Computer Security Symposium October 2014 プロセスの通信手続きに基づくフォレンジック手法の提案 1 2 神薗雅紀 1 遠峰隆史 1 津田侑 1 衛藤将史 2 星澤裕二 1 井上大介 1 独立行政法人情報通信研究機構 東京

プロセスの通信手続きに基づくフォレンジック手法の提案

神薗

雅紀

†1†2

遠峰 隆史

†1

津田 侑

†1

衛藤 将史

†1

星澤 裕二

†2

井上 大介

†1

†1 独立行政法人 情報通信研究機構 〒184-8795 東京都小金井市貫井北町 4-2-1

†2 株式会社セキュアブレイン 〒102-0083 東京都千代田区麹町 2-6-7 麹町 RK ビル 4F

E-mail: †1{masaki_kamizono, tomine, tsuda, eto, dai}@nict.go.jp

†2 {masaki_kamizono, yuji_hoshizawa}@securebrain.co.jp

あらまし 標的型攻撃対策として様々なセキュリティ製品が登場している．何らかのインシデントによりネット ワーク監視製品がアラートを挙げた際は，アラート情報を基に対象ホスト内のどのプロセスによる通信であるかツ ール等を用いて解析する．しかし，これらのツールは主にプロセスの状況や通信先情報等を提供するのみであり， アラート情報と突合するために必要となるプロセスの通信手続き情報が保全されておらず，分析に多くの時間を要 し，かつ推測の入った解析結果となるケースが多い．そこで本稿では，プロセスの一連の通信手続きを保全するこ とでプロセスと通信を結び付け，セキュリティ製品のアラートと突合することによるフォレンジック手法を提案す る．さらに，プロセスの通信手続きの一つであるDNS クエリに着目し，保全情報から不正なプロセスを特定する手 法を考察する． キーワード 標的型攻撃，フォレンジック，ログ保全，プロセス通信，DNS

Proposal of Forensics Method Based on Communication Procedure of Process

Masaki KAMIZONO

†1†2

Takashi TOMINE

†1

Yu TSUDA

†1

Masashi ETO

†1

Yuji HOSHIZAWA

†2

and Daisuke INOUE

†1

†

1 National Institute of Information and Communications Technology

4-2-1 Nukui-Kitamachi, Koganei, Tokyo, 184-8795 Japan

†

2 Securebrain Corporation Kojimachi RK Bldg, 6-7 Kojimachi 2-chome, Chiyodaku, Tokyo, 102-0083 Japan

E-mail: †1{masaki_kamizono, tomine, tsuda, eto, dai}@nict.go.jp

†2 {masaki_kamizono, yuji_hoshizawa}@securebrain.co.jp

Abstract In common digital forensic operations using network security appliances against APT, based on the alerts

published by the appliances, operators try to find out processes that conducted suspicious communications and consequently caused the alerts. However, the conventional tools used in the operation only provide information such as status of processes and destinations of the communications, that are insufficient to obtain conclusive evidence for practical cases. Since these tools do not preserve and provide communications procedure of each process, which is crucial to correlate network activities and alerts reported by network appliances, forensic operations take longer time and the results must have a certain ambiguity. In order to address this problem, we propose a forensic method which enables to correlate processes and alerts by preserving communication procedures of internal processes of hosts. Particularly, this paper focuses on DNS query, which is an important step of a communication procedure, and presents considerations of how to specify malicious processes based on the preserved information.

Keyword Advanced Persistent Threat，Digital Forensics，Log Preservation，Communication Procedure，DNS

1. は じ め に

マ ル ウ ェ ア を 利 用 し た サ イ バ ー 攻 撃 に よ る 被 害 が 多 発 し て お り ， 中 で も 特 定 の 組 織 や 企 業 を 標 的 と し ， 機 密 情 報 の 収 奪 や 特 定 シ ス テ ム の 破 壊 を 目 的 と し た 標 的 型 攻 撃 は ， 会 社 や 組 織 間 さ ら に は 国 家 を ま た ぐ 問 題 と な っ て い る ． こ の よ う な 背 景 の 下 ， 標 的 型 攻 撃 対 策 と し て 次 世 代 フ ァ イ ア ウ ォ ー ル や 侵 入 検 知 装 置 等 で 代 表 さ れ る ネ ッ ト ワ ー ク 監 視 製 品 ， ア ン チ ウ イ ル ス ソ フ ト な ど で 代 表 さ れ る ホ ス ト ベ ー ス 監 視 製 品 な ど ， 様 々 な セ キ ュ リ テ ィ 製 品 が 登 場 し て お り ， イ ン シ デ ン ト が 発 生 し た 際 は ， 各 種 セ キ ュ リ テ ィ 製 品 の ア ラ ー ト 情 報 や ロ グ 情 報 を 基 に フ ォ レ ン ジ ッ ク を 行 う こ と で ， 原 因 の 究 明 や 対 策 方 法 を 立 案 す る ． し か し ， フ ォ レ ン ジ ッ ク を 行 っ た 際 に ， そ の 結 果 に あ る 程 度 の 推 測 が 入 る こ と や ， 分 析 に 多 く の 時 間 や コ ス ト を 要 す る こ と か ら ， 効 果 的 な フ ォ レ ン ジ ッ ク 手 法 が 希 求 さ れ て い る ． フ ォ レ ン ジ ッ ク に 推 測 が 入 る こ と や 多 く の 時 間 を 要 す る 要 因 と し て ， 本 来 必 要 な ロ グ 情 報 が 保 全 さ れ て い な い こ と ， 各 種 セ キ ュ リ テ ィ 製 品 の ア ラ ー ト 情 報 や ロ グ 情 報 が お 互 い に 連 携 や 突 合 で き な い こ と が 挙 げ ら れ る ． 例 と し て ， ネ ッ ト ワ ー ク 監 視 製 品 が 外 向 き の 通 信 に 対 し て ア ラ ー ト を 発 生 し た 場 合 を 挙 げ る ． ま ず ， － 167 －

ア ラ ー ト よ り ど の 端 末 か ら の 通 信 で あ る か 特 定 し ， さ ら に 端 末 内 の ど の プ ロ セ ス が 当 該 ア ラ ー ト の 原 因 と な っ た 通 信 を 発 生 さ せ た の か ， そ の 実 行 フ ァ イ ル は ど こ に 保 存 さ れ て い る か 分 析 し て い く ． し か し ， ネ ッ ト ワ ー ク 監 視 製 品 の ア ラ ー ト や ロ グ 情 報 は 基 本 的 に は 通 信 レ イ ヤ ー に お け る 情 報 で あ る た め ， 当 該 情 報 だ け で は 端 末 内 部 の ど の プ ロ セ ス に よ る 通 信 で あ る か 等 を 判 別 す る こ と は 容 易 で は な い ． こ の た め ， 一 般 的 に ホ ス ト ベ ー ス 製 品 や 端 末 の ロ グ ，netstat コ マ ン ド な ど OS の 標 準 コ マ ン ド を 利 用 し て 得 ら れ た 情 報 ， さ ら に は 端 末 に プ ロ セ ス の 挙 動 を 収 集 す る ツ ー ル 等 を 導 入 し て 得 ら れ る 分 析 時 に お け る 端 末 の“ 通 信 先 のIP ア ド レ ス や 逆 引 き さ れ た ホ ス ト 名 ” 等 の 情 報 を 利 用 し ， ネ ッ ト ワ ー ク 監 視 製 品 の ア ラ ー ト に 関 係 す る プ ロ セ ス 等 を 特 定 も し く は 推 測 す る ． 従 っ て ， 分 析 時 に 得 ら れ た 端 末 側 の 情 報 と ネ ッ ト ワ ー ク 監 視 製 品 の ア ラ ー ト が 一 致 し た 場 合 は ， 不 正 な プ ロ セ ス 等 を 比 較 的 容 易 に 特 定 す る こ と が で き る が ， イ ン シ デ ン ト が 発 生 し 時 間 が 経 過 し た 場 合 は ，情 報 が 保 全 さ れ て い な い た め 分 析 が 困 難 と な る ． さ ら に ， 昨 今 の ネ ッ ト ワ ー ク 監 視 製 品 は 単 純 に シ グ ネ チ ャ ， 通 信 先 URL お よ び IP ア ド レ ス 情 報 の み で は な く ，DNS や レ ピ ュ レ ー シ ョ ン 情 報 な ど の 様 々 な 情 報 を 利 用 し て 不 正 な 通 信 に 対 し ア ラ ー ト を 挙 げ る こ と で ， そ の 精 度 を 向 上 さ せ て い る も の が 多 く 存 在 す る ． こ れ ゆ え ，端 末 側 で 得 ら れ る“ 通 信 先 の IP ア ド レ ス や 逆 引 き さ れ た ホ ス ト 名 ” と い っ た 情 報 で は ， 昨 今 の ネ ッ ト ワ ー ク 監 視 製 品 に よ る ア ラ ー ト 情 報 と 突 合 す る こ と が 難 し い ． 効 果 的 に フ ォ レ ン ジ ッ ク を 行 う た め に は ， こ れ ら の ネ ッ ト ワ ー ク 監 視 製 品 が 挙 げ た ア ラ ー ト 情 報 と 突 合 す る た め に ， 過 去 か ら 現 状 の 通 信 状 況 に 至 る ま で の プ ロ セ ス の 通 信 手 続 き に お け る 情 報 を 保 全 し て お く 必 要 が あ る ．具 体 例 と し て Web ブ ラ ウ ザ を 用 い て Web サ イ ト を 閲 覧 す る 場 合 を 挙 げ る と ，DNS ク エ リ を 発 行 後 ，HTTP リ ク エ ス ト を 行 い ， デ ー タ を 取 得 す る ． こ の よ う な 一 連 の 処 理 を プ ロ セ ス の 通 信 手 続 き と す る ． 現 状 で は 上 記 に 示 す よ う な プ ロ セ ス の 通 信 手 続 き が 保 全 さ れ て い な い た め ， ア ラ ー ト が 発 生 し た 時 刻 に お け る 端 末 の ロ グ を 分 析 す る と い っ た ， あ る 程 度 の 推 測 の 入 っ た 分 析 結 果 と な り ， 同 時 に 時 間 を 要 す る 作 業 と な る ． 続 い て ， ホ ス ト ベ ー ス 監 視 製 品 が ア ラ ー ト を 挙 げ た 場 合 を 例 に 挙 げ る ． こ の 場 合 は ， ど の フ ァ イ ル が マ ル ウ ェ ア で あ っ た の か 容 易 に 判 別 で き る ケ ー ス が 多 い ． し か し 逆 に ， そ の マ ル ウ ェ ア の 起 動 プ ロ セ ス が ど の よ う な 通 信 を 行 っ て い た か ， そ の ア ラ ー ト か ら で は 判 断 が 困 難 で あ り ， さ ら に ア ラ ー ト 情 報 か ら ネ ッ ト ワ ー ク 監 視 製 品 等 の ロ グ と も 突 合 す る こ と が 困 難 で あ る ． こ の た め ， 例 え ば ホ ス ト ベ ー ス 製 品 の ア ラ ー ト 情 報 を 基 に ネ ッ ト ワ ー ク 監 視 製 品 等 の ロ グ と 突 合 す る こ と で ， イ ン シ デ ン ト に 関 連 す る IP ア ド レ ス や URL， ポ ー ト 番 号 やDNS 情 報 な ど を 導 出 し ，そ の 結 果 を ネ ッ ト ワ ー ク 監 視 製 品 に 反 映 さ せ て 不 正 な 通 信 を ブ ロ ッ ク す る と い っ た 対 策 に 反 映 さ せ る こ と が 難 し い ． そ こ で 本 稿 で は ， プ ロ セ ス の 一 連 の 通 信 手 続 き を 保 全 す る こ と で ， ネ ッ ト ワ ー ク お よ び ホ ス ト ベ ー ス 監 視 製 品 の ア ラ ー ト 情 報 や ロ グ 情 報 を 突 合 す る 効 果 的 な フ ォ レ ン ジ ッ ク 手 法 を 提 案 す る ． 特 に ， 近 年 の ネ ッ ト ワ ー ク 監 視 製 品 は DNS 情 報 を 用 い た ア ラ ー ト を 挙 げ る も の が 台 頭 し て い る こ と も 踏 ま え ， 今 回 は プ ロ セ ス の 通 信 手 続 き の 一 つ で あ るDNS ク エ リ に 着 目 し ，提 案 手 法 の 有 効 性 を 示 す ． 本 論 文 の 構 成 は 以 下 の と お り で あ る ． ま ず 2 章 に て 関 連 研 究 に つ い て 述 べ ． 続 い て3 章 に て 提 案 手 法 を 説 明 す る ． そ の 後 ，4 章 に て 提 案 手 法 を 用 い た 検 証 実 験 を 述 べ る ．5 章 に て 考 察 を 行 い ， 最 後 に ま と め と 今 後 の 課 題 と す る ．

2. 関 連 研 究

ネ ッ ト ワ ー ク 監 視 機 器 （IDS 等 ） の ア ラ ー ト 情 報 か ら 端 末 内 の 正 規 の プ ロ セ ス に 成 り 済 ま す 不 正 な プ ロ セ ス を 特 定 す る 手 法 と し て ，山 本[1][2]ら の 手 法 が 提 案 さ れ て い る ．山 本 ら の 手 法 はIDS 等 の ア ラ ー ト 情 報 で あ る 送 信 元 ポ ー ト 番 号 を ト リ ガ と し ，端 末 のnetstat コ マ ン ド を 利 用 し て 得 ら れ た 解 放 ポ ー ト 番 号 と ア ラ ー ト 内 容 を 突 合 す る こ と で 関 連 プ ロ セ ス を 特 定 す る ． 次 に ， 特 定 さ れ た プ ロ セ ス の 情 報 を 解 析 シ ス テ ム が 分 析 し ， コ ー ド 注 入 等 が 確 認 さ れ た 場 合 は 不 正 な プ ロ セ ス で あ っ た と 判 定 す る ． 三 村[3]ら の 手 法 は ，カ ー ネ ル ド ラ イ バ に て 端 末 に 導 入 し ，OS 起 動 時 か ら の プ ロ セ ス と そ の 通 信 の ロ グ を と り 続 け る シ ス テ ム を 開 発 し て い る ．OS 起 動 時 か ら の プ ロ セ ス の 通 信 ロ グ を 取 り 続 け る こ と で ， 何 ら か の イ ン シ デ ン ト が 発 生 し た 際 に ， 過 去 の 情 報 を 遡 り 分 析 可 能 と し て い る ． ロ グ に 記 録 さ れ る 情 報 は ， プ ロ セ ス ID， 親 プ ロ セ スID，実 行 イ メ ー ジ フ ァ イ ル パ ス ，接 続 元 ・ 接 続 先IP ア ド レ ス /ポ ー ト 番 号 な ど で あ る ． そ の 他 ， 関 連 す る コ マ ン ド と し て Windows OS の netstat コ マ ン ド ，ツ ー ル と し て は Wireshark[4]，Process Monitor[5]，Process Hacker[6]な ど が 挙 げ ら れ る ．netstat コ マ ン ド は 通 信 中 の TCP コ ネ ク シ ョ ン の 状 態 を 表 示 さ せ ，ESTABLISHED と な っ て い る 通 信 に 関 し て は ， 通 信 先 の IP ア ド レ ス や 逆 引 き さ れ た ホ ス ト 名 を 表 示 す る ．ま た ，Wireshark は パ ケ ッ ト ア ナ ラ イ ザ ソ フ ト ウ ェ ア で あ り ， パ ケ ッ ト の 内 容 を 分 析 ・ 表 示 す る こ と が 可 能 で あ る が ， ど の プ ロ セ ス に よ る パ ケ ッ ト で あ る か 判 定 で き な い ．Process Monitor，Process Hacker は 起 動

プ ロ セ ス の 詳 細 な 情 報 を 収 集 可 能 で あ る が ，netstat と 同 様 に プ ロ セ ス の 通 信 手 続 き 情 報 は 取 得 で き な い ． 以 上 よ り ， 三 村 ら の 手 法 お よ び OS の コ マ ン ド や プ ロ セ ス 状 況 を 監 視 す る ツ ー ル は ， 接 続 元 ・ 接 続 先 IP ア ド レ ス/ポ ー ト 番 号 ， 接 続 先 IP ア ド レ ス か ら の 逆 引 き さ れ た ホ ス ト 名 等 を 収 集 ・ 保 全 し て い る が ， フ ォ レ ン ジ ッ ク の 際 に 重 要 と な る 現 状 の 通 信 状 態 に 至 る ま で の プ ロ セ ス の 通 信 手 続 き は 全 く 保 全 し な い ． ま た ， 山 本 ら の 手 法 は IDS の ア ラ ー ト と ，端 末 内 の netstat コ マ ン ド 実 行 結 果 を 突 合 し て い る ．こ れ よ り ， netstat の 情 報 と 突 合 で き る も の に 対 し て 有 効 な 手 法 で あ る ． 関 連 研 究 お よ び 関 連 ツ ー ル と 本 稿 に お け る 提 案 の 明 確 な 差 異 は ， 今 ま で の 研 究 や ツ ー ル で は 保 全 対 象 と さ れ て い な か っ た プ ロ セ ス の 一 連 の 通 信 手 続 き を ロ グ フ ァ イ ル と し て 保 全 す る こ と で プ ロ セ ス と 通 信 を 関 連 付 け ， さ ら に 保 全 情 報 を 用 い て 効 果 的 に フ ォ レ ン ジ ッ ク を 行 う 点 で あ る ．

3. 提 案 手 法

本 節 で は ， プ ロ セ ス の 通 信 手 続 き 情 報 の 保 全 手 法 ， な ら び に ， 保 全 し た 情 報 を 利 用 し た フ ォ レ ン ジ ッ ク 手 法 を 述 べ る ．

3.1. プ ロ セ ス の 通 信 手 続 き 情 報 の 保 全 手 法

プ ロ セ ス が 起 動 さ れ 通 信 を 行 っ た 際 の 通 信 手 続 き 保 全 概 要 を 図 1 に 示 す ．図 1 に 示 す 通 り ，提 案 手 法 で は 起 動 す る プ ロ セ ス お よ び 既 に 起 動 さ れ た プ ロ セ ス に 対 し ，Windows API フ ッ ク 処 理 を 仕 掛 け る こ と で プ ロ セ ス の 通 信 手 続 き を 保 全 す る ．netstat コ マ ン ド や プ ロ セ ス 監 視 ツ ー ル で は ， 現 状 の 開 放 ポ ー ト な ど の 通 信 先 の IP ア ド レ ス や 逆 引 き ホ ス ト 名 な ど を 取 得 す る が ，提 案 手 法 で は プ ロ セ ス の 起 動 時 か ら 現 状 の 通 信 状 態 に 至 る ま で の DNS， HTTP お よ び 送 受 信 処 理 （ TCP/UDP） な ど の 一 連 の 通 信 手 続 き を 保 全 す る ．

図

1 プ ロ セ ス の 通 信 手 続 き 保 全 概 要

本 稿 で は ， Windows API フ ッ ク を 用 い て プ ロ セ ス の 通 信 手 続 き 情 報 を 保 全 す る ． 以 下 ， プ ロ セ ス の 通 信 手 続 き を 保 全 す る 具 体 的 な 手 法 な ら び に 保 全 形 式 を 示 す ．

3.1.1. Windows API フ ッ ク を 用 い た プ ロ セ ス

の 通 信 手 続 き 保 全 手 法

本 稿 で は ，Windows API フ ッ ク を 用 い て ， プ ロ セ ス の 通 信 手 続 き 情 報 を 保 全 す る ． 起 動 す る プ ロ セ ス お よ び 既 に 起 動 さ れ た プ ロ セ ス に 対 し ，Windows API フ ッ ク 処 理 を 仕 掛 け ，通 信 手 続 き 情 報 を プ ロ セ ス 毎 にCSV 形 式 の フ ァ イ ル と し て 保 存 す る ． ま た ， 当 該 プ ロ セ ス の 他 （ 子 ） プ ロ セ ス の 起 動 や ， 他 の プ ロ セ ス へ イ ン ジ ェ ク シ ョ ン し た 場 合 ， そ れ ら の プ ロ セ ス に 対 し て も 自 動 的 に 同 様 のWindows API フ ッ ク 処 理 を 設 け ，別 プ ロ セ ス と し て 通 信 手 続 き を 保 全 す る ． な お ， 既 に 起 動 さ れ て い る プ ロ セ ス に 対 し て フ ッ ク 処 理 を 仕 掛 け た 場 合 は ， フ ッ ク 処 理 後 の 情 報 の み 保 全 可 能 と な る ． フ ッ ク す る プ ロ セ ス の 通 信 手 続 き に 関 す るWindows API な ら び に そ の 概 要 の 一 例 を 表 1 に 示 す ．

表

1 フ ッ ク す る Windows API 例

DLL/API 概 要 kernel32.dll − LoadLibraryExW ws2_32.dll,wsock32.dll,dnsa pi.dll が ロ ー ド さ れ た 場 合 に フ ッ ク を 設 定 す る CreateProcess 新 し く 起 動 さ れ た プ ロ セ ス に フ ッ ク を 設 定 す る CreateRemoteThread イ ン ジ ェ ク シ ョ ン し た 他 の プ ロ セ ス を フ ッ ク 対 象 と す る dnsapi.dll − DnsQuery_A/UTF8/W DNS の ロ グ を 出 力 wsock32.dll − recv， send 通 信 ロ グ を 出 力 recvfrom， sendto 通 信 ロ グ を 出 力 ． ま た ， デ ー タ が DNS の リ ク エ ス ト / レ ス ポ ン ス 形 式 の 場 合 ， 内 容 を 解 釈 し ロ グ を 出 力 gethostbyname DNS の ロ グ を 出 力 ws2_32.dll − recv， send 通 信 ロ グ を 出 力 （TCP） recvfrom， sendto 通 信 ロ グ を 出 力 （UDP） gethostbyname DNS の ロ グ を 出 力 GetAddrInfoW DNS の ロ グ を 出 力 getaddrinfo DNS の ロ グ を 出 力

な お ，表 1 の sendto や recvfrom API を 利 用 し て 直 接 DNS 通 信 を 行 う も の に つ い は ， 通 信 内 容 が DNS の プ ロ ト コ ル 形 式 に 合 致 す る か 判 定 し ， 解 釈 後 に ロ グ を 出 力 す る ．DNS フ ォ ー マ ッ ト は RFC 1035[7]に 従 う ． プロセス起動 APIフック 現在 通信先IPアドレス，Port番号 状態（ESTABLISHなど） 逆引きされたホスト名 など DNS query DNS response HTTP HTTP SEND（UDP） RECV（UDP） DNS query DNS response 提案手法で保全する プロセスの通信手続き情報例 OSコマンド，プロセス監視ツール 等で収集可能な情報例 SEND（TCP） RECV（TCP） － 169 －

3.1.2. 保 全 形 式 な ら び に 保 全 内 容

本 節 で は ，3.1.1 節 で 述 べ た 手 法 に て 取 得 し た 情 報 の 保 全 フ ォ ー マ ッ ト を 示 す ． 提 案 シ ス テ ム で は ， プ ロ セ ス の 通 信 手 続 き を CSV 形 式 と し て 保 全 す る ．各 行 に お け る 保 全 フ ォ ー マ ッ ト を 図 2 に 示 す ．

図

2 保 全 フ ォ ー マ ッ ト

続 い て ，図 2 に 示 す 共 通 形 式 部 に お け る 各 項 目 の 概 要 を 表 2 に 示 し ， DataType 形 式 部 を 表 3 に 示 す ． DataType は ， タ イ プ 毎 に Value 値 が 異 な る ．

表

2 保 全 フ ォ ー マ ッ ト （ 共 通 形 式 部 ）

分 類 概 要 Timestamp ロ グ を 出 力 し た 時 間 と な り ， yyyy/mm/dd hh:mm:ss.mmm 表 記 と す る Sequence Number 1 回 の API フ ッ ク ご と に 1 ず つ 増 加 す る シ ー ケ ン ス 値 PID 当 該 プ ロ セ ス ID

API 実 行 さ れ た API 名 で あ り ，DLL 名 _API 名 表 記 と す る

表

3 保 全 フ ォ ー マ ッ ト（ DataType 形 式 部 ）

Data Type Value PID 対 象 プ ロ セ ス の 情 報 と な る 以 下 の 情 報 を 記 録 す る ． 共 通 形 式,PID, プ ロ セ ス ID, 実 行 フ ァ イ ル パ ス ※ ロ グ の 1 行 目 に 1 回 の み 出 力 PPID 対 象 プ ロ セ ス の 親 プ ロ セ ス 情 報 と し て 以 下 の 情 報 を 記 録 す る ． 共 通 形 式,PPID,親 プ ロ セ ス ID,親 プ ロ セ ス 実 行 フ ァ イ ル パ ス ※ ロ グ の 2 行 目 に 1 回 の み 出 力

NAME API （ DnsQuery_A ， DnsQuery_W ， DnsQuery_UTF8 ， GetAddrInfoW ， GetAddrInfoW，getaddrinfo，gethostbyname） に よ っ て ド メ イ ン 名 か ら ア ド レ ス を 取 得 し た 際 に ，そ の 内 容 を 以 下 の 形 式 に て 記 録 す る ． 共 通 形 式,NAME, ド メ イ ン 名 ,IP ア ド レ ス,...(IP ア ド レ ス が 複 数 返 っ た 場 合 ) SEND， RECV ネ ッ ト ワ ー ク に デ ー タ を 送 受 信 し た こ と を 表 す ．(TCP) ※ デ ー タ は 文 字 列 と し て 解 釈 で き る 場 合 の み ，最 大 256 文 字 ，改 行 コ ー ド ま で の １ 行 が 出 力 共 通 形 式,SEND/RECV,ロ ー カ ル IP ア ド レ ス:ポ ー ト ,リ モ ー ト IP ア ド レ ス :ポ ー ト ,送 受 信 デ ー タ サ イ ズ,"送 受 信 デ ー タ " SENDTO， RECVFR OM ネ ッ ト ワ ー ク に デ ー タ を 送 受 信 し た こ と を 表 す ．(UDP) ※ 形 式 は SEND,RECV と 同 様 ※SENDTO,RECVFROM の 場 合 ，送 信 デ ー タ が DNS の リ ク エ ス ト ， レ ス ポ ン ス 形 式 に 一 致 し た 場 合 ， 次 の 行 に DNSQ あ る い は DNSA の デ ー タ を 出 力 ．（ シ ー ケ ン ス 番 号 を 同 じ 値 と す る ） DNSQ DNSA DNS ク エ リ /レ ス ポ ン ス で あ る こ と を 表 す 共 通 形 式,DNSQ/DNSA,問 い 合 わ せ の ID,ド メ イ ン 名,...(ド メ イ ン 名 が 複 数 の 場 合 )

3.2. 保 全 情 報 を 利 用 し た フ ォ レ ン ジ ッ ク 手 法

本 節 で は ， プ ロ セ ス の 通 信 手 続 き 情 報 を 利 用 し た フ ォ レ ン ジ ッ ク 手 法 を 述 べ る ．提 案 ツ ー ル を 利 用 し た 際 ， プ ロ セ ス 毎 に 3.1.2 節 に 述 べ た 内 容 の 保 全 情 報 が 得 ら れ る ． こ れ ら の 情 報 と ネ ッ ト ワ ー ク お よ び ホ ス ト ベ ー ス 監 視 製 品 等 の ア ラ ー ト 情 報 や ロ グ 情 報 と 突 合 す る こ と で ， 効 果 的 な フ ォ レ ン ジ ッ ク を 実 現 す る ． フ ォ レ ン ジ ッ ク 概 要 を 図 3 に 示 す ．

図

3 プ ロ セ ス の 通 信 手 続 き を 利 用 し た

フ ォ レ ン ジ ッ ク 概 要

提 案 ツ ー ル の 保 全 情 報 は ， プ ロ セ ス の 親 子 な ど の 相 関 関 係 と ， 各 プ ロ セ ス の 通 信 手 続 き 情 報 を 保 全 し て い る ． つ ま り ， 各 プ ロ セ ス と そ の 通 信 を 結 び 付 け て い る こ と に な る ． こ れ よ り ， 例 え ば ネ ッ ト ワ ー ク 監 視 製 品 が 何 ら か の ア ラ ー ト を 発 行 し た 際 ， 各 プ ロ セ ス の 通 信 手 続 き 情 報 と 突 合 す る こ と が 可 能 と な る ． 突 合 が 成 功 し た 際 は ， 自 動 的 に ど の プ ロ セ ス に よ る 通 信 で あ っ た か 把 握 で き る こ と に な り ，さ ら にPID や 実 行 フ ァ イ ル パ ス ，PPID 等 も 把 握 で き る た め ，こ れ ら の 情 報 を 利 用 す る こ と で 容 易 に 感 染 源 の プ ロ セ ス や 関 連 プ ロ セ ス 等 を 特 定 す る こ と も 可 能 と な る ． ま た ， ホ ス ト ベ ー ス 監 視 製 品 に よ る ア ラ ー ト が 発 行 Time

stamp Sequence.Number PID. API. Data.Type Value.

共通形式部 DataType 形式部 ! Malware1! !!mal2 C:\Pro…\…\mal3.exe C:\Prog\…\mal4.exe!      …! C:\Windows\…!       \svchost.exe       …! ! ! C:\Prog…\Internet!Explorer! !\iexplore.exe!   C:\Prog…\Internet!   Explorer\iexplore.exe ネットワーク 監視製品 filepath! Process! name! … プロセスの通信手続き保全情報 ホストベース 監視製品 IP!addr.! HTTP! DNS! … 通信手続き プロセス DNS SEND（TCP） RECV（TCP）! PORT/IP!addr.! … DNS SEND（TCP） RECV（TCP）! PORT/IP!addr.! … DNS!query DNS!response! HTTP … アラート情報と突合 アラート情報と突合 アラート アラート － 170 －

さ れ た 場 合 も 同 様 ， 保 全 情 報 に 含 ま れ る プ ロ セ ス の 実 行 フ ァ イ ル パ ス 等 の 情 報 と 突 合 す る こ と が 可 能 で あ り ， 先 程 と 同 様 に PPID 情 報 を 用 い て 感 染 源 ま で 特 定 す る こ と が 可 能 と な る ． さ ら に ， 関 連 す る プ ロ セ ス の 通 信 手 続 き 情 報 を 利 用 す る こ と で ，接 続 し た IP ア ド レ ス や 利 用 ポ ー ト ，さ ら に は ど の よ う な DNS ク エ リ や HTTP ア ク セ ス を 行 い ， ど の よ う な 処 理 を 行 っ た か 把 握 す る こ と が で き ， こ れ ら の 情 報 を ネ ッ ト ワ ー ク 監 視 製 品 等 に フ ィ ー ド バ ッ ク す る こ と が 可 能 と な る ． た だ し ， セ キ ュ リ テ ィ 製 品 の ア ラ ー ト や ロ グ 形 式 は 独 自 の フ ォ ー マ ッ ト が 利 用 さ れ て い る 場 合 が 多 く ， こ れ ら の 情 報 と 自 動 的 に 突 合 す る た め に は ， 製 品 に 合 わ せ た 情 報 の 抽 出 処 理 を 導 入 す る 必 要 が あ る ．本 稿 で は ， こ れ ら の 処 理 の 開 発 は 対 象 外 と し て い る ．

4. 検 証 実 験

本 章 で は ， 実 際 の マ ル ウ ェ ア に 対 し て 提 案 手 法 を 用 い た 検 証 実 験 を 行 う ． 最 初 に ， 様 々 な 通 信 を 発 生 さ せ る 独 自 プ ロ グ ラ ム ， 正 常 プ ロ グ ラ ム と し て Internet Explore（ iexplore.exe）， Mozilla Firefox（ Firefox.exe） を 利 用 し て Web ア ク セ ス を 行 い ，プ ロ セ ス の 通 信 手 続 き が 正 確 に 保 全 で き て い る こ と を 確 認 す る ． 続 い て ， 実 際 の マ ル ウ ェ ア に 対 し て プ ロ セ ス の 通 信 手 続 き 情 報 が 保 全 で き る か 検 証 後 ， セ キ ュ リ テ ィ 製 品 の ア ラ ー ト が 発 生 し た と 仮 定 し ， 提 案 手 法 で あ る プ ロ セ ス の 通 信 手 続 き に 基 づ く フ ォ レ ン ジ ッ ク 手 法 の 有 効 性 を 示 す ．

4.1. 検 証 環 境

検 証 環 境 を 表 4 に 示 す ．ま た ，マ ル ウ ェ ア を 利 用 し た 検 証 は ， 感 染 後 約5 分 間 の 通 信 手 続 き 情 報 を 保 全 す る ． な お ， 提 案 ツ ー ル が 仕 様 通 り プ ロ セ ス の 通 信 手 続 き 情 報 を 保 全 で き て い る か 確 認 す る た め ，Host OS 側 に て パ ケ ッ ト キ ャ プ チ ャ し ， 開 発 ツ ー ル の 保 全 情 報 と 比 較 す る こ と で 検 証 す る ．

表

4 検 証 環 境

検 証 環 境 ス ペ ッ ク CPU Intel Core i7 2GHz メ モ リ 8GB

HOST OS OS X 10.9.3

Guest OS Windows 7 Professional 32bit（ UAC off）

4.2. 正 常 ア プ リ ケ ー シ ョ ン で の 検 証

本 節 で は ， 正 常 ア プ リ ケ ー シ ョ ン を 用 い て 開 発 ツ ー ル の 動 作 検 証 を 行 う ．具 体 的 に は ，表 5 に 示 す 検 証 手 法 に て ， 期 待 通 り プ ロ セ ス の 通 信 手 続 き が 保 全 さ れ て い る こ と を 確 認 す る ． な お ， 最 終 的 な 確 認 は ， 提 案 シ ス テ ム が 保 全 し た 情 報 と Wireshark に て 取 得 し た 情 報 と を 比 較 す る こ と で 検 証 す る ． 表 5 に 示 す 検 証 結 果 の と お り ，正 常 な ア プ リ ケ ー シ ョ ン に お い て は ， 提 案 ツ ー ル は 期 待 通 り 情 報 を 保 全 す る こ と が で き た ．

表

5 検 証 プ ロ グ ラ ム

検 証 プ ロ グ ラ ム 検 証 方 法 検 証 結 果 独 自 プ ロ グ ラ ム 以 下 の API を 発 行 さ せ 検 証 DnsQuery_A/W/UTF8 GetAddrInfoW， getaddrinfo Gethostbyname DNS(SENDTO,RECVFROM) CreateRemoteThread(iexplor e.exe へ イ ン ジ ェ ク シ ョ ン ) ○ iexplore.exe (v 8.0.76) Web サ イ ト へ ア ク セ ス し 検 証 (http://www.yahoo.co.jp/ な ど) ○ Firefox.exe(v 31) ○

4.3. マ ル ウ ェ ア に よ る 検 証

本 節 で は ， 実 際 の マ ル ウ ェ ア に 対 し て 提 案 ツ ー ル を 用 い て プ ロ セ ス の 通 信 手 続 き を 保 全 で き る か 検 証 し ， セ キ ュ リ テ ィ 製 品 の ア ラ ー ト と 突 合 す る こ と で ど の よ う に フ ォ レ ン ジ ッ ク が 可 能 で あ る か 述 べ る ．

4.3.1. 検 体 1

検 体1 で あ る W 3 2 . R a m n i t . B ! i n f [ 8 ]（ Symantec 社 名 ） を 実 行 し ， 提 案 ツ ー ル に て 保 全 し た プ ロ セ ス の 通 信 手 続 き 情 報 の 抜 粋 を 図 5〜 図 9 に 示 す ．な お ，以 降 の 保 全 情 報 は 省 略 の た め Timestamp の yyyy/mm/dd 部 を 削 除 し て い る ． 保 全 情 報 に は プ ロ セ ス の 親 プ ロ セ ス 情 報 が 保 全 さ れ て い る た め ， 当 該 情 報 を 利 用 し た プ ロ セ ス の 相 関 関 係 を 図 4 に 示 す ．検 体 1 か ら 複 数 の プ ロ セ ス が 起 動 さ れ て い る こ と が 分 か る ． 続 い て ， 各 プ ロ セ ス の 通 信 手 続 き を 保 全 情 報 で あ る 図 5〜 図 9 を 分 析 す る ． 検 体1(PID: 3424) ∟f..028mgr.exe(PID: 3440) ∟ C:¥Program Files¥Microsoft¥WaterMark.exe(PID: 3468) ∟ C:¥Program Files¥Microsoft¥WaterMarkmgr.exe ∟ C:¥Windows¥system32¥svchost.exe(PID: 3512) ∟ C:¥Windows¥system32¥svchost.exe ∟C:¥Program Files¥Microsoft¥WaterMark.exe(PID: 3460) ∟ C:¥Program Files¥Microsoft¥WaterMarkmgr.exe ∟ C:¥Windows¥system32¥svchost.exe ∟ C:¥Windows¥system32¥svchost.exe

図

4 プ ロ セ ス の 相 関 関 係

01:57:23.202,1,3424,-,PID,3424,C:¥malware¥ 検 体 1.exe … 01:57:23.217,2,3424,kernel32_CreateProcess,PROCESS,( null),C:¥malware¥ f..028mgr.exe － 171 －

01:57:23.248,3,3424,kernel32_CreateProcess,PROCESS,( null),C:¥Program Files¥Microsoft¥WaterMark.exe

図

5 保 全 情 報 （ 検 体 1.exe PID:3424）

01:57:23.248,1,3440,-,PID,3440,C:¥malware¥ f..028mgr.e xe 01:57:23.248,1,3440,-,PPID,3424,C:¥malware¥ f..028.exe 01:57:23.264,2,3440,kernel32_CreateProcess,PROCESS,( null),C:¥Program Files¥Microsoft¥WaterMark.exe

図

6 保 全 情 報 （ f..028mgr.exe PID:3440）

01:57:23.295,1,3460,-,PID,3460,C:¥Program Files¥Microsoft¥WaterMark.exe 01:57:23.295,1,3460,-,PPID,3424, 01:57:23.311,2,3460,kernel32_CreateProcess,PROCESS,( null),C:¥Program Files¥Microsoft¥WaterMarkmgr.exe 01:57:23.358,3,3460,kernel32_CreateProcess,PROCESS,( null),C:¥Windows¥system32¥svchost.exe 01:57:26.386,4,3460,kernel32_CreateProcess,PROCESS,( null),C:¥Windows¥system32¥svchost.exe

図

7 保 全 情 報 （ WaterMark.exe PID:3460）

01:57:23.295,1,3468,-,PID,3468,C:¥Program Files¥Microsoft¥WaterMark.exe 01:57:23.295,1,3468,-,PPID,3440, 01:57:23.311,2,3468,kernel32_CreateProcess,PROCESS,( null),C:¥Program Files¥Microsoft¥WaterMarkmgr.exe 01:57:23.342,3,3468,kernel32_CreateProcess,PROCESS,( null),C:¥Windows¥system32¥svchost.exe 01:57:26.370,4,3468,kernel32_CreateProcess,PROCESS,( null),C:¥Windows¥system32¥svchost.exe

図

8 保 全 情 報 （ WaterMark.exe PID:3468）

01:57:23.373,1,3512,-,PID,3512,C:¥Windows¥system32¥s vchost.exe 01:57:23.389,1,3512,-,PPID,3468,C:¥Program Files¥Microsoft¥WaterMark.exe 01:57:23.451,2,3512,ws2_32_gethostbyname,NAME,goog le.com,173.194.126.168,… ,173.194.126.163 01:58:04.604,4,3512,ws2_32_gethostbyname,NAME, rtery***tutnrsbberve.com,195.**.26.232 01:58:12.188,6,3512,ws2_32_send,SEND,172.**.143.160: 49163,195. **.26.232:443,77,"" 01:58:32.677,7,3512,ws2_32_gethostbyname,NAME, erwbt***thetcwerc.com,195. **.26.232 … 01:59:03.053,10,3512,ws2_32_gethostbyname,NAME, rvbwt***twjeitv.com,166. **.62.91 01:59:05.362,11,3512,ws2_32_send,SEND,172.**.143.16 0:49167,166. **.62.91:443,6,"" 01:59:05.362,12,3512,ws2_32_send,SEND,172.**.143.16 0:49167,166. **.62.91:443,1,"" 02:04:12.859,27,3512,ws2_32_gethostbyname,NAME, erwbt***thetcwerc.com,195. **.26.232 02:04:14.294,28,3512,ws2_32_send,SEND,172.**.143.16 0:49178,195. **.26.232:443,6,"" 02:04:14.294,29,3512,ws2_32_send,SEND,172.**.143.16 0:49178,195. **.26.232:443,77,"" 02:04:44.496,31,3512,ws2_32_gethostbyname,NAME, rvbwt***twjeitv.com,166. **.62.91 …

図

9 保 全 情 報 （ svchost.exe PID:3512）

図 5 〜 図 9 よ り ， 当 該 検 体 そ の も の の プ ロ セ ス （PID:3424 ） は 何 ら 通 信 を 行 わ ず ， 検 体 1 か ら CreateProcess API に よ り WaterMark.exe(PID: 3468)プ ロ セ ス が 起 動 さ れ ， さ ら に 当 該 プ ロ セ ス か ら 同 様 に CreateProcess API に よ り 起 動 さ れ た svchost.exe(PID: 3512)の み が 外 部 に 通 信 し て い る こ と が 分 か る ． 図 9 の 通 信 手 続 き 内 容 を 確 認 す る と ， DNS 通 信 や SEND に よ る 通 信 を 確 認 す る こ と が で き ， ネ ッ ト ワ ー ク 監 視 製 品 に よ り DNS や 通 信 先 IP ア ド レ ス ， ポ ー ト 番 号 等 に よ っ て ア ラ ー ト が 発 生 し た 際 ， 保 全 情 報 と 即 座 に 突 合 す る こ と が で き ， か つ プ ロ セ ス の 依 存 関 係 に よ り 起 点 と な っ た マ ル ウ ェ ア ， 新 た に 起 動 さ れ た プ ロ セ ス や 作 成 さ れ た フ ァ イ ル 等 を ， 容 易 に 把 握 す る こ と が 可 能 で あ る と 言 え る ． さ ら に ，DNS に 着 目 す る と “google.com”を 正 引 き 後 ，“rtery***tutnrsbberve.com”， “erwbt***thetcwerc.com”，“rvbwt***twjeitv.com”と い っ た 正 引 き を 何 度 も 行 い ， そ の 都 度 443 ポ ー ト に 対 し デ ー タ の 送 信 処 理 を 行 っ て い る ．DNS 等 の 情 報 も 保 全 さ れ て い る た め ，ネ ッ ト ワ ー ク 監 視 製 品 がDNS 情 報 に て ア ラ ー ト を 発 行 し た 際 も ，効 果 を 発 揮 す る と 言 え る ． ま た ， ホ ス ト ベ ー ス 監 視 製 品 が フ ァ イ ル や 起 動 プ ロ セ ス に て ア ラ ー ト を 挙 げ た 場 合 ， こ ち ら も 保 全 情 報 と 突 合 が 可 能 で あ り ， 関 連 プ ロ セ ス や 起 点 と な っ た マ ル ウ ェ ア の 特 定 ， さ ら に は 当 該 不 正 プ ロ セ ス の 通 信 手 続 き 情 報 よ り DNS や 通 信 先 IP ア ド レ ス ， ポ ー ト 番 号 等 を ネ ッ ト ワ ー ク 監 視 製 品 に フ ィ ー ド バ ッ ク す る こ と も 可 能 と な る ． な お ，Host OS 側 な ら び に Guest OS 側 で パ ケ ッ ト キ ャ プ チ ャ を 行 い ， プ ロ セ ス の 通 信 手 続 き に お け る 保 全 情 報 が 正 し い こ と を 目 視 に て 確 認 し て い る ．

4.3.2. 検 体 2

検 体 2 で あ る WS.Reputation.1[9]（ Symantec 社 名 ） は 我 々 が 入 手 し た 実 際 の 標 的 型 攻 撃 で 利 用 さ れ た 検 体 で あ る ． 提 案 ツ ー ル に て 保 全 し た プ ロ セ ス の 通 信 手 続 き 情 報 の 抜 粋 を 図 11，図 12 に 示 す ．ま た ，保 全 情 報 を 利 用 し た プ ロ セ ス の 相 関 関 係 を 図 10 に 示 す ． 検 体2_PID:1100 iexplore.exe (PID:4088) ∟iexplore.exe (PID:1976)

図

10 プ ロ セ ス の 相 関 関 係

－ 172 －

18:11:02.175,1,1100,-,PID,1100,C:¥malware¥検 体 2.exe … 18:11:02.206,2,1100,ws2_32_gethostbyname,NAME,WIN -LG5MP2BAC3K,172.**.143.160

図

11 保 全 情 報 （ 検 体 2.exe PID:1100）

18:11:02.331,1,1976,-,PID,1976,C:¥Program Files¥Internet Explorer¥iexplore.exe 18:11:02.346,1,1976,-,PPID,4088,C:¥Program Files¥Internet Explorer¥iexplore.exe 18:11:02.487,8,1976,ws2_32_GetAddrInfoW,NAME, winter-****s.net 18:11:03.376,10,1976,ws2_32_GetAddrInfoW,NAME, winter-****s.net,127.0.0.1 18:11:03.376,12,1976,ws2_32_send,SEND,127.0.0.1:6312 9,127.0.0.1:63129,1,"" 18:11:03.376,13,1976,ws2_32_recv,RECV,127.0.0.1:6312 9,127.0.0.1:63129,1,"" …

図

12 保 全 情 報 （ iexplore.exe PID:1976）

当 該 検 体 （PID:1100 ） は 感 染 と 同 時 に iexplore.exe （PID:4088） プ ロ セ ス に 子 プ ロ セ ス （ PID:1976） を 作 成 す る ． そ の 後 ， 当 該 検 体 は 特 に ネ ッ ト ワ ー ク ア ク セ ス は 行 わ な い こ と が 分 か る ． 次 に 図 12 よ り ，作 成 さ れ た 子 プ ロ セ ス（ PID:1976） は GetAddrInfoW API を 利 用 し て winter-****s.net に 対 し て 名 前 解 決 を 行 い ， ル ー プ バ ッ ク ア ド レ ス で あ る 127.0.0.1 が 返 答 さ れ て い る こ と が 分 か る ．さ ら に ，当 該 プ ロ セ ス は 127.0.0.1 に 対 し ，ws2_32.dll の send お よ び recv API を 利 用 し て 63129 ポ ー ト に 対 し て デ ー タ の 送 受 信 を 11 回 実 施 し ，そ の 後 自 動 停 止 す る ． 4.3.1 節 と 同 様 ， 保 全 し た プ ロ セ ス の 通 信 手 続 き 情 報 を 利 用 す る こ と で ， ネ ッ ト ワ ー ク な ら び に ホ ス ト ベ ー ス 監 視 製 品 の ア ラ ー ト 情 報 と 突 合 で き る こ と が 分 か る ．

4.3.3. 検 体 3

検 体 3 で あ る Trojan.Win32.AntiFW.b [10]（ Kaspersky 社 名 ） を 実 行 し た 際 の プ ロ セ ス の 相 関 関 係 を 図 13 に 示 す ． ま た ， 提 案 ツ ー ル に て 保 全 し た プ ロ セ ス の 通 信 手 続 き 情 報 の 一 部 を 図 14， 図 15 に 示 す ． 検 体3(PID: 3724)

∟C:¥Program..¥Internet Explorer¥iexplore.exe (PID: 2904) ∟ C:¥Program..¥Internet Explorer¥iexplore.exe (PID: 708) ∟C:¥Windows¥explorer.exe (PID: 2804) ∟C:¥Windows¥system32¥cmd.exe (PID: 1688) ∟C:¥Users..¥Temp¥{4..48B}¥Addons¥usetup.exe (PID: 2320) ∟ C:¥ProgramData¥..¥PC_Booster.exe(PID:4068) ∟C:¥Users¥..¥¥Temp¥{4..B}¥Addons¥putfu.exe (PID: 3976) ∟ C:¥Windows¥system32¥rundll32.exe (PID: 888)

図

13 プ ロ セ ス の 相 関 関 係

13:22:05.743,1,3724,-,PID,3724,C:¥mal3.exe.exe 13:22:06.009,2,3724,ws2_32_GetAddrInfoW,NAME,c1.se te***new.info 13:22:06.009,4,3724,ws2_32_GetAddrInfoW,NAME,r1.ho me***tmy.info 13:22:06.102,8,3724,ws2_32_GetAddrInfoW,NAME,c1.se te***new.info,54.191.**.216 13:22:06.258,12,3724,ws2_32_send,SEND,172.**.143.16 0:49165,54.191.**.216:80,540,"GET /?step_id=1&installer_id=1455 … ware_id=13018377209654108220&prod" 13:22:06.305,13,3724,ws2_32_send,SEND,172.**.143.16 0:49166,54.191.**.197:80,192,"POST /?report_version=5& HTTP/1.1" 13:22:06.305,14,3724,ws2_32_send,SEND,172.**.143.16 0:49166,54.191.**.197:80,1171,"data=QkP… wr" …

図

14 保 全 情 報 （ 検 体 3 PID:3724）

13:24:40.648,1,3976,-,PID,3976, C:¥Users¥..¥¥Temp¥{4..B}¥Addons¥putfu.exe 13:24:40.648,1,3976,-,PPID,3724,C:¥malware¥d… f7.exe 13:24:40.851,2,3976,kernel32_CreateProcess,PROCESS,C :¥Windows¥system32¥rundll32.exe,"C:¥Windows¥system 32¥rundll32.exe" "c:¥progra~1¥pc_boo~1¥AssistantSvc.dll",service -install 13:24:41.990,3,3976,ws2_32_GetAddrInfoW,NAME,data downloadscan.info 13:24:42.068,7,3976,ws2_32_GetAddrInfoW,NAME,data downloadscan.info,162.210.***.21 13:24:42.271,9,3976,ws2_32_send,SEND,172.**.143.160: 49182,162.210.***.21:80,676,"GET /get/?data=45 … YLiY3t9jfIbh" 13:24:42.708,10,3976,ws2_32_recv,RECV,172.**.143.16 0:49182,162.210.***.21:80,117,"HTTP/1.1 200 OK"

図

15 保 全 情 報 （ putfu.exe PID: 3976）

当 該 検 体 は 実 行 時 にinstaller の よ う な GUI が 起 動 さ れ ，検 証 時 は あ え てinstall ボ タ ン を 押 下 し て 実 験 を 行 っ た ．PID:3724， 2904， 708， 2320， 3976， 888 が 示 す 各 プ ロ セ ス が 通 信 し て い た ． プ ロ セ ス 毎 の 通 信 手 続 き を 保 全 し て い る た め ， 例 え ば PID:3724 は 表 示 さ れ た GUI が 通 信 し た 際 の 保 全 情 報 で あ り ，PID:2320 は ダ ウ ン ロ ー ド さ れ た フ ァ イ ル の 起 動 プ ロ セ ス の 通 信 手 続 き が 保 全 さ れ て お り ， 通 信 を 切 り 分 け て 把 握 す る こ と が で き ，比 較 的 容 易 に 分 析 す る こ と が で き る ．ま た ，4.3.1 節 と 同 様 ， 保 全 し た プ ロ セ ス の 通 信 手 続 き 情 報 を 利 用 す る こ と で ， ネ ッ ト ワ ー ク な ら び に ホ ス ト ベ ー ス 監 視 製 品 の ア ラ ー ト 情 報 と 突 合 で き る こ と が 分 か る ．

5. 考 察

本 節 で は ， プ ロ セ ス の 通 信 手 続 き 情 報 を 利 用 し た 不 － 173 －

正 プ ロ セ ス の 特 定 方 法 と ， 提 案 ツ ー ル で は 保 全 が で き な い ケ ー ス に つ い て 考 察 す る ．

5.1. 保 全 ロ グ 情 報 か ら の 不 正 プ ロ セ ス 特 定 手 法

提 案 ツ ー ル に て 保 全 し た 情 報 か ら ，DNS レ ス ポ ン ス に 着 目 し た 不 正 プ ロ セ ス の 特 定 方 法 に つ い て 考 察 す る ． 4.3.2 節 の 検 体 2 の 保 全 結 果 よ り ， DNS の レ ス ポ ン ス に ル ー プ バ ッ ク ア ド レ ス で あ る 127.0.0.1 が 確 認 で き る ．な お ，論 文 執 筆 時 にnslookup コ マ ン ド を 利 用 し ， 当 該 ド メ イ ン の 正 引 き 結 果 が 127.0.0.1 で あ る こ と を 確 認 し て い る ． 特 に 外 部 ド メ イ ン の 名 前 解 決 の 際 に ， こ の よ う な ル ー プ バ ッ ク ア ド レ ス が 返 答 さ る こ と は 考 え に く く ， 以 下 二 つ の 要 因 が あ る と 言 わ れ て い る ． ・ 攻 撃 者 が 何 ら か の 目 的 で DNS に ル ー プ バ ッ ク ア ド レ ス を 設 定 し て い る ・ マ ル ウ ェ ア 等 が 利 用 す る 不 正 な DNS に 対 し て ， プ ロ バ イ ダ 等 が 被 害 拡 大 を 防 ぐ た め に ル ー プ バ ッ ク ア ド レ ス を 設 定 し て い る 両 方 と も ， 不 正 な プ ロ セ ス を 特 定 す る た め の 有 用 な 情 報 で あ る と 言 え る ． こ れ よ り ， 保 全 し た プ ロ セ ス の 通 信 手 続 き を 利 用 す れ ば ， 外 部 ド メ イ ン を 正 引 き し た 際 に ル ー プ バ ッ ク IP ア ド レ ス （ 127.0.0.0/8） が 返 答 さ れ た 疑 わ し い プ ロ セ ス を 容 易 に 特 定 す る こ と が で き る ． さ ら に ，4.3.1 の 保 全 情 報 よ り“ rtery***tutnrsbberve.com” と “rvbwt***twjeitv.com” 等 ， 複 数 の 異 な る ド メ イ ン を 正 引 き し た 結 果 ， 同 じ IP ア ド レ ス （ 195.**.26.232） が 返 答 さ れ て い る こ と が 分 か る ．こ れ は ，DGA（ Domain Generation Algorithm） を 利 用 し た マ ル ウ ェ ア の 通 信 で あ る 可 能 性 が 高 い ． こ れ ら も ， 保 全 情 報 よ り 容 易 に 特 定 す る こ と が で き る ． 他 の プ ロ セ ス の 通 信 と 切 り 分 け て 通 信 手 続 き を 保 全 し て い る た め ， こ の よ う な 通 信 の 特 徴 も 比 較 的 容 易 に 把 握 で き る こ と も 本 手 法 の メ リ ッ ト で あ る ．ま た ，DNS の 名 前 解 決 の 結 果 は 常 に 変 わ り う る た め ， そ の 結 果 を 保 全 し て お く こ と に も 意 味 が あ る ．特 に ，悪 性 ド メ イ ン な ど は 頻 繁 にIP ア ド レ ス が 変 更 さ れ る た め ， 疑 わ し い 通 信 が 行 わ れ た 際 に 解 決 さ れ た DNS ク エ リ と そ の レ ス ポ ン ス の 値 ， IP ア ド レ ス を 保 全 す る こ と は と て も 重 要 で あ る ． 以 上 よ り ， 保 全 し た プ ロ セ ス の 通 信 手 続 き 情 報 を 利 用 す る こ と で ， 疑 わ し い プ ロ セ ス の 検 知 に 応 用 で き る と 言 え る ．

5.2. 提 案 手 法 で は 保 全 で き な い ケ ー ス に つ い て

提 案 手 法 で は プ ロ セ ス の 通 信 手 続 き を 保 全 で き な い ケ ー ス に つ い て ， 具 体 例 を 挙 げ て 考 察 す る ． 4.3.2 節 の 検 体 2 に お け る 検 体 実 行 時 の プ ロ セ ス の 相 関 関 係（ 図 10）か ら も 分 か る 通 り ，検 体 2 （ PID 1100） と 検 体 2 が 新 た に 起 動 し た iexplore.exe (PID:1976)は ， 厳 密 に 依 存 関 係 が 分 か ら な い ． こ れ は ， 検 体2 を 静 的 解 析 し た 結 果 ， 提 案 シ ス テ ム が フ ッ ク す る プ ロ セ ス の 起 動 や プ ロ セ ス イ ン ジ ェ ク シ ョ ン で は 無 く ， 別 の 方 法 に て 既 に 起 動 し て い る iexplore.exe (PID:4088)に 対 し て 子 プ ロ セ ス を 起 動 し た た め で あ る ． こ の よ う な 場 合 は ， 現 状 の 方 式 で は 新 た に 起 動 さ れ た プ ロ セ ス を 自 動 的 に 追 う こ と が で き な い た め ， 起 動 さ れ た プ ロ セ ス に 対 し て ， 後 か ら フ ッ ク 処 理 を 設 け 通 信 手 続 き 情 報 を 保 全 す る 形 と な る ． た だ し ， フ ッ ク 処 理 を 設 け る ま で の 間 の 通 信 手 続 き は 保 全 で き な い ．

6. ま と め

本 稿 で は ， プ ロ セ ス の 通 信 手 続 き を 保 全 す る こ と で プ ロ セ ス と 通 信 を 結 び 付 け ， ネ ッ ト ワ ー ク お よ び ホ ス ト ベ ー ス 監 視 製 品 の ア ラ ー ト 情 報 や ロ グ 情 報 と 突 合 す る こ と に よ る 効 果 的 な フ ォ レ ン ジ ッ ク 手 法 を 提 案 し た ． ま た ， 実 際 の マ ル ウ ェ ア を 利 用 し て 検 証 し ， 提 案 手 法 の 有 効 性 を 示 し た ． ま た 今 回 は ， プ ロ セ ス の 通 信 手 続 き の 一 つ で あ るDNS ク エ リ に 着 目 し ，提 案 手 法 の 有 効 性 や プ ロ セ ス の 保 全 情 報 を 利 用 し た 不 正 な プ ロ セ ス の 特 定 方 法 を 考 察 し た ． 今 後 の 課 題 と し て は ， 提 案 ツ ー ル で は 保 全 で き な か っ た マ ル ウ ェ ア 検 体 に 対 す る 精 度 の 向 上 ， な ら び に 実 際 の セ キ ュ リ テ ィ 製 品 を 利 用 し て 様 々 な ア ラ ー ト を 発 行 さ せ ， 提 案 手 法 の 更 な る 有 効 性 を 検 証 す る こ と で あ る ．

文

献

[1] 山 本 匠 , 河 内 清 人 , 桜 井 鐘 治 ,“ 不 審 プ ロ セ ス 特 定 手 法 の 提 案”,Computer Security Symposium 2013. [2] 山 本 匠 , 河 内 清 人 , 桜 井 鐘 治 ,“ 不 審 プ ロ セ ス 特 定 手 法 の 実 装 及 び 評 価 ”, 情 報 処 理 学 会 CSEC,2014-C SEC-64(33), 1-8, 2014-02-27. [3] 三 村 聡 志 ， 佐 々 木 良 一 ，“ プ ロ セ ス 情 報 と 関 連 づ け た パ ケ ッ ト を 利 用 し た 不 正 通 信 原 因 推 定 手 法 の 提 案 ”，DICOMO2014. [4] Wireshark， https://www.wireshark.org/. [5] Windows Sysinternals， Process Monitor

http://technet.microsoft.com/ja-jp/sysinternals/bb896645. aspx.

[6] Process Hacker,http://processhacker.sourceforge.net [7] RFC 1035 − （ DOMAIN NAMES - IMPLEMENTATION AND SPECIFICATION）

https://www.ietf.org/rfc/rfc1035.txt. [8] Symantec テ ク ニ カ ル レ ポ ー ト :W32.Ramnit.B!inf http://www.symantec.com/ja/jp/security_response/writeup .jsp?docid=2010-111108-4146-99. [9] Symantec テ ク ニ カ ル レ ポ ー ト : WS.Reputation.1 http://www.symantec.com/ja/jp/security_response/writeup .jsp?docid=2010-051308-1854-99.

[10] Kaspersky Lab: :W32.Sality.AE

http://www.thaikaspersky.com/virus_statistics/february20 14.php.