国内悪性プロキシサービスとの闘争
2022/01/27
株式会社リクルート
猪野裕司

⾃⼰紹介
´ 猪野裕司株式会社リクルート
セキュリティ統括室
サイバー犯罪対策グループ´2016年株式会社リクルート テクノロジーズ⼊社、リクルートCSIRTとして、リクルートで発⽣するセキュリティ事故への対応をリード。
´CISSP、GCIH、GCTI、GNFA

注意´ この資料は、国内に存在する悪性プロクシの現状を共有することを⽬的としています。
´ この発表は発表者の所属を代表するものではありません。また、講演中に紹介する個別事例についても、所属とは関係はありません。

アジェンダ´ レジデンシャルプロクシとは´ はじめに´ サイバー犯罪の現状´ データの分析と活⽤´ まとめ悪性レジデンシャルプロクシとは⽇本国内向けのサービスに対し、海外からのアクセスすると不正がバレる

悪性レジデンシャルプロクシとは⽇本国内に中継サーバを設置。
アクセス元を国内にすることで不正検知を回避

悪性レジデンシャルプロクシとは⽇本国内に中継サーバを設置。
2014年 各地で⼀⻫摘発アクセス元を国内にすることで不正検知を回避

2017年

中国留学⽣逮捕→ 中継サーバインフラは摘発

悪性レジデンシャルプロクシとは中継サーバでは⾜が付くため、マルウェア感染端末を利⽤した
RESIP(Residential IP)プロクシに犯罪インフラが移⾏

悪性レジデンシャルプロクシとは´ 広島県警が注意喚起

https://www.pref.hiroshima.lg.jp/uploaded/attachment/417114.pdf

悪性レジデンシャルプロクシとは´ 資料の中で2つのプログラムに⾔及。

https://www.pref.hiroshima.lg.jp/uploaded/attachment/417114.pdf

はじめに （調査のきっかけ）´ カード不正利⽤している特定のアクターXを追いかけていた。
´ 調査の結果、Xの⽣IPアドレスは判明した。
´ ログを分析したところ、カード不正利⽤時のアクセスはXではない第三者のアクセス、しかも、国内IPアドレスだった。
´ このIP契約者はアクターXとは関係ない第三者だった。パソコンがマルウェアに感染。
´ 「このマルウェアプロクシのIPを収集して、不正対策に活⽤できないか・・︖」

何をやったのか´ RESIPプロクシのIPアドレスを収集して分析収集したデータ´ IPの統計データ
発⾒⽇

最終観測⽇

位置

ASN

出現時刻（UNIXTIME）

IPアドレス位置

ASN 記録⽇

IPアドレス

出現頻度

出現⽇

出現期間

´ 詳細データ

収集当初は統計データのみだったが、過去分析⽬的として詳細データを作成

サイバー犯罪の現状

令和3年 警察⽩書
https://www.npa.go.jp/hakusyo/r03/pdf/03_tokushu02.pdf

サイバー犯罪の現状

ここのアクセスにRESIPが利⽤

追跡︕サイバー犯罪組織 コロナ禍の⽇本を狙う闇
https://www.nhk.or.jp/gendai/articles/4631/index.html

サイバー犯罪の現状
海外実⾏犯は国内に痕跡を残さず犯罪を実施
2．第三者が落札
１．出品
オークション経由で⽀払い

3．盗難カードで不正注⽂
4．商品が発送悪性RESIP利⽤＝犯⼈捜査が困難

RESIPデータの分析´ 結論︓⽬⽴った特徴がないのがRESIPの特徴。

RESIPデータの分析´ IPごとの⽣存期間(date_diff = last_seen – first_seen ）´ 5割のIPが1⽇しか出現しない。
RESIPの⽣存期間

RESIPの⽣存期間
0 当⽇のみ1000000

1 - 5010000051- 100

10000

101- 150

1000

201 - 250
251 - 300
301 - 350
351 - 400

100
10
10
1530
45
60
75
90105120
135
150
165
180
195
210
225
240
255
270
285
300
315
330
345360151 - 200

RESIPデータの分析´ ⻑期活動が観測されるIPにおけるアクティブ率 (days / date_diff )days 出現が観測された⽇数
⽣存期間が 300⽇以上に対して分析

約30% が観測⽇数が30⽇以下
→1-5%

-10%

-15%

-20%

-25%

-30%

-35%-40%

-45%

-50%

-55%

-60%

-65%

-70%

-75%

⻑期間⽣存するIPであったとしても、常に悪性とは限らない

1 3 5 7 9 11 13 15 17 19 21 23 25 27 29 31 33 35 37 39 41 43 45 47 49 51 53 55 57 59 61 63 65 67 69

RESIPデータの分析´ 統計データの問題点

ip_address

222.8.74.188

days

first_seen

192021/1/28

last_seen

date_diff2022/1/15

統計データでは期間の途中のどこでアクセスが有ったかわからない

最初の観測
2021/1/28´ 直近のログの突合には問題なかったが、過去データの分析において、不正発⽣時点でのプロクシ存在が判定できない。
´ 取得時の⽣データを保存していたので、詳細データを⽣成

RESIPとの関連性強い

この間に事件があっても、RESIPとの関連性が弱い

352

最後の観測
2022/1/15

RESIPデータの分析´ date_diff>0のデータに対し、キャリアごとの集計。
´ 特に突出したASNは⾒つからず。
´ 特徴的な差異は⾒当たらなかった。
date_diff>0

Softbank BBNTT
au one net
K-Opticom Corporation
So-netBiglobe
Chubu Telecommunications Company
Rakuten Mobile Network
NTT PC Communications
Asahi Net
QTNet
TOKAI
J:COM
Jupiter Telecommunications Co.
VECTANTInternet Initiative Japan
Fujit su
@Home Network JapanNTT Docomo
Internet Multifeed Co.
KDDI
STNet, Incorporated
JPNE
ARTERIA Networks Corporation
Energia Communications,Inc.
NTT-ME CorporationRESIPデータの分析´ キャリアごとの⽣存期間を集計。全体的に⻑期間⽣存IPが存在する。
´ ⻑期⽣存IPが多いASNが3つある。 (⾚点線枠)

⻑期間⽣存するIPが存在

RESIPデータの分析´ 中央のASNを分析。360⽇以上⽣存しているIP460件。
´ ⽇毎に出現したユニークなIP数（P14とほぼ同じ波形）´ 出現⽇数もごとのIP数も特に特徴なし
cnt_ipIPごとのユニークユーザーアクセス
RESIP と non RESIP の⽐較´ RESIP と non RESIPの⽐較´ IPごとにユニークユーザーをカウントし、ユーザー数ごとにIP数を1ヶ⽉単位で集計。⽐較のため、⼀番⾼い数値で割り、対数グラフを作成´ 例︓9IDに紐づくIPが1337件

10.1

0.01

0.001

0.0001→1337/14397= 0.092´ 10-15あたりが不⾃然に増加。
´ これは1回の攻撃で利⽤されるアカウント数に関連していると推測。

0.00001

0.000001
147101316192225283134374043464952555861646770737679828588919497100´ RESIPの⽅が割合的に⼀つのIPからのアクセスID数が多い

non RESIPRESIPデータの活⽤´ 収集したRESIPデータを⽤いて不正事案の検出ができないか検証。
´ 事象としては「なりすましログイン」「盗難カードの不正利⽤」「詐欺」´ 突合の⼿法としては下記の2つの⼿法で実施。
´ すべてのトランザクションに対してRESIPデータを突合´ 発⽣した不正データに対してRESIPデータを突合全トランザクションに対して突合´ 事象は盗難カード不正利⽤´ 不正はチャージバックが発⽣トランザクションとする´ 単純なIPマッチで突合検出不正件数/不正件数=検出率97%

不正件数/検出総数＝不正率3.2%

誤検知が多すぎるため役に⽴たない´ 詳細データを⽤いて事象発⽣時刻とRESIPの観測出現時刻の差分を算出、1Day以内を当たりとしたところ
検出不正件数/不正件数=検出率22％

不正件数/検出総数＝

不正率 47.1%

IP単体で判断すると結果は微妙。時刻との組み合わせが必須

検知漏れと誤検知のパターンの推測´ 検知漏れのパターン´ ⽇時のクローリングで該当IPが収集できていなかった。
元々のRESIPのデータ量が不明である。
フィルタ「JP」として定期的にサーバからデータを取得。
ランダムで戻ってきたIPをDBに格納。
´ 犯⼈がRESIPを利⽤していない。別のRESIPやVPNを使っている。

´ 誤検知のパターン´ 複数⼈が同⼀のIPでインターネット出⼝を共有（マンション型ネット回線、フリーWifiなど）´ 携帯NW、モバイルWifi（頻繁にIPが変更）
ー出⼝が頻繁にIPが変わる環境の場合、そもそも繋がるのか不明

不正データに対する突合´ なりすましログイン

事象A

同⼀アクター´ 11件中10件1Dayヒット→ RESIP利⽤の可能性⼤´ 盗難カード不正利⽤

事象B

同⼀アクター´ 21トランザクションがすべて1Dayヒット、100%マッチ→ RESIP利⽤の可能性⼤´ 投資詐欺事象C 複数アクター´ 1163ユニークIDによるアクセス元IP 573IP を分析。
1Day hit率が半分を超える。
→ RESIP利⽤のアクターが存在´ カード不正事象D´ 34IPのうちIPヒット3件、しかも30⽇以上時間差あり→ RESIP利⽤の可能性⼩ すなわち、国内犯の可能性あり︕

1day1week

同⼀アクターのアトリビューション判定には役に⽴つ。

1monthmissまとめ・ RESIPのアドレスは常時更新され、短期間のIPが全体の半数以上。不正なIPを収集しても、単純なIPアドレスブラックリストにならない。
・誤検知を回避するためには、IP出現時間も考慮した判定が必須。データ単体で活⽤せず、トランザクションなど他の振る舞い情報もあわせた⽅がよい。
・アクターがRESIP利⽤かどうかを判定するには有⽤。（海外属性である可能性も判定可能）おわり

⼀緒にRESIPを分析しませんか︖
yumano@r.recruit.co.jp
twitter : @yumano