソ

16ハッカーやセキュリティにまつわるニュースを独自の視点から捉える時事コラム

Threat Scope#4 IoT 時代に求められるサイバー脅威対策
文 = エル・ケンタロウ
含めた、より包括的な解析の必要性を唱えている。

現実社会へと広がるサイバー脅威
行動に結びつくインテリジェンスと
状況認識

サイバー脅威対策の最前線といえば、0day（ゼロデイまたはオーデイ）脆弱性に関する情報と捉

昨 年、 米 国 の セ キ ュ リ テ ィ 業 界 に お い て 注

えがちだが、はたしてこの考え方は正しいのだろ

目 を 集 め た キ ー ワ ー ド の 1 つ に、Actionable

うか ?

Intelligence（行動に結びつくインテリジェンス）

大規模なハッキング被害に遭ったソニーは、というものがある。

2014 年 4 月～ 12 月期の決算発表を予定どおりに行うことができず、発表延期を決定した。また、

これは、従来各国政府や行政機関が行ってきた

昨年はインサイダー情報の窃取を目的とした標的

ような、地政学的見地・政治情勢・犯罪情勢など型攻撃の存在が指摘されたり、テロ組織がソーを含めて脅威情報を解析し、組織の意思や行動のシャルメディアを使って心理戦を仕掛けてきたり

決定に役立てようというものだ。現在、その重要するなど、サイバー空間が現実社会にさまざまな性に目が向けられ、市場でのニーズも増加してい影響を与える例が増加してきている。

るという。

米国のニュース専門放送局である CNN によれまた、このようなインテリジェンスを使うには、

ば、本年になってからソーシャルメディアを使っ

これまで軍関係で用いられてきた戦闘に影響するた米国航空会社への爆破予告が急増しているといさまざまな要素を把握し総合的に判断する行為・う。1 月 17 日以降も 50 件以上が報告されており、

能 力 を 示 す、Situational Awareness（ 状 況 認 識 ）中には米空軍の戦闘機がスクランブル発進し、予も要求されることとなる。

告された旅客機を空港まで追跡する事態も発生しCVE の規格などで知られている米国の非営利団ている。また、英国陸軍は、ソーシャルメディア

体 MITRE も、サイバーセキュリティに関する能力や心理戦に特化した第 77 旅団の設立を発表して設定における状況認識の重要性を提唱している。

いる。もはや、サイバー脅威はコンピューターネッ

脆弱性などの技術的な情報はもちろん日々の運用

トワーク上に限ったものではなく、現実社会の脅またはリスク管理においては重要だが、この状況威となってきている。

認識能力こそがサイバー脅威や、サイバー空間から実社会へと派生する脅威への包括的な対策にお今後も、IoT やスマートグリッドなどの普及で、いて重要だとしている。

サイバー空間と現実社会との境界線がどんどん曖
昧になっていくことが予想される。そんな中、本当にシステムの脆弱性対策だけでサイバー脅威か

サイバーセキュリティにおけるらシステムや社会を守れるのだろうか ?

3 つの状況認識

サイバー空間と現実社会との関係の変化をつぶさに目にしてきた多くのセキュリティ業界関係者

MITRE の提言では、この状況認識を、Network

は、サイバー脅威対策において、脆弱性情報は運Awareness（ネットワーク認識）、Threat Awareness用活動での一要素にすぎず、非サイバーな情報を（脅威認識）、Mission Awareness（ミッション認識）17

生後のフォレンジック、事象発生中の迅速な対応、の 3 つの大きな枠組みとして捉えている。
ネットワーク認識とは、脆弱性情報など従来の事象発生を事前に予測・回避する準備、また、将技術的な側面であり、パッチの適用や定期的な検来発生しうる事象への能動的防御など、さまざま

査などの作業を指している。脅威認識とは、さまな能力が必要とされる。

ざまな情報を解析することによって疑いのある状

現在、脅威対策に取り組む多くの組織が、ミッ況を早期に発見し、外部の組織や他国政府との脅ション認識に近いレベルで技術的・戦術的な状況

威情報の共有を指す。

そして、今後重要性が増認識に注力しているが、今後は、技術情報以外のすと予想されているのが 3 つ目のミッション認識

さまざまな情報も収集し、事業への影響も含めただ。これは、サイバー空間を使って事業など（ミッ枠組みでサイバー脅威対策を捉え直し、さらに、ション）を継続して運用するために重要な要素、

今後起こりうる脅威に対しても予想・分析する状

つまり、技術・組織・人員などを包括的に把握す況認識が求められるだろう。

る運用への意識を指している。その上で、事象発●参考 URL
・Airlines get more than 50 online threats since Jan. 17
http://edition.cnn.com/2015/01/28/politics/airlines-online-threats-50/
・Army sets up Chindits-style social media unit to 'fight in information age'
http://www.telegraph.co.uk/news/uknews/defence/11381441/Army-sets-up-Chindits-style-social-media-unit-to-fight-ininformation-age.html
・Situation Awareness
http://www.mitre.org/capabilities/cybersecurity/situation-awareness18