電子署名者 : Japan Computer Emergency

Response Team Coordination Center
Japan Computer
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
email=office@jpcert.or.jp, o=Japan
Emergency
Computer Emergency Response Team
Coordination Center, cn=Japan Computer
Response Team
Emergency Response Team Coordination
Coordination Center Center
日付 : 2018.01.26 10:33:24 +09'00'

Copyright©2017 nao_sec All Rights Reserved.

Speakers• 小池 倫太郎• 明治大学総合数理学部 4年• 菊池浩明研究室• nao_secでは悪性トラフィックの調査・解析を担当• 中島 将太• 昼間はただの・・・• nao_secではマルウェアの調査・解析を担当

2

Copyright©2017 nao_sec All Rights Reserved.

nao_sec• 2017年2月に結成• 活動• Drive-by Download攻撃やExploit Kitの調査・解析• 解析ツールの開発・公開• それらに関する情報の発信• http://nao-sec.org• https://twitter.com/nao_sec• https://github.com/nao-sec• 仕事ではなく，アマチュア（趣味）3Copyright©2017 nao_sec All Rights Reserved.

Drive-by Download攻撃• 概要• Webサイトを使ったWebブラウザに対する攻撃• 悪性Webサイトへ誘導された脆弱なWebブラウザに対して，
そのブラウザの脆弱性を突くようなコードを送り込んで制御を奪い，マルウェアをダウンロード・実行させる• Remote Code Execution• 入口• メールやSNS• 改ざんされた一般のWebサイト• 悪性Web広告（Malvertising）• 最近の主流

4

Copyright©2017 nao_sec All Rights Reserved.

Drive-by Download攻撃
中継サーバ③Drive (redirect...)①Inject②Access④Download & Execute

5

Copyright©2017 nao_sec All Rights Reserved.

Exploit Kit• 攻撃者の役割分担• サイト改ざんやWeb広告でユーザを攻撃サーバへ誘導• ブラウザの脆弱性を突き，マルウェアをダウンロード・実行• Exploit Kit• Exploit Kit as a Service• 攻撃者はユーザをExploit Kitへ誘導するだけ• API的なものを使う• 攻撃の難易度が低くなった← 役割分担6

Copyright©2017 nao_sec All Rights Reserved.

2017年の観測結果

7

Copyright©2017 nao_sec All Rights Reserved.

2017年の観測結果

Shadowfall

NebulaEK登場
PDL活動停止

DisdainEK登場

RIGシグネチャ変更
Drive-by Mining登場
ektackerリリース

EITest攻撃手法変更
Sundown-PirateEKの登場
RIG暗号鍵変更

8

Copyright©2017 nao_sec All Rights Reserved.

攻撃キャンペーン解析

9

Copyright©2017 nao_sec All Rights Reserved.

Fobos Campaign• 概要• 2017年3月頃から観測されはじめた• 使用されていたドメインのRegistrant Emailがfobos@mail.ru• RigEKを用いたMalvertising系の攻撃キャンペーン
• DecoyサイトとGateを用いて攻撃を行う

Advertisement

Decoy Site

Gate

RigEK

Fobos Campaign

10

Copyright©2017 nao_sec All Rights Reserved.

Fobos Campaign• 情報• DecoyサイトとGateは同一のIPアドレス上に存在• 同時期に3つのIPアドレスを使用• Decoyサイトのコンテンツは同一• IPアドレスは長期間変化せず安定的• 2017年7月18日～10月18日• 78.47.1.204• 78.47.1.212• 78.47.1.213• 2017年10月23日～• 88.198.94.51• 88.198.94.56• 88.198.94.62• 解析妨害• 同一のIPアドレスでは2度以上アクセスできない11

Copyright©2017 nao_sec All Rights Reserved.

Fobos Campaign

12

Copyright©2017 nao_sec All Rights Reserved.

Fobos Campaign• Decoyサイト

13

Copyright©2017 nao_sec All Rights Reserved.

Fobos Campaign• Gate14

Copyright©2017 nao_sec All Rights Reserved.

Fobos Campaign• 考察• Decoyサイト• ドメインの特徴はある程度の期間変化しないことが多い• monkeygohappyminimonkey4.info• monkeygohapymonkey.xyz• monkeygohapymnimonkey2.xyz• ドメインは直近で取得され使用される• newly.domains等を使えばDecoyサイトを発見可能• Gate• 同時期に使用されるドメインは大部分が同一文字列
•
•
•
•
15

51ikujyth.info (88.198.94.51)
56ikujyth.info (88.198.94.56)
62ikujyth.info (88.198.94.62)
異なってる数字部分は，IPアドレスの末尾と同一
Copyright©2017 nao_sec All Rights Reserved.

Rulan Campaign• 概要• 2017年4月頃から観測されはじめた• .ruドメインを使用し，パス部分が/lanだった• Malvertising系の攻撃キャンペーン
• Exploit Kit• Fake Adobe Flash Player (.js/.apk)• Phishing

Gate

RigEK
Advertisement
Fake Site

js downloader

Rulan Campaign
16

Copyright©2017 nao_sec All Rights Reserved.

Rulan Campaign• 情報• IPアドレスは殆ど変化しない• 144.76.174.172• 185.144.30.244• ドメインの特徴• RigEKにリダイレクトするGate• best-red.ru• new-red.ru• “red”を含むruドメイン• “red”はRedirectの略• 簡単な単語と組み合わせ• Fake Adobe Flash Player• flashupdate-centr.ru• flashupdate-club.ru• “flash”などを含むことが多い
17

Copyright©2017 nao_sec All Rights Reserved.

Rulan Campaign• RigEK Gate

• Gateのパス部分は長期間変化しない• /lan• /hil• /12318

Copyright©2017 nao_sec All Rights Reserved.

Rulan Campaign• Fake Adobe Flash Player

ZIP

19

JavaScript
Downloader
Copyright©2017 nao_sec All Rights Reserved.

Seamless Campaign• 概要• 2017年3月頃から観測されはじめた• Gateで使用されるiframeの属性にseamlessが存在した• RigEKを用いたMalvertising系の攻撃キャンペーン• Pre-GateとGateを用いて攻撃を行う

Advertisement

Pre-Gate

Gate

RigEK

Seamless Campaign

20

Copyright©2017 nao_sec All Rights Reserved.

Seamless Campaign• 情報• Pre-GateとGateは別のサーバでホスティング• サーバ上に存在するファイルは同一• Pre-Gateのサーバ上にもGateのファイルは存在する• Pre-Gateは攻撃対象の地域によってパスが異なる• /japan• /usa• GateはPre-Gateと1対1対応• /japan -> test1.php• /usa -> test2.php• 解析妨害• Pre-GateでJavaScriptを使ってタイムゾーンを取得• ターゲットのタイムゾーンか• 違う場合は正規サイトへリダイレクト21

Copyright©2017 nao_sec All Rights Reserved.

Seamless Campaign• 情報• Pre-GateとGateは1ヶ月ほどでサーバが変わる• 利用されているIPアドレスはreg.ruに属している• Pre-Gateのパスである/japanや/usaはあまり変化しない• Gateのパス部分は頻繁に変わる• /lol1.php• /signup1.php• /test1.php

22

Copyright©2017 nao_sec All Rights Reserved.

Seamless Campaign• Pre-Gate

23

Copyright©2017 nao_sec All Rights Reserved.

Seamless Campaign• Pre-Gate

24

Copyright©2017 nao_sec All Rights Reserved.

Seamless Campaign• Gate25

Copyright©2017 nao_sec All Rights Reserved.

Ngay Campaign• 概要• 2017年8月頃から観測されはじめた• 使用されるドメインにngayという単語が多く含まれていた• RigEKを用いたMalvertising系の攻撃キャンペーン
• Gateの直前にPre-Gateが存在することもある• 変化が激しく，厳密に識別要素があるわけではない

Advertisement

Pre-Gate

Gate

RigEK

Ngay Campaign
26

Copyright©2017 nao_sec All Rights Reserved.

Ngay Campaign• 情報• Pre-Gateは必ず存在するわけではない• 広告ネットワークから直接Gateへリダイレクト• Pre-Gateで使われるドメインはFreenomのものが殆ど• tk，ml，cf，ga，gq• Gateではドメインは使われないことが殆ど• 使われているVPS• かつては全てDigital Oceanに存在していた• Digital Oceanに協力してもらい，テイクダウン済み• 現在はTimeWebが多く利用されている• QuantLoaderなどのDownloaderが送り込まれる• DownloaderはMoneroなどのMinerをダウンロード/実行する

27

Copyright©2017 nao_sec All Rights Reserved.

Ngay Campaign• Gate28

Copyright©2017 nao_sec All Rights Reserved.

Exploit Kit 解析

29

Copyright©2017 nao_sec All Rights Reserved.

RIG Exploit Kit• 概要• 2014年頃から観測されているExploit Kit• 2016年9月以降最も活発• 非常に多くの攻撃キャンペーンで利用されている• 2015年に1度だけソースコードがリークされた• RIG Exploit Kit version 2

30

Copyright©2017 nao_sec All Rights Reserved.

RIG Exploit Kit• トラフィック

• RIGは最大で3つのフェーズで攻撃が行われる
1. Landing Page
• 最大で3種類の攻撃コードが読み込まれる• CVE-2015-2419• CVE-2016-0189• SWF Exploit

2. SWF（他の脆弱性が突かれた場合は発生しない）
3. Malware Payload

31

Copyright©2017 nao_sec All Rights Reserved.

RIG Exploit Kit• Landing Page

• 難読化されたJavaScriptコードが最大3つ
32

Copyright©2017 nao_sec All Rights Reserved.

RIG Exploit Kit• Landing Page

33

Copyright©2017 nao_sec All Rights Reserved.

RIG Exploit Kit• Malware Payload• RC4 Encode34

Copyright©2017 nao_sec All Rights Reserved.

RIG Exploit Kit• 特徴• 使用されるIPアドレスは頻繁に変化• 特徴的なURLパラメータ• 頻繁に変化• 解析妨害• 同一のIPアドレスで連続してアクセスしても攻撃は行われず，一般のWebサイトへリダイレクトされる（アクセス制御）• IE以外のUser-Agentでアクセスしても攻撃は行われず，一般のWebサイトへリダイレクトされる

35

Copyright©2017 nao_sec All Rights Reserved.

RIG Exploit Kit• 特徴• アクセス制御がリセットされるタイミング

36

連続で行われることもある

Copyright©2017 nao_sec All Rights Reserved.

Terror Exploit Kit• 概要• Blaze，Neptune，Erisなど様々な呼び名がある• IEだけではなく，FirefoxやOperaなども攻撃対象としていた時期もある（ゼロデイの場合もあった）• 関係者と思われる人物は666_KingCobraというハンドルで活動していた• 利用する脆弱性• CVE-2013-2551• CVE-2014-6332• CVE-2016-0189• SWF Exploit

37

Copyright©2017 nao_sec All Rights Reserved.

Terror Exploit Kit• トラフィック

• 4つのiframeを読み込む
38

Copyright©2017 nao_sec All Rights Reserved.

Magnitude Exploit Kit• 概要• 2013年頃から観測されはじめた• 韓国や台湾を標的とした攻撃に用いられる• 攻撃に利用する脆弱性はCVE-2016-0189のみ• 他のEKとは少し違ったコード• Configと呼ばれるデータを使ってマルウェアを実行する

39

Copyright©2017 nao_sec All Rights Reserved.

Magnitude Exploit Kit• トラフィック

40

Copyright©2017 nao_sec All Rights Reserved.

KaiXin Exploit Kit• 概要• 2012年頃から観測されはじめた• 中国を標的とした攻撃に用いられる• なかなか観測されることは少ない• 利用されている脆弱性も古い• CVE-2016-0189• CVE-2016-7200 & 7201
• Java Exploit• CVE-2011-3544• CVE-2012-4681• CVE-2013-0422• SWF Exploit

41

Copyright©2017 nao_sec All Rights Reserved.

KaiXin Exploit Kit• トラフィック

42

Copyright©2017 nao_sec All Rights Reserved.

Disdain Exploit Kit• 概要• 2017年8月頃に登場した新しいExploit Kit• 全然観測できないのでよく分からない• 難読化は単純なもの• 難読化と言えるのか疑問なレベル• 比較的新しい脆弱性を利用することもある• CVE-2013-2551• CVE-2015-2419• CVE-2016-0189• CVE-2017-0037• CVE-2017-0059

43

Copyright©2017 nao_sec All Rights Reserved.

外部組織との連携

44

Copyright©2017 nao_sec All Rights Reserved.

Shadowfall

45

Copyright©2017 nao_sec All Rights Reserved.

EKTracker

46

Copyright©2017 nao_sec All Rights Reserved.

観測/解析のための技術

47

Copyright©2017 nao_sec All Rights Reserved.

mal_getter48

Copyright©2017 nao_sec All Rights Reserved.

StarC49

Copyright©2017 nao_sec All Rights Reserved.

Rig EKでドロップする
マルウェアの調査

Copyright©2017 nao_sec All Rights Reserved.

Rig EKでドロップするマルウェアの調査
キャンペーンで使用されるマルウェアから攻撃者の最終的な目的を推測したい
マルウェアの切り替えのタイミングを知りたい• SeamlessとRulanのGateからドロップする検体を定期的に観測した• mal_getterを使い、10分おきに検体をダウンロード• 8月~12月• Gateが変更されると、新しいGateを探して観測を行う• 一時的に観測できていない期間が存在する

51

Copyright©2017 nao_sec All Rights Reserved.

[Seamless] 検体数の推移
検体数

Gate
60

A

50

B

C

D E F

G

H

I

J

KL

M

ハッシュの変化が増加

40

ハッシュの変化が減少

Gateがドメイン名に
変更

30
20
観測開始

10

no data

7月31日
8月7日
8月14日
8月21日
8月28日
9月4日
9月11日
9月18日
9月25日
10月2日
10月9日
10月16日
10月23日
10月30日
11月6日
11月13日
11月20日
11月27日
12月4日
12月11日
12月18日
12月25日

0

ダウン期
ダウン期間

RigEKのレスポンスが変化
RigEKのRigE
1IPでは定期観測が不可に

52

Copyright©2017 nao_sec All Rights Reserved.

Seamlessでdropするファミリ• Ramnit• バンキングトロジャン• ほぼ全期間、全Gate• GlobeImposter• ランサムウェア• 2日程度、一時的に

53

Copyright©2017 nao_sec All Rights Reserved.

Ramnit• 全てのGateでRamnitがドロップする• 一次検体に比べてUPXでパックされた検体のハッシュは6種類しかなかった[引用元： Ramnit – in-depth analysis
https://www.cert.pl/en/news/single/ramnitin-depth-analysis/]

10月までに
観測した
224検体

54

hash1

30検体

hash2
hash3
hash4
hash5
hash6

113検体
3検体
54検体
12検体
12検体
Copyright©2017 nao_sec All Rights Reserved.

Gateとパック検体の関係• Gateの切り替えとパック検体の切り替えは同期していない
hash1

7/31~8/9

hash4

9/13~9/15, 9/27~9/30

hash2

8/10~9/1, 9/8, 9/16~9/19

hash5

9/21~9/23

hash3

9/7

hash6

9/23~9/30

ゲート

A

B

C

D

E

F

UPX hash1
UPX hash2
UPX hash3
UPX hash4
UPX hash5
UPX hash6
55
Copyright©2017 nao_sec All Rights Reserved.

Seamlessのgate• 同じIPに複数パスが存在する• 検体数の推移は1ゲートのみ• 地域毎に制御(Pre-Gateのパス)• /japan• /usa• /canada• /fr• /vncpre gate

gate/*1.php/*2.php

Gate IP/*3.php/*4.php/*5.php[引用元：https://malwarebreakdown.com/2017/08/23/the-seamless-campaign-isnt-losing-any-steam/]

56

Copyright©2017 nao_sec All Rights Reserved.

パスによる検体の違い• 同じGateでもパス毎にドロップ検体のハッシュが異なる• 検体数にも差がある• 10月• /test1• /test2• /test3• /test4

384
358
352
287

• 一度だけ一つのパスでGlobeImposter(ランサムウェア)がドロップすることがあった• 9月、2日間程度• それ以外は全てRamnit

Copyright©2017 nao_sec All Rights Reserved.

パス毎のRamnitの通信先• パス毎にRamnitが通信する先が変化する• 194.xx.39.177/hah1→ 通信先グループ1• 194.xx.39.177/hah2→ 通信先グループ2• 194.xx.39.177/hah3→ 通信先グループ3• 194.xx.39.177/hah4→通信先グループ4

通信先グループ1

通信先グループ2• 共通の通信先も存在する• botの登録をおこなう

58

共通の通信先Copyright©2017 nao_sec All Rights Reserved.

パス毎のRamnitの変化• ダウンロードするDLLは
ほぼおなじ• Antivirus Trusted Module v2.0
• (AVG, Avast, Nod32, Norton,
Bitdefender)• CookieGrabber• Hooker• IE & Chrome & FF injector• VNC IFSB• Browser communication hook
• FF&Chrome reinstall• FtpGrabber

UPXでパックされたDLL
Copyright©2017 nao_sec All Rights Reserved.

パス毎のRamnitの変化• configは地域毎に異なる• おそらくIPで制御• 日本→クレジットカード会社、有名サイト• USA→銀行、ショッピングサイト、宿泊予約、有名サイト• USA• AZORultをダウンロードして実行する

Copyright©2017 nao_sec All Rights Reserved.

Seamlessの特徴まとめ(マルウェア)• 継続してRamnitを利用している• 時期によってハッシュの変化数にばらつきがある• Gateに複数のパスが存在し、地域(IP)ごとに
マルウェアの挙動が変化する• RamnitのBot登録をおこなう通信先は変化しない

Copyright©2017 nao_sec All Rights Reserved.

[Rulan] 検体数の推移
検体数

Monero Miner
AZORult
Infostealer

60

Panda Banker

Chthonic

50
AZORult
MoneroMiner

40

smoke loader
betabot
dreambot

Quant Loader

30

smoke loader > Monero Miner

EKを利用しないように（ZIP、apk）
down

down

down

9月5日

10

8月29日

20
down

62

11月7日

10月31日

10月24日

10月17日

10月10日

10月3日

9月26日

9月19日

9月12日

8月22日

8月15日

8月8日

0

Copyright©2017 nao_sec All Rights Reserved.

Rulanでドロップするファミリ
主なファミリ• Chthonic• バンキングトロジャン• Panda Banker• バンキングトロジャン

数検体のみ• AZORult• インフォスティーラー• Quant Loader• ダウンローダー• Dreambot• バンキングトロジャン• XMR miner• 仮想通貨モネロのマイナー• smoke loader• ダウンローダー

63

Copyright©2017 nao_sec All Rights Reserved.

Smoke Loaderのダウンロードする検体の変化• panda banker• 10/19• monero miner• 10/20

Copyright©2017 nao_sec All Rights Reserved.

Monero Miner• CPUで採掘可能な通貨Monero(XMR)のマイナー• 一般的にマイニングで使用するプログラムを流用しておりマルウェアではない• Minergate• nanopool

Copyright©2017 nao_sec All Rights Reserved.

Rulanの特徴(マルウェア)• 複数のマルウェアを利用する• マルウェアのファミリによってハッシュの変化数にばらつきがある• 活動時期が不定期• 最終的にはEKを使用しなくなった

Copyright©2017 nao_sec All Rights Reserved.

その他キャンペーン
• Fobos• Bunitu• Ngay• マイナー

67

Copyright©2017 nao_sec All Rights Reserved.

マルウェアの調査方法

Copyright©2017 nao_sec All Rights Reserved.

マルウェアのファミリ名の特定• ファミリ名が特定できれば既に解析済みの情報を参照しやすい• 既知情報の有効活用• マルウェアのハッシュが違ってもファミリが同じであれば、解析する必要はない• 解析が必要な検体数の削減

69

Copyright©2017 nao_sec All Rights Reserved.

マルウェアのファミリ名の特定方法• オンラインスキャンサービス VirusTotalを使う•

複数のアンチウイルスソフトの検出名を確認• 手動解析
•マルウェアの特徴からファミリを判断• 公開情報の活用••••

公開情報の収集
マルウェアのIOCの調査
既知情報の活用
収集した脅威情報との比較

Copyright©2017 nao_sec All Rights Reserved.

マルウェアのファミリ名の特定方法• オンラインスキャンサービス VirusTotalを使う•

複数のアンチウイルスソフトの検出名を確認
精度がよくない• 手動解析
•マルウェアの特徴からファミリを判断• 公開情報の活用••••

公開情報の収集
マルウェアのIOCの調査
既知情報の活用
収集した脅威情報との比較手間がかかる
高度な技術が必要

Copyright©2017 nao_sec All Rights Reserved.

公開情報の収集• EK、マルウェアに関する公開情報を収集する
misp feeds

feeds

Blog

twitter

Copyright©2017 nao_sec All Rights Reserved.

マルウェアのIOCの調査• オープンソースのサンドボックスを使う• Cuckoo• オンラインサンドボックスを使う• Hybrid Analysis• Joe sandbox• any.run

Copyright©2017 nao_sec All Rights Reserved.

既知情報の活用• すでにファミリ名がラベル付けされた検体からマルウェアのIOCを調査する

Copyright©2017 nao_sec All Rights Reserved.

検体のハッシュ値はIOCとして使えない• EKからドロップするマルウェアは高頻度で変化する• 観測したキャンペーン毎のユニークなマルウェア数• Seamless• 検体 948• Rulan• 検体 531

Copyright©2017 nao_sec All Rights Reserved.

注目すべきIOC• マルウェアの通信先• マルウェアの挙動• レジストリ• 実行コマンド、作成されるファイル• ランサムノート、拡張子

Copyright©2017 nao_sec All Rights Reserved.

変化しないマルウェアのIOC
長期間利用される通信先• Ramnit• IPアドレス• bot登録用のIPアドレス(87.106.190.153)がゲート、パスに関わらずに長期間使用されている• DGAドメイン名• 一度解析すれば長期間利用可能• Chthonic• 2ヶ月間C2サーバが変化しない• ponedobla[.]bitに接続

77

Copyright©2017 nao_sec All Rights Reserved.

変化しないマルウェアのIOC
Ramnit• 管理者権限確認に使用する
レジストリ• jfghdug_ooetvtgk

Panda Banker
Dreambot• 作成し、実行するbatファイル@echo off:ddel /F /Q "%TEMP%¥{filename}“
if exist "%TEMP%¥{filename}" gotoddel /F "%TEMP%¥upd[a-z09]{8}.bat":[0-9]{8}
if not exist %1 goto [0-9]{10}cmd /C ¥"%1 %2¥"
if errorlevel 1 goto [0-9]{8}:[0-9]{10}del %0"

Copyright©2017 nao_sec All Rights Reserved.

IOCの共有• misp形式で配布中• https://github.com/nao-sec/ioc

Copyright©2017 nao_sec All Rights Reserved.

マルウェアのバイナリ類似度による調査工数の削減• 複数のハッシュアルゴリズムを使って実験をおこなった• imphash• ssdeep• sdhash• impfuzzy• TLSH• impfuzzyとtlshは同一ファミリの場合、ある程度類似度を示した• 可視化までできるimpfuzzyを利用• グループに分類することで調査対象の検体を絞った

Copyright©2017 nao_sec All Rights Reserved.

Seamlessでドロップした検体• 同じファミリだが複数のクラスタに分類された• 224検体→9クラスタ• ドロップ日時が近い検体同士の類似度が高い• パッカーの特性が類似している

Copyright©2017 nao_sec All Rights Reserved.

Rulanでドロップした検体• ファミリが多いためSeamless
ほどまとまりがない• 453検体→28クラスタ• 類似度がない検体も多数• 同ファミリで類似度が高いもの
はドロップ日時が近い検体同士の類似度が高いCopyright©2017 nao_sec All Rights Reserved.

Summary• Drive-by Download攻撃は2016年に引き続き減少• 4月以降，大規模な攻撃キャンペーンが変化• pseudo-Darkleechの活動停止• EITestはTechnical Support Scamへ移行• 2017年はRIG Exploit Kitが圧倒的な勢力• 年間を通して，安定的に多くの攻撃キャンペーンで利用• 攻撃キャンペーンの変化• 多くの攻撃キャンペーンがMalvertising系へ• 日本をターゲットとした攻撃キャンペーンも83

Copyright©2017 nao_sec All Rights Reserved.

Summary• EKで利用されるマルウェアのハッシュは不規則に変更される• キャンペーン毎にマルウェアのファミリはある程度固定
される• 攻撃者のリソースは限られるため通信先はハッシュほど変化しない• 挙動ベースのIOCは長期間有効である• バイナリ類似度を利用してある程度、同一ファミリを分類することができた

Copyright©2017 nao_sec All Rights Reserved.

Any Questions?

85

Copyright©2017 nao_sec All Rights Reserved.