マルウェア通信活動抑制のためのネットワーク制御

マルウェア通信活動抑制のためのネットワーク制御

竹森 敬祐 † 酒井 崇裕‡ 西垣 正勝‡ 安藤類央* 三宅 優 †

†株式会社 KDDI 研究所 〒356-8502 埼玉県ふじみ野市大原 2-1-15

‡静岡大学創造科学技術大学院 〒432-8011 静岡県浜松市中区城北 3-5-1

*独立行政法人情報通信研究機構 〒184-8795 東京都小金井市貫井北町 4-2-1

あらまし 昨今のマルウェアは，外部ホストから指令を受けるもの，新たなコードを取得して活動 を変化させるもの，外部のメールサーバを利用して迷惑メールを送付するものなど，インターネット 上のホストと連携した活動が行われている．マルウェアには，こうした通信要素が組み合わされた通 信シナリオがあり，一部のシナリオを阻止することでマルウェアとしての本来の挙動の抑制が期待さ れる．そこで本研究では， CCC DATAset 2009 の攻撃通信データ（ CCC 攻撃通信データ）から，マルウ ェアの通信要素と通信シナリオに関する調査を行い，その傾向から通信シナリオを進展させない対策 を提案する．そして，この対策を施したネットワークを構築し， CCC DATAset 2009 のマルウェア検体

（ CCC マルウェア検体）を実行させたときの通信活動の抑制の程度について評価する．これにより，

ネットワーク上での効果的なマルウェア通信活動の抑制方式を明らかにする．

キーワード マルウェア通信シナリオ，ネットワーク防御，動的解析

Network-based Prevention against Malware Communications

Keisuke TAKEMORI†, Takahiro SAKAI‡, Masakatsu NISHIGAKI‡, Ruo ANDO*, and Yutaka MIYAKE†

†KDDI R&D Laboratories Inc. 2-1-15 Ohara, Fujimino-shi, Saitama, 356-8502, JAPAN

‡Shizuoka University 3-5-1 Jyohoku, Naka-ku, Hamamatsu-shi, Shizuoka, 432-8011, JAPAN

* NICT 4-2-1 Nukui-Kitamachi, Koganei-shi, Tokyo, 184-8795, JAPAN

Abstract A malware infected host receives command & control packets and new malware code from

malicious servers. The infected hosts send spam mail messages via internet mail servers. A malware communication scenario is defined by a state machine that is composed of malicious packets. When the communication scenario is blocked by a router, it is expected that communication activities of the malware are restrained. In this research, we investigate both the malicious packets and the communication scenario using the CCC DATAset 2009 attack communication data, and propose a network-based prevention technique against the malware communication. Also, we apply the prevention technique to a test-bed network that monitors the malware packets and communication scenario. As the suppression level of the malware communication is evaluated, the effective prevention technique is demonstrated using the CCC DATAset 2009 malware code.

Keywords Malware Communication Scenario, Network-base Prevention, Active Monitor

1. は じ め に

昨 今 の マ ル ウ ェ ア は ， 脆 弱 な ホ ス ト に 侵 入 ･ 常 駐 し て ， 外 部 ホ ス ト か ら 指 令 を 受 け る も の ， 新 た な コ ー ド を 取 得 し て 活 動 を 変 化 さ せ る も の ， 外 部 の メ ー ル サ ー バ を 利 用 し て 迷 惑 メ ー ル を 送

付 す る も の ， 他 の ホ ス ト へ 感 染 を 拡 げ る も の な ど ， イ ン タ ー ネ ッ ト 上 の ホ ス ト と 連 携 し て 活 動 を 行 っ て い る ． マ ル ウ ェ ア に は ， 脆 弱 性 を 突 く 侵 入 フ ェ ー ズ ， 指 令 や 新 た な マ ル ウ ェ ア を 受 け 取 る 指 令 ･配 布 フ ェ ー ズ ，外 部 へ 二 次 感 染 を 試 み

る 攻 撃 フ ェ ー ズ な ど が 組 み 合 わ さ れ た 通 信 シ ナ リ オ が あ る ． よ っ て ， 一 部 の シ ナ リ オ を 阻 止 す る こ と で ， 外 部 ホ ス ト と の 連 携 が 損 な わ れ ， ネ ッ ト ワ ー ク 上 で の 通 信 活 動 を 抑 制 で き る も の と 期 待 さ れ る ．

こ れ ま で ，指 令 を 受 け 取 る IRC通 信 や 攻 撃 パ ケ ッ ト な ど の 通 信 要 素 に 着 目 し た 検 知 手 法 [1-2]や ，通 信 要 素 が 組 み 合 わ さ れ た 通 信 シ ナ リ オ を 用 い て 検 知 す る 手 法[3-6]が 提 案 さ れ て い る ． し か し ， こ う し て 検 知 さ れ た マ ル ウ ェ ア の 通 信 活 動 を 抑 制 す る 手 法 に つ い て の 検 討 は な さ れ て い な い ． ネ ッ ト ワ ー ク 上 で の 攻 撃 対 策 と し て ，ス パ ム メ ー ル の 送 信 規 制 に 利 用 さ れ る DNS Blacklist（DNS-BL）[7]やOut Bound Port 25 Bl ock

（OP25B）[8]，フ ィ ッ シ ン グ サ イ ト へ の 誘 導 を 阻 止 す る OpenDNS[9]な ど が あ る が ， マ ル ウ ェ ア の 個 々 の 通 信 要 素 を 防 ぐ 技 術 で あ り ， 通 信 シ ナ リ オ 全 体 に 対 す る 抑 制 効 果 は 不 明 で あ る ． よ っ て ， 通 信 シ ナ リ オ の 進 展 を 阻 止 す る 適 切 な 技 術 の 選 定 と ， そ の 抑 制 効 果 に つ い て 評 価 す る 必 要 が あ る ．

そ こ で 本 研 究 で は ，CCC 攻 撃 通 信 デ ー タ[10]

を 用 い て ， 侵 入 フ ェ ー ズ ， 指 令 ･配 布 フ ェ ー ズ ， 攻 撃 フ ェ ー ズ に 含 ま れ る 通 信 要 素 と ， こ れ ら の 組 み 合 わ せ で あ る 通 信 シ ナ リ オ の 具 体 的 な 調 査 を 行 い ， 通 信 シ ナ リ オ を 進 展 さ せ な い た め の 効 果 的 な 対 策 に つ い て 提 案 す る ． そ し て ， 提 案 対 策 を 施 し た ネ ッ ト ワ ー ク を 構 築 し ，CCCマ ル ウ ェ ア 検 体[10]を 安 全 に 実 行 し た と き の ， 通 信 シ ナ リ オ の 抑 制 効 果 に つ い て 評 価 す る ．

以 下 2章 に お い て ， 本 論 文 で 注 目 す る マ ル ウ ェ ア の 通 信 要 素 と 通 信 シ ナ リ オ に つ い て 整 理 す る ．3章 で ，CCC攻 撃 通 信 デ ー タ の 通 信 要 素 と 通 信 シ ナ リ オ に 関 す る 統 計 調 査 を 行 い ， 通 信 シ ナ リ オ の 初 期 に 現 れ る 重 要 な 通 信 要 素 を 明 ら か に し て ， マ ル ウ ェ ア の 通 信 活 動 の 効 果 的 な 抑 制 手 法 に つ い て 提 案 す る ．4 章 で 対 策 の 施 さ れ た ネ ッ ト ワ ー ク 環 境 で CCC マ ル ウ ェ ア 検 体 を 実 行 し た と き の 通 信 活 動 の 抑 制 の 程 度 に つ い て 評 価 を 行 い ， 最 後 に 5章 で 適 切 な 抑 制 手 法 に つ い て ま と め る ．

2. 注 目 す る 通信 要 素 と通 信 シナ リ オ 本 研 究 で は ， イ ン タ ー ネ ッ ト 上 の 既 存 の ル ー タ や Firewall で も 容 易 に 実 現 で き る マ ル ウ ェ ア 通 信 の 抑 制 対 策 の 提 案 を 目 指 す こ と と し ， パ ケ ッ ト の ヘ ッ ダ 情 報 の み か ら 抽 出 さ れ る マ ル ウ ェ ア の 通 信 要 素 と 通 信 シ ナ リ オ に つ い て 検 討 す る ．

2.1. マルウェアの通 信 要素

我 々 は ，CCC攻 撃 通 信 デ ー タ に つ い て ，ハ ニ ー ポ ッ ト へ の 侵 入 フ ェ ー ズ ，感 染 後 の 指 令 ･配 布 フ ェ ー ズ ， 外 部 へ の 攻 撃 フ ェ ー ズ に 含 ま れ る ， 特 徴 的 な 通 信 要 素 に つ い て 調 査 し た ． こ れ は ， 脆 弱 性 Portに 関 す る 知 識 と ，ヒ ュ ー リ ス テ ィ ッ ク な 調 査 を 繰 り 返 し ， ハ ニ ー ポ ッ ト が 感 染 し た こ と に よ っ て 発 生 し う る 通 信 要 素 に 着 目 し た も の で あ る ． 結 果 を 図1に 示 す ． こ こ に 示 し た 通 信 要 素 は ， 既 存 の 通 信 機 器 に よ る 検 知 と ブ ロ ッ ク 制 御 を 容 易 に 適 用 で き る も の で あ り ， パ ケ ッ ト の ペ イ ロ ー ド 部 の 詳 細 解 析 が 必 要 な 通 信 要 素 を 抽 出 し て い な い こ と に 注 意 さ れ た い ．

図 1. 注 目 するマルウェアの通 信 要 素

【 侵 入 フ ェ ー ズ 】

Windows OSの RPCや Netbi os 関 連 の 通 信 は LAN 上 で の み 観 測 さ れ る た め ，WANか ら LAN に 向 け た In135/ TCP, In137/UDP, …, In445/TCP は ， 攻 撃 通 信 と み な せ る ． ま た ， 殆 ど の ク ラ イ ア ン ト ホ ス ト に は SQL サ ー ビ ス は 起 動 し て い な い た め ，In1433/TCPと In1434/UDP も 攻 撃 通 信 と み な せ る ． 尚 ，In135/TCP と In445/TCP に は ， デ ー タ の 送 受 信 専 用 に Source/ Destinati on Port が 1024 以 上 の 通 信 チ ャ ネ ル を 利 用 す る モ ー ド が あ り ， 昨 今 の マ ル ウ ェ ア の 中 に は ， こ の モ ー ド で 検 体 を ホ ス ト に 送 り 込 む も の も あ る ．

【 指 令 ･配 布 フ ェ ー ズ 】

感 染 ホ ス ト は ， 指 令 を 受 け 取 る た め に 指 令 サ ー バ と 通 信 を 行 う ． 指 令 フ ェ ー ズ の 多 く は IRC サ ー ビ ス を 利 用 し て い る が ， そ の 制 御 コ マ ン ド のJOINパ ケ ッ ト に 着 目 す る と ， そ のSource IP が 感 染 ホ ス ト ，Destinati on IPが 指 令 サ ー バ と 判 断 で き る ． ま た ， 感 染 ホ ス ト は 新 た な マ ル ウ ェ

ア を 取 得 す る た め に ，配 布 サ ー バ と HTTP/TFTP 通 信 を 利 用 す る こ と も 多 い ． こ う し た 指 令 サ ー バ や 配 布 サ ー バ の ホ ス ト 名 か ら IP ア ド レ ス へ の 名 前 解 決 に ，DNSを 利 用 す る こ と が 多 い ．昨 今 ，DNSを 利 用 せ ず に イ ン タ ー ネ ッ ト 上 の 指 令 サ ー バ を 自 力 で 探 索 す る マ ル ウ ェ ア も 多 く な り ， 宛 先 IP と Port を ラ ン ダ ム に 変 化 さ せ な が ら ， し ら み つ ぶ し に 通 信 を 試 み る 活 動 も 観 測 さ れ る ． 尚 ，IRCに よ る 指 令 フ ェ ー ズ の 中 に は ，JOINパ ケ ッ ト を 利 用 し な い ま ま 指 令 を 受 け 取 る も の も あ る ． こ の 場 合 は ， 複 数 の 指 令 サ ー バ と 通 信 を 行 う と き に は IP/ Port Scanと し て 観 測 さ れ る ．

【 攻 撃 フ ェ ー ズ 】

攻 撃 フ ェ ー ズ で は ，脆 弱 性 を 持 つPortを 狙 い ， 多 数 の IPア ド レ ス を 探 索 す る ． 中 に は Ping パ ケ ッ ト で ホ ス ト の 存 在 を 確 認 し た 後 に ， 攻 撃 を 試 み る マ ル ウ ェ ア も あ る ．と こ ろ で ，CCC攻 撃 通 信 デ ー タ に は 含 ま れ て い な い が ， ス パ ム メ ー ル 送 信 型 マ ル ウ ェ ア の 場 合 ， 踏 み 台 と し て 利 用 す る 多 数 のSMTPサ ー バ へ の 通 信 が 試 み ら れ る ． そ の 際 ，プ ラ イ マ リ ／ セ カ ン ダ リ DNS 以 外 に も ， 送 信 先 の ド メ イ ン を 代 表 す る DNSに ，SMTPサ ー バ の 名 前 解 決 を 要 求 す る 特 徴 も 現 れ る ．

2.2. マルウェアの通 信シナリオ

図 1 で ， マ ル ウ ェ ア の 通 信 要 素 を 列 挙 し た ． こ こ で は ， 通 信 要 素 が 組 み 合 わ さ れ た 通 信 シ ナ リ オ と ， そ の 観 測 手 法 に つ い て 説 明 す る ．

図2(a)に ，CCC攻 撃 通 信 デ ー タ に 見 ら れ る 通 信 シ ナ リ オ の 一 例 を 示 す ． 左 の 丸 印 か ら 順 に 通 信 要 素 の 出 現 順 位 と な る ．感 染 ホ ス ト の 多 く は ， マ ル ウ ェ ア に 多 重 感 染 し て お り ， 攻 撃 パ ケ ッ ト を 送 信 し な が ら 定 期 的 に 指 令 フ ェ ー ズ や 配 布 フ ェ ー ズ を 繰 り 返 す ． こ れ に よ り ， 観 測 時 間 の 経 過 と と も に ， 状 態 遷 移 を 表 す 矢 印 が 複 雑 化 し て し ま う ． そ こ で 我 々 は ， マ ル ウ ェ ア 感 染 ホ ス ト の 通 信 シ ナ リ オ の 統 計 調 査 を 行 う に あ た り ， 複 雑 化 す る 状 態 遷 移 を 無 視 し て ， 通 信 要 素 の 出 現 順 位 の み に 注 目 す る ．こ の 様 子 を 図 2(b)に 示 す ．

図 2. マルウェア感 染 ホストの通 信 シナリオ

3. CCC

攻 撃 通 信 デ ータ の 通 信要 素・通 信 シ ナ リ オ の調 査 お よび 抑 制手 法 の 提案

こ こ で は ， マ ル ウ ェ ア の 通 信 シ ナ リ オ に 現 れ る 通 信 要 素 の 確 率 と ，そ の 出 現 順 位 を 調 査 し て ， 通 信 シ ナ リ オ の 早 い 段 階 で 活 動 を 阻 止 で き う る 通 信 要 素 の 選 定 と ， 抑 制 手 法 を 提 案 す る ．

ま ず は ，CCC攻 撃 通 信 デ ー タ か ら ，図 1の 通 信 要 素 と 図 2(b)の 通 信 シ ナ リ オ を 自 動 的 に 抽 出 す る 調 査 支 援 シ ス テ ム を 実 装 し た ． こ の シ ス テ ム は ， ハ ニ ー ポ ッ ト の 再 起 動 周 期 で ， 通 信 シ ナ リ オ を リ セ ッ ト す る 設 計 に な っ て い る ．

3.1. 通 信 要 素の調査

調 査 は ，2009 年 3月 13-14 日 の CCC 攻 撃 通 信 デ ー タ の う ち ， ハ ニ ー ポ ッ ト の 再 起 動 が ほ ぼ 定 時 刻 に 完 了 し て ， 前 の 周 期 の 通 信 要 素 が 残 っ て い な い 延 べ 182 周 期(=台)の ハ ニ ー ポ ッ ト を 対 象 に し た ． 表 1に ， 図 1の 通 信 要 素 が 観 測 さ れ た ハ ニ ー ポ ッ ト の 延 べ 台 数 と 出 現 確 率 を 報 告 す る ．

表 1. CCC 攻 撃 通 信 データに含 まれる通 信 要 素

【 侵 入 フ ェ ー ズ 】

狙 わ れ や す いPortと し て ，135/TCPや445/TCP が 挙 げ ら れ る ． こ れ ら の Port が 狙 わ れ た 場 合 ， 約 20%の 確 率 で Source/ Destinati on の Hi gh Port を 利 用 し た 通 信 モ ー ド で ， マ ル ウ ェ ア の 埋 め 込 み も 行 わ れ る ．

【 指 令 ･配 布 フ ェ ー ズ 】

侵 入 フ ェ ー ズ の 後 に ，指 令 ･配 布 フ ェ ー ズ に 至 っ た ハ ニ ー ポ ッ ト は 延 べ 133/182 台 あ り ，73%

が 指 令 や 新 た な マ ル ウ ェ ア を 受 け 取 っ た ． 指 令 サ ー バ や 配 布 サ ー バ と の 通 信 に お い て ， DNS サ ー バ を 利 用 し て 名 前 解 決 を 行 う マ ル ウ ェ ア は ，27%(49 台)で あ る こ と が わ か っ た ． ち な み に こ の 49 台 の ハ ニ ー ポ ッ ト か ら 発 信 さ れ た 指 令 サ ー バ と 配 布 サ ー バ に 関 す る ホ ス ト 名 は ， 11種 類 し か 観 測 さ れ て お ら ず ，ホ ス ト 名(FQDN) のBlacklistを 作 成・管 理 す る こ と は 容 易 で あ っ た ．DNSを 利 用 し な い で 自 ら イ ン タ ー ネ ッ ト 上

の 指 令 サ ー バ を 探 索 す る IP/Port Scan は 69%(126台)あ り ，DNS ク エ リ に 注 目 し た マ ル ウ ェ ア 検 知 を 逃 れ る 仕 組 み も 拡 が っ て い る ． IRC(JOIN)を 含 む 指 令 通 信 は17%(31台)あ り ，明 確 な 指 令 フ ェ ー ズ を 持 つ マ ル ウ ェ ア は 少 な い ． 代 わ り に ，HTTPやTFTPで マ ル ウ ェ ア を 受 け 取 る も の も そ れ ぞ れ 21%(39台)と6%(11台)あ り ， マ ル ウ ェ ア 内 部 に 感 染 後 の 挙 動 が ハ ー ド コ ー デ ィ ン グ さ れ て い る も の と 推 定 さ れ る ．

【 攻 撃 フ ェ ー ズ 】

攻 撃 フ ェ ー ズ に 至 っ た ハ ニ ー ポ ッ ト は 延 べ 53/182 台 あ り ，29%が 二 次 感 染 活 動 を 行 っ た ． 逆 に 言 え ば ， 感 染 後 に 黙 り 込 む マ ル ウ ェ ア は 71%に も の ぼ る ． こ れ に つ い て ， 仮 想 マ シ ン モ ニ タ を 見 抜 い て 停 止 す る マ ル ウ ェ ア が あ る こ と を 想 定 し ， 著 者 ら は 安 全 な 実 マ シ ン モ ニ タ と 仮 想 マ シ ン モ ニ タ を 構 築 し て ，10 個 の CCC マ ル ウ ェ ア 検 体 を 実 行 し た ． そ の 結 果 ， わ ず か 1検 体 で の み ， 実 マ シ ン 上 の 通 信 シ ナ リ オ が 仮 想 マ シ ン 上 の シ ナ リ オ よ り も 進 展 し た ． 攻 撃 フ ェ ー ズ に 至 ら な い マ ル ウ ェ ア で も ， 感 染 ホ ス ト の 再 起 動 時 に 自 身 の コ ピ ー を 自 動 起 動 す る よ う に HKEY_CURRENT_USER ， HKEY_LOCAL_MACHINE を 改 ざ ん し て お り ， 再 起 動 の な い 動 的 解 析 シ ス テ ム を 避 け る 工 夫 が な さ れ て い る ． こ う し た マ ル ウ ェ ア 検 知 に は ， ホ ス ト 内 部 で 異 常 な フ ァ イ ル 操 作 に 着 目 す る 手 法 が 適 し て い る[11]．

ち な み に 攻 撃 は ，Outbound 135/TCPの 通 信 と ， Ping/ ICMPの 探 索 活 動 し か 観 測 さ れ な か っ た ．

3.2. 通 信シナリオの調 査

3.1 節 と 同 様 に ， 延 べ 182 台 の ハ ニ ー ポ ッ ト に つ い て ，通 信 シ ナ リ オ を 調 査 し た ．そ の 結 果 ， 最 小1の 通 信 要 素 か ら ，最 大 10の 通 信 要 素 ま で を 持 つ 延 べ101種 類 の 通 信 シ ナ リ オ が 観 測 さ れ た ．図 3に ，指 令 ･配 布 フ ェ ー ズ か ら 先 へ 進 展 し た 通 信 シ ナ リ オ の 一 例 を 示 す ．

図 3.CCC 攻 撃 通 信 データに含 まれる通 信 シナリオ

頻 繁 に 観 測 さ れ る 通 信 シ ナ リ オ と し て ， Por t135 侵 入 ⇒DNS 名 前 解 決 ⇒I P/Po r t ラ ン ダ ム 探 索

⇒I RC指 令 受 信 ⇒H TTPコ ー ド 取 得 ⇒Por t135攻 撃 が あ る ． た と え 侵 入 を 許 し た 場 合 で も ， 初 期 段 相 で 出 現 す る DNS名 前 解 決を 止 め る こ と で ，そ の 後 の IRC指令 受信やHTTPコ ード取 得も 阻 止 で き ， 最 終 的 な Port 135 攻 撃も 抑 制 で き る と 推 測 さ れ る ．

3.3. 通 信 活 動の抑制 手 法の提案

図3の 可 能 な 限 り 左 側 に 出 現 す る 通 信 要 素 を 阻 止 す る こ と で ， そ の 後 の 通 信 シ ナ リ オ の 抑 制 を 効 果 的 に 行 え る ． 侵 入 フ ェ ー ズ は 最 左 に 出 現 す る の は 自 明 で あ る た め ，指 令 ･配 布 フ ェ ー ズ 以 後 の 通 信 要 素 に つ い て ，CCC攻 撃 通 信 デ ー タ に お け る 侵 入 フ ェ ー ズ を 除 い た ， 各 通 信 要 素 の 平 均 出 現 順 位 と 出 現 確 率 を 表 2に ま と め て お く ．

表 2. 指 令 ･配 布 , 攻 撃 フェーズにおける 通 信 要 素 の出 現 順 位 と出 現 確 率

3.3.1. 脆 弱 Port

の ブ ロ ッ ク

侵 入 フ ェ ー ズ を 阻 止 す る こ と で ， 感 染 ホ ス ト の 増 加 を 抑 え ら れ る ． 早 急 に 取 り 組 む べ き Port は ，135/TCP, 445/ TCP, 139/ TCPで あ る ． こ れ ら の 通 信 は LANに 限 ら れ た サ ー ビ ス で あ る た め ， WAN上 の ル ー タ や LANへ のGateway(GW)で の ブ ロ ッ ク が 有 効 で あ る ．1433/TCP や 1434/UDP も ブ ロ ッ ク す べ き で あ る が ，WAN上 に は こ れ ら の サ ー ビ ス を 提 供 す る Web サ ー バ も あ る た め ， LANへ の Inb ou nd 通 信 を ブ ロ ッ ク す れ ば 良 い ． 次 に 感 染 し た 場 合 を 想 定 し て ，LANか らWAN へ のOutbound 135/TCP, 445/TCP, 139/TCP Port を ブ ロ ッ ク す る の も 有 効 で あ る ．

3.3.2. 宛 先 数 制 限

宛 先IP/PortやPing/ ICMPに よ る 宛 先 の ラ ン ダ ム ス キ ャ ン は ，WAN上 の ル ー タ で は 制 御 が 難 し い が ，LANの GWに ，単 位 時 間 中 で 接 続 で き る 宛 先 数 を 制 限 す る 装 置 を 設 け る と 良 い ． 3.3.3. 悪 性 ホ ス トの 名 前 解決 ブ ロッ ク

表 2 に よ る と 指 令 ･配 布 フ ェ ー ズ 以 降 に 至 る 通 信 シ ナ リ オ の 37%に ， 指 令 ･配 布 サ ー バ の ホ

ス ト 名 に 関 す る DNS名 前 解 決 が 平 均 1.69 位 と い う 初 期 段 階 で 現 れ る ．こ の た め ，OpenDNSに 類 す る 技 術 （ 以 降 ，DNS-Bl ock 方 式 と 呼 ぶ ） で 悪 性 ホ ス ト の ホ ス ト 名 の 解 決 処 理 を 阻 止 す る こ と が 有 効 と 言 え る ．

3.3.4. 悪 性 ホ ス ト宛 て 通 信ブ ロ ック 指 令 ･配 布 フ ェ ー ズ 以 降 に 至 る 23%の マ ル ウ ェ ア は ，IRC通 信 が 平 均3. 03位 で 出 現 す る ．こ れ を 阻 止 す る た め に ，Reputati on DBと 呼 ば れ る 悪 性 ホ ス ト リ ス ト[12]を 用 い て ，WAN や LAN で 指 令 サ ー バ の IP ア ド レ ス へ 向 か う 通 信 を ブ ロ ッ ク す れ ば 良 い （ 以 降 ，IR C -Bl ockと 呼 ぶ ）．

38％ の マ ル ウ ェ ア は ，平 均 3.28位 でHTTP や TFTP で 新 た な コ ー ド を 取 得 し て い る ． こ れ に つ い て も 悪 性 ホ ス ト リ ス ト を 用 い て ，WAN や LAN で 配 布 サ ー バ の IP ア ド レ ス へ の 通 信 を ブ ロ ッ ク す れ ば 良 い ．プ ロ キ シ サ ー バ を 利 用 し て ， 配 布 サ ー バ と の HTTP と TFTP 通 信 を ブ ロ ッ ク す る 手 法 も あ る（ 以 降 ，HTTP.exe-Bl ockと 呼 ぶ ）．

3.3.5. 未 認 定 Mail/DNS

へ の 通 信 ブ ロ ッ ク

CCC 攻 撃 通 信 デ ー タ に は 観 測 さ れ な か っ た が ， ス パ ム メ ー ル の 送 信 を 抑 制 す る た め に も ， LAN 上 の ホ ス ト は 決 め ら れ た プ ラ イ マ リ ／ セ カ ン ダ リ DNS サ ー バ の み と 通 信 す る 制 御 や ， OP25Bの ア ク セ ス 制 御 を ，LANの GWに 適 用 す る こ と も 有 効 で あ る ．

4. CCC

マ ル ウ ェ ア 検 体 を 用 い た 抑 制 手 法 の 有 効 性に 関 す る評 価

こ こ で は ，3 章 で 提 案 し た マ ル ウ ェ ア 通 信 活 動 の 抑 制 手 法 を 想 定 し た ネ ッ ト ワ ー ク を 構 築 し ， そ の 上 で マ ル ウ ェ ア 検 体 を 安 全 に 実 行 さ せ た と き の 抑 制 の 程 度 に つ い て 検 証 す る ．

4.1. 実 験 環 境

実 験 用 の ネ ッ ト ワ ー ク 構 成 を 図 4に 示 す ． 多 数 の 通 信 事 業 者 と 連 携 し て WAN 上 に 提 案 対 策 を 施 す こ と は 難 し い た め ，LANのFirewallの 設 定 を 適 宜 変 更 す る こ と で ， 同 様 の 効 果 を 期 待 し た ． 実 験 で は ，Windows XP の 仮 想 マ シ ン 上 で 検 体 を 15 分 間 活 動 さ せ た と き の 通 信 パ ケ ッ ト を ，LAN側 で 観 測 し た ．尚 ，評 価 は DNS-Bl ock，

IRC-Bl ock，HTTP-Bl ockに つ い て 行 っ た ． DNS-Blockは ，Firewall に53/ UDP通 信 を 棄 却 す る ル ー ル を 設 定 し た ．IRC-Bl ockは ，IRCで 利 用 す る Port と 指 令 サ ー バ IP へ の 通 信 を 棄 却 す る ル ー ル を 設 定 し た ．HTTP. exe-Block は ， マ ル ウ ェ ア 配 布 サ ー バ の IP ア ド レ ス を 棄 却 す る ル

ー ル を 設 定 し た ． 尚 ， 実 行 し た マ ル ウ ェ ア が ア ク セ ス し た マ ル ウ ェ ア 配 布 サ ー バ は 複 数 存 在 し た た め ， そ の 全 て へ の ア ク セ ス を 棄 却 す る ル ー ル と ，50%を 棄 却 す る ル ー ル ， 残 り の 50%を 棄 却 す る ル ー ル の 3パ タ ー ン を 適 用 し た ．

図 4. 安 全 性 と抑 制 を考 慮 したネットワーク

4.2. マルウェア通 信 活動の抑 制実 験の結 果

2009年9月4日 現 在 で ，10 個 のCCCマ ル ウ ェ ア 検 体 の う ち ，図4の ネ ッ ト ワ ー ク 上 で 指 令 ･ 配 布 フ ェ ー ズ 以 降 へ と 通 信 シ ナ リ オ が 展 開 し た 検 体 は 5個 あ り ， そ の 通 信 シ ナ リ オ は3種 類 に 分 類 さ れ た ． こ の 3種 類 の 検 体 に つ い て ，DNS -Bl ock，IRC-Bl ock，HTTP.exe-Bl ockを 個 々 に 適 用 し て 実 行 し た と き の ， 通 信 活 動 の 抑 制 の 様 子 に つ い て 観 測 し た ． そ の 結 果 を 表 3に 示 す ．

表 3. マルウェア通 信 活 動 の対 策 と抑 制 の程 度

【DNS-Bl ock】

全 て の 検 体 に お い て ， 指 令 ･配 布 サ ー バ へ の DNS 名 前 解 決 を ブ ロ ッ ク す る と ， そ の 後 の 指 令 ･配 布 フ ェ ー ズ と 攻 撃 フ ェ ー ズ の 全 て を 抑 制 で き る こ と が わ か る ．よ っ て ，DNS名 前 解 決 を 伴 う マ ル ウ ェ ア に 対 し て は ， 悪 性 ホ ス ト リ ス ト を 用 い た DNS-Bl ockを 施 す こ と で ，通 信 活 動 を 効 果 的 に 封 じ 込 め る こ と が で き る ．

【IRC-Bl ock】

検 体 AとBに つ い て は ，指 令 サ ー バ へ の IRC 接 続 を 繰 り 返 し 試 み る た めIRCパ ケ ッ ト は 増 加 す る が ， そ の 後 の HTTP通 信 に よ る コ ー ド 取 得 や ス パ ム メ ー ル 送 信 ，他 ホ ス ト 探 索 が 停 止 す る ． 検 体 Cに つ い て は ，IRC-Bl ock は 効 果 を 発 揮 し な い こ と が わ か る ．

【HTTP.exe-Bl ock】

検 体 A に つ い て は ，HTTP.exe 100%Bl ock と HTTP.exe 50%Bl ock(1)で は ， ス パ ム メ ー ル 送 信 と 他 ホ ス ト 探 索 が 停 止 し て い る ． し か し ， HTTP.exe 50％ Bl ock(2)で は ，ス パ ム メ ー ル 送 信 と 他 ホ ス ト 探 索 を 担 う 検 体 の 取 得 に 成 功 し た こ と が 推 測 さ れ ， 本 来 の 通 信 活 動 を 取 り 戻 し て い る ． こ の こ と よ り ， ス パ ム メ ー ル の 宛 先 や 本 文 は ，IRC 通 信 で は な く ， 検 体 中 に ハ ー ド コ ー デ ィ ン グ さ れ て い る こ と が わ か る ．検 体Bに つ い て は ，HTTP.exe-Bl ockに よ っ て ，新 た な 検 体 の 取 得 を 阻 止 し て も ， 実 行 さ れ た 検 体 自 体 が Out445/ TCP攻 撃 ま で 行 う た め ，通 信 活 動 の 抑 制 に は 寄 与 し な い ．検 体 Cに つ い て は ，HTTP.exe 100%Bl ock と HTTP.exe 50%Bl ock(1)で は ， Out445/ TCP Scan を 抑 制 で き て い る ． し か し ， HTTP.exe 50%Bl cok(2)で は ，Out445/TCP Scanを 担 う マ ル ウ ェ ア を 取 得 で き た も の と 推 測 さ れ ， 通 信 活 動 を 抑 制 で き な か っ た ．

4.3. 考 察

DNSで 名 前 解 決 を 行 う 検 体 に 対 し て は ，悪 性 ホ ス ト リ ス ト を 用 い たDNS-Bl ock方 式 が ，指 令 ･ 配 布 フ ェ ー ズ と 攻 撃 フ ェ ー ズ の 全 て を 抑 制 で き る た め ， 最 も 効 果 的 な 方 式 で あ る こ と が わ か っ

た ． 指 令 フ ェ ー ズ を 持 つ 検 体 に つ い て は ， 悪 性 ホ ス ト リ ス ト を 用 い た IRC-Bl ock方 式 を 適 用 す る こ と で ， そ の 後 の 配 布 フ ェ ー ズ や 攻 撃 フ ェ ー ズ を 効 果 的 に 抑 制 で き る こ と も わ か っ た ．ま た ， 悪 性 ホ ス ト リ ス ト に よ る WAN や プ ロ キ シ に よ るHTTP.exe-Bl ock 方 式 で は ，多 数 の 配 布 サ ー バ の う ち ， ス パ ム メ ー ル 送 信 や 外 部 攻 撃 を 担 う マ ル ウ ェ ア の 配 布 を 阻 止 で き た 場 合 に の み ， 通 信 活 動 の 抑 制 が 期 待 さ れ る ． よ っ て ， 新 た な マ ル ウ ェ ア 配 布 を 阻 止 す る 悪 性 ホ ス ト リ ス ト の 網 羅 性 を 高 め る 必 要 が あ り ， 効 果 に は 疑 問 が 残 る ． 5. お わ り に

本 論 文 で は ，CCC攻 撃 通 信 デ ー タ か ら ，マ ル ウ ェ ア の 通 信 要 素 と 通 信 シ ナ リ オ に 関 す る 調 査 を 行 い ， そ の 傾 向 を 把 握 し た ． ま た ， 通 信 シ ナ リ オ を 進 展 さ せ な い ネ ッ ト ワ ー ク 側 で の 対 策 を 提 案 し ，CCCマ ル ウ ェ ア 検 体 を 安 全 な 環 境 で 実 行 さ せ た と き の 通 信 活 動 の 抑 制 の 効 果 に つ い て 評 価 を 行 っ た ．そ の 結 果 ，DNSで 悪 性 ホ ス ト の 名 前 解 決 を 阻 止 す る 手 法 が 最 も 効 果 的 に マ ル ウ ェ ア の 通 信 活 動 を 抑 制 で き る こ と が わ か っ た ．

文 献

[1] Jan Goebel, “Rishi : identi fy bot contaminated hosts by IRC ni ckname evaluati on,” USENIX, Proc. of HotBots’2007, Apr., 2007.

[2] Ping Wang, Sherri Sparks, and Cli ff C. Zou,

“An Advanced Hybrid Peer-t o-Peer Botnet,”

USENIX, Proc. of HotBot s’2007, Apr., 2007.

[3] Guofei Gu, Junjie Zhang, and Wenke Lee,

“BotSni ffer: Detecting botnet command and control channel,” Internet Societ y, Proc. of NDSS 2008, Feb. 2008.

[4] Guofei Gu, Phillip Porras, Vinod Yegneswaran, Martin Fong, and Wenke Lee,

“BotHunter: Detecting Mal ware Infecti on Through IDS-Dri ven Dial og Correlati on,”

USENIX, Proc. of 16^th USENIX Securit y Symposium, 2007.

[5] 阿 部 義 徳, 田 中 英 彦, “C&C セ ッ シ ョ ン 分 類 に よ る ボ ッ ト ネ ッ ト の 検 出 手 法 の 一 検 討”, 情 処, FIT2007, L-033, 2007年9月 ． [6] BotHunter: http:// www.bot hunter.net/

[7] DNSBL: http://www.dnsbl.info/

[8] OP25B連 絡 会: http:// www. op25b.jp/isp/

[9] OpenDNS: http:// www. opendns. com/

[10] 畑 田 充 弘, 中 津 留 勇, 寺 田 真 敏, 篠 田 陽 一,

"マ ル ウ ェ ア 対 策 の た め の 研 究 用 デ ー タ セ ッ ト と ワ ー ク シ ョ ッ プ を 通 じ た 研 究 成 果 の 共 有"， 情 処, MWS2009, 2009年10月 ． [11] 酒 井 崇 裕 ，竹 森 敬 祐 ，安 藤 類 央 ，西 垣 正 勝 ，

“ 侵 入 挙 動 の 反 復 性 に よ る ボ ッ ト 検 知 方 式 ”， 情 処, MWS2009, 2009年10月 ． [12] MalwareDomainList :

http://www. malwaredomai nlist.com/