マルウェア通信活動抑制のためのネットワーク制御

マルウェア通信活動抑制のためのネットワーク制御

竹森 敬祐

†

酒井 崇裕‡ 西垣 正勝‡ 安藤類央* 三宅 優

†

†株式会社 KDDI 研究所 〒356-8502 埼玉県ふじみ野市大原 2-1-15

‡静岡大学創造科学技術大学院 〒432-8011 静岡県浜松市中区城北 3-5-1

*独立行政法人情報通信研究機構 〒184-8795 東京都小金井市貫井北町 4-2-1

あらまし 昨今のマルウェアは，外部ホストから指令を受けるもの，新たなコードを取得して活動

を変化させるもの，外部のメールサーバを利用して迷惑メールを送付するものなど，インターネット

上のホストと連携した活動が行われている．マルウェアには，こうした通信要素が組み合わされた通

信シナリオがあり，一部のシナリオを阻止することでマルウェアとしての本来の挙動の抑制が期待さ

れる．そこで本研究では，CCC DATAset 2009 の攻撃通信データ（CCC 攻撃通信データ）から，マルウ

ェアの通信要素と通信シナリオに関する調査を行い，その傾向から通信シナリオを進展させない対策

を提案する．そして，この対策を施したネットワークを構築し，CCC DATAset 2009 のマルウェア検体

（CCC マルウェア検体）を実行させたときの通信活動の抑制の程度について評価する．これにより，

ネットワーク上での効果的なマルウェア通信活動の抑制方式を明らかにする．

キーワード マルウェア通信シナリオ，ネットワーク防御，動的解析

Network-based Prevention against Malware Communications

Keisuke TAKEMORI†, Takahiro SAKAI‡, Masakatsu NISHIGAKI‡, Ruo ANDO*,

and Yutaka MIYAKE†

†KDDI R&D Laboratories Inc. 2-1-15 Ohara, Fujimino-shi, Saitama, 356-8502, JAPAN

‡Shizuoka University 3-5-1 Jyohoku, Naka-ku, Hamamatsu-shi, Shizuoka, 432-8011, JAPAN

* NICT 4-2-1 Nukui-Kitamachi, Koganei-shi, Tokyo, 184-8795, JAPAN

Abstract A malware infected host receives command & control packets and new malware code from

malicious servers. The infected hosts send spam mail messages via internet mail servers. A malware

communication scenario is defined by a state machine that is composed of malicious packets. When the

communication scenario is blocked by a router, it is expected that communication activities of the malware are

restrained. In this research, we investigate both the malicious packets and the communication scenario using the

CCC DATAset 2009 attack communication data, and propose a network-based prevention technique against the

malware communication. Also, we apply the prevention technique to a test-bed network that monitors the

malware packets and communication scenario. As the suppression level of the malware communication is

evaluated, the effective prevention technique is demonstrated using the CCC DATAset 2009 malware code.

Keywords Malware Communication Scenario, Network-base Prevention, Active Monitor

1. は じ め に

昨 今 の マ ル ウ ェ ア は ， 脆 弱 な ホ ス ト に 侵 入 ･ 常 駐 し て ， 外 部 ホ ス ト か ら 指 令 を 受 け る も の ， 新 た な コ ー ド を 取 得 し て 活 動 を 変 化 さ せ る も の ， 外 部 の メ ー ル サ ー バ を 利 用 し て 迷 惑 メ ー ル を 送 付 す る も の ， 他 の ホ ス ト へ 感 染 を 拡 げ る も の な ど ， イ ン タ ー ネ ッ ト 上 の ホ ス ト と 連 携 し て 活 動 を 行 っ て い る ． マ ル ウ ェ ア に は ， 脆 弱 性 を 突 く 侵 入 フ ェ ー ズ ， 指 令 や 新 た な マ ル ウ ェ ア を 受 け 取 る 指 令 ･配 布 フ ェ ー ズ ，外 部 へ 二 次 感 染 を 試 み

る 攻 撃 フ ェ ー ズ な ど が 組 み 合 わ さ れ た 通 信 シ ナ リ オ が あ る ． よ っ て ， 一 部 の シ ナ リ オ を 阻 止 す る こ と で ， 外 部 ホ ス ト と の 連 携 が 損 な わ れ ， ネ ッ ト ワ ー ク 上 で の 通 信 活 動 を 抑 制 で き る も の と 期 待 さ れ る ． こ れ ま で ，指 令 を 受 け 取 る IRC 通 信や 攻撃 パ ケ ッ ト な ど の 通 信 要 素 に 着 目 し た 検 知 手 法 [1-2]や ，通 信 要 素 が 組 み 合 わ さ れ た 通 信 シ ナ リ オ を 用 い て 検 知 す る 手 法 [3-6]が 提 案 さ れ て い る ． し か し ， こ う し て 検 知 さ れ た マ ル ウ ェ ア の 通 信 活 動 を 抑 制 す る 手 法 に つ い て の 検 討 は な さ れ て い な い ． ネ ッ ト ワ ー ク 上 で の 攻 撃 対 策 と し て ，ス パ ム メ ー ル の 送 信 規 制 に 利 用 さ れ る DNS Blacklist（ DNS-BL）[7]や Out Bound Port 25 Block （ OP25B）[8]，フィッ シン グサ イトへ の誘 導を 阻 止 す る OpenDNS[9]な ど が あ る が ， マ ル ウ ェ ア の 個 々 の 通 信 要 素 を 防 ぐ 技 術 で あ り ， 通 信 シ ナ リ オ 全 体 に 対 す る 抑 制 効 果 は 不 明 で あ る ． よ っ て ， 通 信 シ ナ リ オ の 進 展 を 阻 止 す る 適 切 な 技 術 の 選 定 と ， そ の 抑 制 効 果 に つ い て 評 価 す る 必 要 が あ る ． そ こ で 本 研 究 で は ， CCC 攻 撃通信 デー タ [10] を 用 い て ， 侵 入 フ ェ ー ズ ， 指 令 ･配 布 フ ェ ー ズ ， 攻 撃 フ ェ ー ズ に 含 ま れ る 通 信 要 素 と ， こ れ ら の 組 み 合 わ せ で あ る 通 信 シ ナ リ オ の 具 体 的 な 調 査 を 行 い ， 通 信 シ ナ リ オ を 進 展 さ せ な い た め の 効 果 的 な 対 策 に つ い て 提 案 す る ． そ し て ， 提 案 対 策 を 施 し た ネ ッ ト ワ ー ク を 構 築 し ，CCC マ ルウ ェ ア 検 体 [10]を 安 全 に 実 行 し た と き の ， 通 信 シ ナ リ オ の 抑 制 効 果 に つ い て 評 価 す る ． 以 下 2 章に おいて ，本 論文 で注目 する マル ウ ェ ア の 通 信 要 素 と 通 信 シ ナ リ オ に つ い て 整 理 す る ． 3 章 で， CCC 攻撃 通信 デー タの通 信要 素と 通 信 シ ナ リ オ に 関 す る 統 計 調 査 を 行 い ， 通 信 シ ナ リ オ の 初 期 に 現 れ る 重 要 な 通 信 要 素 を 明 ら か に し て ， マ ル ウ ェ ア の 通 信 活 動 の 効 果 的 な 抑 制 手 法 に つ い て 提 案 す る ． 4 章で 対策の 施さ れた ネ ッ ト ワ ー ク 環 境 で CCC マル ウェ ア 検体 を実 行 し た と き の 通 信 活 動 の 抑 制 の 程 度 に つ い て 評 価 を 行 い ， 最 後 に 5 章 で適 切な 抑制手 法に つい て ま と め る ．

2. 注 目 す る 通 信 要 素 と 通 信 シ ナ リ オ

本 研 究 で は ， イ ン タ ー ネ ッ ト 上 の 既 存 の ル ー タ や Firewall で も容易 に実 現で きるマ ルウ ェア 通 信 の 抑 制 対 策 の 提 案 を 目 指 す こ と と し ， パ ケ ッ ト の ヘ ッ ダ 情 報 の み か ら 抽 出 さ れ る マ ル ウ ェ ア の 通 信 要 素 と 通 信 シ ナ リ オ に つ い て 検 討 す る ．

2.1. マルウェアの通 信 要 素

我 々 は ，CCC 攻撃通 信デ ータ につい て，ハニ ー ポ ッ ト へ の 侵 入 フ ェ ー ズ ，感 染 後 の 指 令 ･配 布 フ ェ ー ズ ， 外 部 へ の 攻 撃 フ ェ ー ズ に 含 ま れ る ， 特 徴 的 な 通 信 要 素 に つ い て 調 査 し た ． こ れ は ， 脆 弱 性 Port に 関す る知識 と ，ヒ ューリ ステ ィッ ク な 調 査 を 繰 り 返 し ， ハ ニ ー ポ ッ ト が 感 染 し た こ と に よ っ て 発 生 し う る 通 信 要 素 に 着 目 し た も の で あ る ． 結 果 を 図 1 に示 す． ここに 示し た通 信 要 素 は ， 既 存 の 通 信 機 器 に よ る 検 知 と ブ ロ ッ ク 制 御 を 容 易 に 適 用 で き る も の で あ り ， パ ケ ッ ト の ペ イ ロ ー ド 部 の 詳 細 解 析 が 必 要 な 通 信 要 素 を 抽 出 し て い な い こ と に 注 意 さ れ た い ． 図 1. 注 目 するマルウェアの通 信 要 素 【 侵 入 フ ェ ー ズ 】 Windows OS の RPC や Netbios 関連 の通 信は LAN 上 で の み 観 測 さ れ る た め ， WAN か ら LAN に 向 け た In135/TCP, In137/UDP, …, In445/TCP は ， 攻 撃 通 信 と み な せ る ． ま た ， 殆 ど の ク ラ イ ア ン ト ホ ス ト に は SQL サ ー ビ スは 起 動 し てい な い た め ， In1433/TCP と In1434/UDP も攻 撃通 信 と み な せ る ． 尚 ， In135/TCP と In445/TCP に は ， デ ー タ の 送 受 信 専 用 に Source/Destination Port が 1024 以 上 の 通 信 チ ャ ネ ル を 利 用 す る モ ー ド が あ り ， 昨 今 の マ ル ウ ェ ア の 中 に は ， こ の モ ー ド で 検 体 を ホ ス ト に 送 り 込 む も の も あ る ． 【 指 令 ･配 布 フ ェ ー ズ 】 感 染 ホ ス ト は ， 指 令 を 受 け 取 る た め に 指 令 サ ー バ と 通 信 を 行 う ． 指 令 フ ェ ー ズ の 多 く は IRC サ ー ビ ス を 利 用 し て い る が ， そ の 制 御 コ マ ン ド の JOIN パ ケット に着 目す ると， その Source IP が 感 染 ホ ス ト ，Destination IP が 指令サ ーバ と判 断 で き る ． ま た ， 感 染 ホ ス ト は 新 た な マ ル ウ ェ

ア を 取 得 す る た め に ，配 布 サ ー バ と HTTP/TFTP 通 信 を 利 用 す る こ と も 多 い ． こ う し た 指 令 サ ー バ や 配 布 サ ー バ の ホ ス ト 名 か ら IP ア ド レ スへ の 名 前 解 決 に ，DNS を 利用 する ことが 多い ．昨 今 ，DNS を 利用 せずに イン ター ネット 上の 指令 サ ー バ を 自 力 で 探 索 す る マ ル ウ ェ ア も 多 く な り ， 宛 先 IP と Port をラン ダム に変 化させ なが ら， し ら み つ ぶ し に 通 信 を 試 み る 活 動 も 観 測 さ れ る ． 尚 ，IRC による 指令 フェ ーズの 中に は，JOIN パ ケ ッ ト を 利 用 し な い ま ま 指 令 を 受 け 取 る も の も あ る ． こ の 場 合 は ， 複 数 の 指 令 サ ー バ と 通 信 を 行 う と き に は IP/Port Scan と して 観測 される ． 【 攻 撃 フ ェ ー ズ 】 攻 撃 フ ェ ー ズ で は ，脆 弱 性 を 持 つ Port を狙 い， 多 数 の IP ア ドレ スを 探索す る． 中に は Ping パ ケ ッ ト で ホ ス ト の 存 在 を 確 認 し た 後 に ， 攻 撃 を 試 み る マ ル ウ ェ ア も あ る ．と こ ろ で ，CCC 攻撃 通 信 デ ー タ に は 含 ま れ て い な い が ， ス パ ム メ ー ル 送 信 型 マ ル ウ ェ ア の 場 合 ， 踏 み 台 と し て 利 用 す る 多 数 の SMTP サー バへ の通 信が試 みら れる． そ の 際 ，プ ラ イ マ リ ／ セ カ ン ダ リ DNS 以外 にも， 送 信 先 の ド メ イ ン を 代 表 す る DNS に，SMTP サ ー バ の 名 前 解 決 を 要 求 す る 特 徴 も 現 れ る ．

2.2. マルウェアの通 信 シナリオ

図 1 で，マ ルウ ェア の通信 要素 を列 挙した ． こ こ で は ， 通 信 要 素 が 組 み 合 わ さ れ た 通 信 シ ナ リ オ と ， そ の 観 測 手 法 に つ い て 説 明 す る ． 図 2(a)に，CCC 攻 撃通 信デ ータに 見ら れる 通 信 シ ナ リ オ の 一 例 を 示 す ． 左 の 丸 印 か ら 順 に 通 信 要 素 の 出 現 順 位 と な る ．感 染 ホ ス ト の 多 く は ， マ ル ウ ェ ア に 多 重 感 染 し て お り ， 攻 撃 パ ケ ッ ト を 送 信 し な が ら 定 期 的 に 指 令 フ ェ ー ズ や 配 布 フ ェ ー ズ を 繰 り 返 す ． こ れ に よ り ， 観 測 時 間 の 経 過 と と も に ， 状 態 遷 移 を 表 す 矢 印 が 複 雑 化 し て し ま う ． そ こ で 我 々 は ， マ ル ウ ェ ア 感 染 ホ ス ト の 通 信 シ ナ リ オ の 統 計 調 査 を 行 う に あ た り ， 複 雑 化 す る 状 態 遷 移 を 無 視 し て ， 通 信 要 素 の 出 現 順 位 の み に 注 目 す る ．こ の 様 子 を 図 2(b)に示 す． 図 2. マルウェア感 染 ホストの通 信 シナリオ

3. CCC 攻 撃 通 信 デ ー タ の 通 信 要 素・通 信

シ ナ リ オ の調 査 お よび 抑 制手 法 の 提案

こ こ で は ， マ ル ウ ェ ア の 通 信 シ ナ リ オ に 現 れ る 通 信 要 素 の 確 率 と ，そ の 出 現 順 位 を 調 査 し て ， 通 信 シ ナ リ オ の 早 い 段 階 で 活 動 を 阻 止 で き う る 通 信 要 素 の 選 定 と ， 抑 制 手 法 を 提 案 す る ． ま ず は ，CCC 攻 撃通信 デー タか ら，図 1 の 通 信 要 素 と 図 2(b)の通信 シナ リオ を自動 的に 抽出 す る 調 査 支 援 シ ス テ ム を 実 装 し た ． こ の シ ス テ ム は ， ハ ニ ー ポ ッ ト の 再 起 動 周 期 で ， 通 信 シ ナ リ オ を リ セ ッ ト す る 設 計 に な っ て い る ．

3.1. 通 信 要 素 の調 査

調 査 は ， 2009 年 3 月 13-14 日 の CCC 攻撃 通 信 デ ー タ の う ち ， ハ ニ ー ポ ッ ト の 再 起 動 が ほ ぼ 定 時 刻 に 完 了 し て ， 前 の 周 期 の 通 信 要 素 が 残 っ て い な い 延 べ 182 周 期 (=台 )の ハ ニ ー ポ ッ ト を 対 象 に し た ． 表 1 に，図 1 の通 信要素 が観 測さ れ た ハ ニ ー ポ ッ ト の 延 べ 台 数 と 出 現 確 率 を 報 告 す る ． 表 1. CCC 攻 撃 通 信 データに含 まれる通 信 要 素 【 侵 入 フ ェ ー ズ 】 狙 わ れ や す い Port として ，135/TCP や 445/TCP が 挙 げ ら れ る ． こ れ ら の Port が 狙わ れた場 合， 約 20%の確率で Source/Destination の High Port を 利 用 し た 通 信 モ ー ド で ， マ ル ウ ェ ア の 埋 め 込 み も 行 わ れ る ． 【 指 令 ･配 布 フ ェ ー ズ 】 侵 入 フ ェ ー ズ の 後 に ，指 令 ･配 布 フ ェ ー ズ に 至 っ た ハ ニ ー ポ ッ ト は 延 べ 133/182 台あ り，73% が 指 令 や 新 た な マ ル ウ ェ ア を 受 け 取 っ た ． 指 令 サ ー バ や 配 布 サ ー バ と の 通 信 に お い て ， DNS サ ー バ を 利 用 し て 名 前 解 決 を 行 う マ ル ウ ェ ア は ， 27%(49 台)で ある ことが わか った ．ち な み に こ の 49 台 のハ ニー ポッ トから 発信 され た 指 令 サ ー バ と 配 布 サ ー バ に 関 す る ホ ス ト 名 は ， 11 種 類 し か 観 測 さ れ て お ら ず ，ホ ス ト 名 (FQDN) の Blacklist を作成・管 理す るこ とは容 易で あっ た ．DNS を 利用 しない で自 らイ ンター ネッ ト上

の 指 令 サ ー バ を 探 索 す る IP/Port Scan は 69%(126 台 )あ り ，DNS ク エ リ に 注 目 し た マ ル ウ ェ ア 検 知 を 逃 れ る 仕 組 み も 拡 が っ て い る ． IRC(JOIN)を 含 む 指 令 通 信 は 17%(31 台 )あ り ，明 確 な 指 令 フ ェ ー ズ を 持 つ マ ル ウ ェ ア は 少 な い ． 代 わ り に ，HTTP や TFTP で マル ウェア を受 け取 る も の も そ れ ぞ れ 21%(39 台)と 6%(11 台)あ り， マ ル ウ ェ ア 内 部 に 感 染 後 の 挙 動 が ハ ー ド コ ー デ ィ ン グ さ れ て い る も の と 推 定 さ れ る ． 【 攻 撃 フ ェ ー ズ 】 攻 撃 フ ェ ー ズ に 至 っ た ハ ニ ー ポ ッ ト は 延 べ 53/182 台 あ り ， 29%が 二 次 感 染 活 動 を 行 っ た ． 逆 に 言 え ば ， 感 染 後 に 黙 り 込 む マ ル ウ ェ ア は 71%に も の ぼ る ． こ れ に つ い て ， 仮 想 マ シ ン モ ニ タ を 見 抜 い て 停 止 す る マ ル ウ ェ ア が あ る こ と を 想 定 し ， 著 者 ら は 安 全 な 実 マ シ ン モ ニ タ と 仮 想 マ シ ン モ ニ タ を 構 築 し て ， 10 個 の CCC マル ウ ェ ア 検 体 を 実 行 し た ． そ の 結 果 ， わ ず か 1 検 体 で の み ， 実 マ シ ン 上 の 通 信 シ ナ リ オ が 仮 想 マ シ ン 上 の シ ナ リ オ よ り も 進 展 し た ． 攻 撃 フ ェ ー ズ に 至 ら な い マ ル ウ ェ ア で も ， 感 染 ホ ス ト の 再 起 動 時 に 自 身 の コ ピ ー を 自 動 起 動 す る よ う に HKEY_CURRENT_USER ， HKEY_LOCAL_MACHINE を 改 ざ ん し て お り ， 再 起 動 の な い 動 的 解 析 シ ス テ ム を 避 け る 工 夫 が な さ れ て い る ． こ う し た マ ル ウ ェ ア 検 知 に は ， ホ ス ト 内 部 で 異 常 な フ ァ イ ル 操 作 に 着 目 す る 手 法 が 適 し て い る [11]． ち な み に 攻 撃 は ，Outbound 135/TCP の通 信と， Ping/ ICMP の 探 索 活 動 し か 観 測 さ れ な か っ た ．

3.2. 通 信 シナリオの調 査

3.1 節 と同 様に ，延 べ 182 台 のハニ ーポ ット に つ い て ，通 信 シ ナ リ オ を 調 査 し た ．そ の 結 果 ， 最 小 1 の通 信要素 から ，最大 10 の通信 要素 まで を 持 つ 延 べ 101 種類の 通信 シナ リオが 観測 され た ．図 3 に，指令 ･配布 フェ ーズ から先 へ進 展し た 通 信 シ ナ リ オ の 一 例 を 示 す ． 図 3.CCC 攻 撃 通 信 データに含 まれる通 信 シナリオ 頻 繁 に 観 測 さ れ る 通 信 シ ナ リ オ と し て ， Por t135 侵 入 ⇒DNS 名 前 解 決 ⇒I P/Po r t ラ ン ダ ム 探 索 ⇒I RC指 令 受 信 ⇒H TTPコ ー ド 取 得 ⇒Por t135攻 撃 が あ る ． た と え 侵 入 を 許 し た 場 合 で も ， 初 期 段 相 で 出 現 す る DNS名 前 解 決を 止 め る こ と で ，そ の 後 の IRC指令 受信や HTTPコ ード取 得も 阻 止 で き ， 最 終 的 な Port135 攻 撃も 抑 制 で き る と 推 測 さ れ る ．

3.3. 通 信 活 動 の抑 制 手 法 の提 案

図 3 の可能 な限り 左側 に出 現する 通信 要素 を 阻 止 す る こ と で ， そ の 後 の 通 信 シ ナ リ オ の 抑 制 を 効 果 的 に 行 え る ． 侵 入 フ ェ ー ズ は 最 左 に 出 現 す る の は 自 明 で あ る た め ，指 令 ･配 布 フ ェ ー ズ 以 後 の 通 信 要 素 に つ い て ，CCC 攻 撃通信 デー タに お け る 侵 入 フ ェ ー ズ を 除 い た ， 各 通 信 要 素 の 平 均 出 現 順 位 と 出 現 確 率 を 表 2 にま とめ てお く． 表 2. 指 令 ･配 布 , 攻 撃 フェーズにおける 通 信 要 素 の出 現 順 位 と出 現 確 率

3.3.1. 脆 弱 Port の ブ ロ ッ ク

侵 入 フ ェ ー ズ を 阻 止 す る こ と で ， 感 染 ホ ス ト の 増 加 を 抑 え ら れ る ． 早 急 に 取 り 組 む べ き Port は ， 135/TCP, 445/TCP, 139/TCP である ．こ れら の 通 信 は LAN に 限ら れたサ ービ スで あるた め， WAN 上 の ル ー タ や LAN へ の Gateway(GW)で の ブ ロ ッ ク が 有 効 で あ る ． 1433/TCP や 1434/UDP も ブ ロ ッ ク す べ き で あ る が ，WAN 上に はこ れら の サ ー ビ ス を 提 供 す る Web サー バも あるた め， LAN へ の Inb ou nd 通 信 を ブ ロ ッ ク す れ ば 良 い ． 次 に 感 染 し た 場 合 を 想 定 し て ，LAN から WAN へ の Outbound 135/TCP, 445/TCP, 139/TCP Port を ブ ロ ッ ク す る の も 有 効 で あ る ．

3.3.2. 宛 先 数 制 限

宛 先 IP/Port や Ping/ICMP に よる宛 先の ラン ダ ム ス キ ャ ン は ，WAN 上 のル ータ では制 御が 難し い が ，LAN の GW に，単位 時間 中で接 続で きる 宛 先 数 を 制 限 す る 装 置 を 設 け る と 良 い ．

3.3.3. 悪 性 ホ ス ト の 名 前 解 決 ブ ロ ッ ク

表 2 による と指 令･配 布フ ェーズ 以降 に至 る 通 信 シ ナ リ オ の 37%に ， 指 令･配 布 サ ー バ のホ

ス ト 名 に 関 す る DNS 名前 解決 が平均 1.69 位と い う 初 期 段 階 で 現 れ る ．こ の た め ，OpenDNS に 類 す る 技 術 （ 以 降 ， DNS-Block 方式と 呼ぶ ）で 悪 性 ホ ス ト の ホ ス ト 名 の 解 決 処 理 を 阻 止 す る こ と が 有 効 と 言 え る ．

3.3.4. 悪 性 ホ ス ト 宛 て 通 信 ブ ロ ッ ク

指 令 ･配 布 フ ェ ー ズ 以 降 に 至 る 23%の マ ル ウ ェ ア は ，IRC 通信 が平均 3.03 位で 出現 する ．こ れ を 阻 止 す る た め に ，Reputation DB と 呼ば れる 悪 性 ホ ス ト リ ス ト [12]を 用 い て， WAN や LAN で 指 令 サ ー バ の IP ア ドレ ス へ向 か う通 信 をブ ロ ッ ク す れ ば 良 い （ 以 降 ， IRC-Bl ock と 呼 ぶ ）． 38％ の マ ル ウ ェ ア は ，平 均 3.28 位 で HTTP や TFTP で 新 た な コ ー ド を 取 得 し て い る ． こ れ に つ い て も 悪 性 ホ ス ト リ ス ト を 用 い て ， WAN や LAN で 配 布 サ ー バ の IP ア ド レ ス へ の 通 信 を ブ ロ ッ ク す れ ば 良 い ．プ ロ キ シ サ ー バ を 利 用 し て ， 配 布 サ ー バ と の HTTP と TFTP 通信を ブロ ック す る 手 法 も あ る（ 以 降 ，HTTP.exe-Block と呼 ぶ）．

3.3.5. 未 認 定 Mail/DNS へ の 通 信 ブ ロ ッ ク

CCC 攻 撃 通 信 デ ー タ に は 観 測 さ れ な か っ た が ， ス パ ム メ ー ル の 送 信 を 抑 制 す る た め に も ， LAN 上 の ホ ス ト は 決 め ら れ た プ ラ イ マ リ ／ セ カ ン ダ リ DNS サー バ のみ と通 信す る 制御 や， OP25B の ア ク セ ス 制 御 を ，LAN の GW に 適 用 す る こ と も 有 効 で あ る ．

4. CCC マ ル ウ ェ ア 検 体 を 用 い た 抑 制 手

法 の 有 効 性に 関 す る評 価

こ こ で は ， 3 章で 提案 した マルウ ェア 通信 活 動 の 抑 制 手 法 を 想 定 し た ネ ッ ト ワ ー ク を 構 築 し ， そ の 上 で マ ル ウ ェ ア 検 体 を 安 全 に 実 行 さ せ た と き の 抑 制 の 程 度 に つ い て 検 証 す る ．

4.1. 実 験 環 境

実 験 用 の ネ ッ ト ワ ー ク 構 成 を 図 4 に示 す． 多 数 の 通 信 事 業 者 と 連 携 し て WAN 上に 提案 対策 を 施 す こ と は 難 し い た め ，LAN の Firewall の設 定 を 適 宜 変 更 す る こ と で ， 同 様 の 効 果 を 期 待 し た ． 実 験 で は ， Windows XP の 仮想マ シン 上で 検 体 を 15 分間活 動さ せた とき の通信 パケ ット を ，LAN 側で観 測し た．尚 ，評価は DNS-Block， IRC-Bl ock， HTTP-Bl ock に つ い て 行 っ た ．

DNS-Block は ，Firewall に 53/ UDP 通 信 を 棄 却 す る ル ー ル を 設 定 し た ．IRC-Block は，IRC で利 用 す る Port と指 令サー バ IP へ の通信 を棄 却す る ル ー ル を 設 定 し た ． HTTP.exe-Block は， マル ウ ェ ア 配 布 サ ー バ の IP ア ド レス を 棄却 す るル ー ル を 設 定 し た ． 尚 ， 実 行 し た マ ル ウ ェ ア が ア ク セ ス し た マ ル ウ ェ ア 配 布 サ ー バ は 複 数 存 在 し た た め ， そ の 全 て へ の ア ク セ ス を 棄 却 す る ル ー ル と ， 50%を棄 却す るルー ル， 残りの 50%を棄 却 す る ル ー ル の 3 パタ ーン を適用 した ． 図 4. 安 全 性 と抑 制 を考 慮 したネットワーク

4.2. マルウェア通 信 活 動 の抑 制 実 験 の結 果

2009 年 9 月 4 日 現 在 で ， 10 個 の CCC マ ル ウ ェ ア 検 体 の う ち ，図 4 のネッ トワ ーク 上で指 令･ 配 布 フ ェ ー ズ 以 降 へ と 通 信 シ ナ リ オ が 展 開 し た 検 体 は 5 個 あり， その 通信 シナリ オは 3 種 類に 分 類 さ れ た ． こ の 3 種類 の検 体につ いて ，DNS -Bl ock，IRC-Bl ock，HTTP.exe-Bl ock を 個 々 に 適 用 し て 実 行 し た と き の ， 通 信 活 動 の 抑 制 の 様 子 に つ い て 観 測 し た ． そ の 結 果 を 表 3 に 示す ．

【 DNS-Block】 全 て の 検 体 に お い て ， 指 令 ･配 布 サ ー バ へ の DNS 名 前 解 決 を ブ ロ ッ ク す る と ， そ の 後 の 指 令 ･配 布 フ ェ ー ズ と 攻 撃 フ ェ ー ズ の 全 て を 抑 制 で き る こ と が わ か る ．よ っ て ，DNS 名 前解 決を 伴 う マ ル ウ ェ ア に 対 し て は ， 悪 性 ホ ス ト リ ス ト を 用 い た DNS-Block を施す こと で，通 信活 動を 効 果 的 に 封 じ 込 め る こ と が で き る ． 【 IRC-Block】 検 体 A と B につい ては ，指令 サー バへの IRC 接 続 を 繰 り 返 し 試 み る た め IRC パケッ トは 増加 す る が ， そ の 後 の HTTP 通 信に よるコ ード 取得 や ス パ ム メ ー ル 送 信 ，他 ホ ス ト 探 索 が 停 止 す る ． 検 体 C につ いては ， IRC-Block は効果 を発 揮し な い こ と が わ か る ． 【 HTTP.exe-Block】 検 体 A に つい ては ，HTTP.exe 100%Block と HTTP.exe 50%Bl ock(1)で は ， ス パ ム メ ー ル 送 信 と 他 ホ ス ト 探 索 が 停 止 し て い る ． し か し ， HTTP.exe 50％ Bl ock(2)で は ，ス パ ム メ ー ル 送 信 と 他 ホ ス ト 探 索 を 担 う 検 体 の 取 得 に 成 功 し た こ と が 推 測 さ れ ， 本 来 の 通 信 活 動 を 取 り 戻 し て い る ． こ の こ と よ り ， ス パ ム メ ー ル の 宛 先 や 本 文 は ， IRC 通 信で はなく ，検 体中 にハー ドコ ーデ ィ ン グ さ れ て い る こ と が わ か る ．検 体 B に つい て は ，HTTP.exe-Block に よっ て ，新た な検 体の 取 得 を 阻 止 し て も ， 実 行 さ れ た 検 体 自 体 が Out445/ TCP 攻 撃 ま で 行 う た め ，通 信 活 動 の 抑 制 に は 寄 与 し な い ．検 体 C につ いて は，HTTP.exe 100%Bl ock と HTTP.exe 50%Bl ock(1) で は ， Out445/ TCP Scan を 抑 制 で き て い る ． し か し ， HTTP.exe 50%Bl cok(2)で は ，Out445/TCP Scan を 担 う マ ル ウ ェ ア を 取 得 で き た も の と 推 測 さ れ ， 通 信 活 動 を 抑 制 で き な か っ た ．

4.3. 考 察

DNS で 名 前 解 決 を 行 う 検 体 に 対 し て は ，悪 性 ホ ス ト リ ス ト を 用 い た DNS-Block 方式 が，指 令･ 配 布 フ ェ ー ズ と 攻 撃 フ ェ ー ズ の 全 て を 抑 制 で き る た め ， 最 も 効 果 的 な 方 式 で あ る こ と が わ か っ た ． 指 令 フ ェ ー ズ を 持 つ 検 体 に つ い て は ， 悪 性 ホ ス ト リ ス ト を 用 い た IRC-Block 方式 を適 用す る こ と で ， そ の 後 の 配 布 フ ェ ー ズ や 攻 撃 フ ェ ー ズ を 効 果 的 に 抑 制 で き る こ と も わ か っ た ．ま た ， 悪 性 ホ ス ト リ ス ト に よ る WAN やプロ キシ によ る HTTP.exe-Block 方式 では ，多 数の配 布サ ーバ の う ち ， ス パ ム メ ー ル 送 信 や 外 部 攻 撃 を 担 う マ ル ウ ェ ア の 配 布 を 阻 止 で き た 場 合 に の み ， 通 信 活 動 の 抑 制 が 期 待 さ れ る ． よ っ て ， 新 た な マ ル ウ ェ ア 配 布 を 阻 止 す る 悪 性 ホ ス ト リ ス ト の 網 羅 性 を 高 め る 必 要 が あ り ， 効 果 に は 疑 問 が 残 る ．

5. お わ り に

本 論 文 で は ，CCC 攻撃 通信 デー タから ，マ ル ウ ェ ア の 通 信 要 素 と 通 信 シ ナ リ オ に 関 す る 調 査 を 行 い ， そ の 傾 向 を 把 握 し た ． ま た ， 通 信 シ ナ リ オ を 進 展 さ せ な い ネ ッ ト ワ ー ク 側 で の 対 策 を 提 案 し ，CCC マ ルウェ ア検 体を 安全な 環境 で実 行 さ せ た と き の 通 信 活 動 の 抑 制 の 効 果 に つ い て 評 価 を 行 っ た ．そ の 結 果 ，DNS で悪性 ホス トの 名 前 解 決 を 阻 止 す る 手 法 が 最 も 効 果 的 に マ ル ウ ェ ア の 通 信 活 動 を 抑 制 で き る こ と が わ か っ た ．

文 献

[1] Jan Goebel, “Rishi : identi fy bot contaminated hosts by IRC ni ckname evaluati on,” USENIX, Proc. of HotBots’2007, Apr., 2007.

[2] Ping Wang, Sherri Sparks, and Cli ff C. Zou, “An Advanced Hybrid Peer-t o-Peer Botnet,” USENIX, Proc. of HotBot s’2007, Apr., 2007. [3] Guofei Gu, Junjie Zhang, and Wenke Lee,

“BotSni ffer: Detecting botnet command and control channel,” Internet Societ y, Proc. of NDSS 2008, Feb. 2008.

[4] Guofei Gu, Phillip Porras, Vinod Yegneswaran, Martin Fong, and Wenke Lee, “BotHunter: Detecting Mal ware Infecti on Through IDS-Dri ven Dial og Correlati on,” USENIX, Proc. of 16th USENIX Securit y Symposium, 2007.

[5] 阿 部 義 徳 , 田 中 英 彦 , “C&C セ ッ シ ョ ン 分 類 に よ る ボ ッ ト ネ ッ ト の 検 出 手 法 の 一 検 討 ”, 情処, FIT2007, L-033, 2007 年 9 月． [6] BotHunter: http:// www.bot hunter.net/ [7] DNSBL: http://www.dnsbl.info/

[8] OP25B 連 絡 会 : http:// www. op25b.jp/isp/ [9] OpenDNS: http:// www. opendns. com/

[10] 畑 田 充 弘 , 中 津 留 勇 , 寺 田 真 敏 , 篠 田 陽 一 , " マ ル ウ ェ ア 対 策 の た め の 研 究 用 デ ー タ セ ッ ト と ワ ー ク シ ョ ッ プ を 通 じ た 研 究 成 果 の 共 有 "， 情処, MWS2009, 2009 年 10 月． [11] 酒 井 崇 裕 ，竹 森 敬 祐 ，安 藤 類 央 ，西 垣 正 勝 ， “ 侵 入 挙 動 の 反 復 性 に よ る ボ ッ ト 検 知 方 式 ”， 情 処 , MWS2009, 2009 年 10 月 ． [12] MalwareDomainList : http://www. malwaredomai nlist.com/