概要マルネットとはマルネットの可視化マルネットのトラッキングとネガティブデイディフェンス 2

(1)

マルネットのトラッキングと可視化

ブルーコートシステムズ

上級マルウェア研究員

クリス・ラーセン

(2)

2 © Blue Coat Systems, Inc. 2011

概要



マルネットとは



マルネットの可視化



マルネットのトラッキングと「ネガティブデイディ

(3)

(4)

Webベースのマルウェアとの戦い



従来の焦点

• ペイロード（AV）

• Web ページ（フィルター）



悪者が得意なこと：

• ペイロードを混乱させる

• 新しいサイトを作る



この戦いは相手の条件通

りの戦い



「ビッグピクチャー」の焦点

• サイトとサーバー

• サイトへの経路



ビッグピクチャーを混乱さ

せるのは難しい



悪者の攻撃面を広げる

• == 戦いを楽にする

(5)

悪者



悪者はいつもそこにいる

• 適応し、進化する



「新しい」攻撃のすべてが新しいとは限らない

• リソースにも制約がある

• 移動し、ブランドを変えながら、まだそこにいる

(6)

マルウェアを見つけたら?

おとり

リレー

ﾌﾟﾘｴｸｽｷｯﾄ

ｴｸｽｷｯﾄ

おとり

…

類似したトラフィックを探す

1- 水平マッピング

2- 垂直マッピング

攻撃の鎖

を上下に

たどる

（1 つのリンクを切る

だけで

…）

「マルネット」

(7)

マルネット



マルネット = マルウェア配信ネットワーク：

• 悪意あるコンテンツに役立つインフラ

• トラフィックをそこに誘導するインフラ



マルネットのメンバーシップ：

• 悪意あるサイトへの経路

• インフラの再利用



そこで、あるアイデアが浮かぶ

• 課題：マルネットを見えるようにする方法は?

(8)

(9)

(10)

マルネットを可視化する: ツリー図



赤いノード：新しいマルウェアサイト（既知のネットワーク）



白いノード：無関心（既知の/善意の WebAds）

(11)

マルネットのコンポーネント（検索エンジンポイズニング）

(12)

マルネットのコンポーネント（検索エンジンポイズニング）

悪意あるサイト

(13)

(14)

(15)

望ましい結末

悪意あるサイト

中間サイト

（中立または悪意の可能性）

信頼されるサイト（Google、

Yahoo、 Gmail、Facebook、

Twitter...）

(16)

ぼやけてしまった長靴をはいた猫

(17)

(18)

(19)

(20)

(21)

マルネット

のある

1日

(22)

マルネットのサンプル：固有の赤いノード

1

10

100 1000

10000

2011/10/01

2011/10/03

2011/10/05

2011/10/07

2011/10/09

2011/10/11

2011/10/13

2011/10/15

2011/10/17

2011/10/19

2011/10/21

2011/10/23

2011/10/25

2011/10/27

2011/10/29

2011/10/31

2011/11/02

2011/11/04

2011/11/06

2011/11/08

2011/11/10

2011/11/12

2011/11/14

2011/11/16

2011/11/18

2011/11/20

2011/11/22

2011/11/24

2011/11/26

2011/11/28

2011/11/30

Shnakule

Glomyn

Cavka

Naargo

Cinbric

4820

3376

(23)

マルネットのサンプル：赤いノードがある場所

Glomyn

イタリア

100%

Cinbric

中国

100%

Cavka

米国

_100%

Naargo

イスラエル

33.33%

ロシア

33.33%

オランダ

33.33%

Shnakule

米国

73.29%

ドイツ

9.39%

オランダ

3.37%

ロシア

3.28%

ラトビア

2.19%

ウクライナ

1.73%

EU

1.64%

中国

1.19%

ルーマニア

1.19%

1%未満の国々：

チェコ共和国、ルクセンブルク、モルドバ、パ

ナマ、英国、香港、台湾、ギリシャ、コスタリカ、

インド、フランス、リトアニア、トルコ、ブラジル、

クロアチア、ブルガリア

(24)

インフラのドリルダウン（単一のマルネット）

マルウェアサーバー

ドイツ

47.73%

オランダ

12.50%

ウクライナ

6.82%

ロシア

6.82%

米国

5.68%

ルーマニア

5.68%

5% 未満の国々：

リトアニア、EU、モルドバ、カ

ザフスタン、台湾、タイ、アゼ

ルバイジャン、英国、ブラジル

SEP & リレー

米国

92.48%

5% 未満の国々：

ドイツ、ラトビア、中国、ロシア、

ルーマニア、オランダ、ポーラ

ンド、ルクセンブルク、フランス、

チェコ共和国、EU

詐欺

ロシア

60.00%

ルーマニア

13.33%

ドイツ

_10.00%

ルクセンブルク

6.67%

5% 未満の国々：

米国、ウクライナ、EU

ポルノグラフィー

ドイツ

90.74%

5% 未満の国々：

ルーマニア、オランダ、チェコ

共和国

C & C

ロシア

54.55%

オランダ

27.27%

米国

9.09%

ウクライナ

9.09%

(25)

(26)

マルウェアを見つけたら?



2-D マッピングを思い出す（水平 & 垂直）…



第 3 の次元は時間

• ネットワークのその先をトラッキングしたい



…

どんな種類の攻撃を使用しているかが問題ではない

…



…

（ゼロデイエクスプロイトさえ）

…



…

ペイロードがどのように暗号化されているか

…



…

ドメインがどれだけ頻繁に変わるかは、もう無関係

!



（つまり、悪者が得意としているものはすべて無意味になる）

(27)

MySQL.com のハッキング（9/26）



Krebs のブログ：ハッカーが root ログインを$3000で販売

• （ブラックハット eco$ystem の例）



実際の攻撃はごく標準的：

• .js ファイルがページ上に iFrameを構築

• リンクが “BlackHole” エクスプロイトキットサーバーにリレー



truruhfhqnviaosdpruejeslsuy.cx.cc

• エクスプロイトがマルウェアペイロードをダウンロード



（44 の AV エンジンのうち 4 個のみ検知）



マルネットのトラッキング：

• エクスキットサーバーネットワークを9月9日から検知

• WebPulse™ が9月22日に新しいエクスキットサーバーをフラグ付け

• （この攻撃インフラの一部は6か月にわたって使用された）

(28)

MySQL のハッキング（より大局的な図）

http://mysql.com

（攻撃されたサイト）

truruhfhqnviaosdpruejeslsuy.cx.cc

46.16.233.108 erfgkjhasdfcvniiiertolfop.cx.cc

http://4shared.com

http://isohunt.com

（悪意ある広告）

fdxxejzr.cx.cc, …

大量の小規模ブログ

（攻撃された

/コメントスパム）

•

(29)

(30)

まとめ



マルネット

• ユーザのマルウェアに感染させるために利用されるインフラ



マルネットのトラッキング：

• ユーザーが「どのようにして」マルウェアに到達するか

• 個々のマルウェアが「何」かは問わない



可視化は、より深い分析に焦点をあてる

(31)

セキュリティのアート

31

(32)

マルネット可視化ソリューション



オープンソースのグラフライブラリー – jung.sourceforge.net

• Javaで実装、拡張可能

• おそろしく低速だが、マルネットは法外な大きさではない



主要なカスタマイズと拡張:

• レイアウトアルゴリズム

• ダイナミックトランジション

• アニメーション

• 外観の特殊化（リンク、ノード、ラベル、など）

• フレームおよびビデオのキャプチャー

• 平滑化

• 自動化された分析とハイライト

(33)

自動化されたマルネット分析



自動化されたアルゴリズムを利用できる



アルゴリズムとテクニックのタイプ：

• インターネット分析

– 大規模に対応した情報提供

• ソーシャルネットワーク分析

– 小規模に対応した情報提供



中間規模のマルネットは、アルゴリズム/テクニックの両方の

タイプに理想的

33

(34)

インターネット分析アルゴリズム



インターネット分析アルゴリズムの例：

• PageRank

• Hubs-Authorities (HITS)

• Endorsement

• Characteristic path length

• Link betweenness (Stress)

(35)

ソーシャルネットワーク分析テクニック



ソーシャルネットワーク分析テクニック：

• Community structure

• Prestige (in degree)

• Influence (out degree)

• Reciprocity

• Centrality

• Cliques

• Social roles



ハッキングされるサイトは、より有名で影響力が大きいことが

ある

概要 マルネットとは マルネットの可視化 マルネットのトラッキングと ネガティブデイディフェンス 2

マルネットのトラッキングと可視化

ブルーコートシステムズ

上級マルウェア研究員

クリス・ラーセン

概要



マルネットとは



マルネットの可視化



マルネットのトラッキングと「ネガティブデイディ

Webベースのマルウェアとの戦い



従来の焦点

•

ペイロード（AV）

•

Web ページ（フィルター）



悪者が得意なこと：

•

ペイロードを混乱させる

•

新しいサイトを作る



この戦いは相手の条件通

りの戦い



「ビッグピクチャー」の焦点

•

サイトとサーバー

•

サイトへの経路



ビッグピクチャーを混乱さ

せるのは難しい



悪者の攻撃面を広げる

•

== 戦いを楽にする

悪者



悪者はいつもそこにいる

•

適応し、進化する



「新しい」攻撃のすべてが新しいとは限らない

•

リソースにも制約がある

•

移動し、ブランドを変えながら、まだそこにいる

マルウェアを見つけたら?

おとり

リレー

ﾌﾟﾘｴｸｽｷｯﾄ

ｴｸｽｷｯﾄ

ｴｸｽｷｯﾄ

おとり

…

…

…

…

類似したトラフィックを探す

1- 水平マッピング

2- 垂直マッピング

攻撃の鎖

を上下に

たどる

（1 つのリンクを切る

だけで

…）

「マルネット」

マルネット



マルネット = マルウェア配信ネットワーク：

•

悪意あるコンテンツに役立つインフラ

•

トラフィックをそこに誘導するインフラ

概要マルネットとはマルネットの可視化マルネットのトラッキングとネガティブデイディフェンス 2