Drive-by Download攻撃を仕掛ける悪性Webサイトに誘導するように改ざんされた一般のWebサイトの探索

セキュリティ・キャンプアワード 2017

Transcript

1. Drive-by Download攻撃を仕掛ける 悪性Webサイトに誘導するように 改ざんされた一般のWebサイトの探索 RINTARO KOIKE
2. Who am I Rintaro KOIKE ◦ Meiji University B3 ◦ kikn lab ◦ TomoriNao ◦ Jinkai ◦ Server Side Engineer 2
3. 研究背景 ◦ Webサイトの改ざんが多発 ◦ WordPress 4.7.0, 4.7.1の脆弱性 ◦ http://www.ipa.go.jp/security/ciadr/vul/20170206-wordpress.html ◦ IPAの注意喚起 ◦ 学術組織を狙ったウェブサイト改ざんに注意 ◦ http://www.ipa.go.jp/about/press/20170227.html ◦ JC3の情報提供 ◦ RIG-EK改ざんサイト無害化の取組 ◦ https://www.jc3.or.jp/topics/op_rigek.html 3
4. 研究背景 ◦ 様々な情報が公開 ◦ 警察庁 ◦ ウイルス感染を目的としたウェブサイト改ざんの対策について ◦ https://www.npa.go.jp/cyber/policy/index.html ◦ 日立 ◦ Rig Exploit Kitを使用したマルウェア感染拡大への対応 ◦ http://www.hitachi.co.jp/hirt/publications/hirt-pub17003/ ◦ ラック ◦ ラック、JC3が取り組む日本の改ざんサイトの無害化活動に参加 ◦ https://www.lac.co.jp/lacwatch/report/20170202_001203.html 4
5. 研究背景 ◦ 様々な情報が公開 ◦ トレンドマイクロ ◦ 「見るだけで感染」する脆弱性攻撃サイトの国内状況 ◦ http://blog.trendmicro.co.jp/archives/14420 ◦ IBM ◦ Rig Exploit Kitによるドライブ・バイ・ダウンロード攻撃の検知状況 ◦ https://www.ibm.com/blogs/tokyo-soc/rig-exploit-kit/ ◦ NTTセキュリティ ◦ RigEKのホストマップ ◦ https://twitter.com/NTTSec_JP/status/824818691413987329 5
6. 実際にRig EKのようなEKへ誘導する Webサイト（Compromised site）に 遭遇したことがある人はいますか？ 6
7. 騒がれてるけど 実際にそんなサイトって しょっちゅうあるのか？？ 7
8. 研究目的 ◦ Compromisedなサイトを探す ◦ どのようにすれば探すことが出来るのか調査する ◦ 調査対象のURLの収集 ◦ どのようなURLを調査対象とするのか ◦ そのURLはどうやって集めるのか ◦ 解析方法 ◦ Compromisedなサイトの特徴はどのようなものがあるか ◦ CampaignやEKに関する情報を収集 8
9. 実験 期間 ◦ 2月4日～2月24日 環境 ◦ アメリカ ◦ Azure ◦ 日本 ◦ Azure ◦ さくらのクラウド ◦ 研究室 9
10. 実験 ◦ 実際にCompromisedなサイトを探す ◦ 攻撃者はどのようなサイトをCompromisedなサイトに選ぶのか ◦ 改ざん出来る脆弱性が存在する ◦ 脆弱性があるサーバを探索する ◦ 既存手法があるし, 実装も大変そうなので今回はなし 10
11. 実験 ◦ 実際にCompromisedなサイトを探す ◦ 攻撃者はどのようなサイトをCompromisedなサイトに選ぶのか ◦ 多くの人がアクセスする ◦ サイトを改ざんしてもアクセスしてもらわないと意味がない ◦ 多くの人がアクセスするようなサイトを改ざんするのでは？ ◦ アクセス数が多いサイト ◦ Alexa Top 1 Million ◦ URLをユーザがアクセスし易い場所に放流する ◦ メール ◦ 多くのスパムメールを手に入れるのは大変そう ◦ Twitter ◦ Tweet内のURLは気軽に開く人多いかも 11
12. 実験 プログラム ◦ tomori ◦ Twitterのstatuses/sampleを使ってURLを収集する ◦ ayumi ◦ Alexa Top 1 Millionのドメインにhttp://を追加してURLとする ◦ 解析フィルタはtomoriもayumiも共通 ◦ tomoriとayumiでどれくらいCompromisedなサイトが検知出来るか ◦ 検知出来た場合, どのような情報が得られるか ◦ Campaign, EK, 脆弱性など ◦ tomoriとayumiの結果はどのような違いがあるか ◦ どちらのほうがCompromisedなサイトを探索するのに適しているか 12
13. 実装 解析フィルタ ◦ シグネチャマッチング ◦ 実装が楽で, 分かりやすい ◦ CampaignとEKに分けてフィルタ ◦ Campaign ◦ Afraidgate ◦ EITest ◦ Fake Chrome Popup ◦ pseudoDarkleech ◦ C1～4 ◦ EK ◦ Rig EK 13
14. 実装 解析フィルタ ◦ Afraidgate ◦ 特徴 ◦ MaliciousなJSを読み込むscriptタグがinjectされる ◦ JS自体はpseudoDarkleechのinjectコードに類似 ◦ JSを置いてるサーバのドメインのNSがafraid.org ◦ 結局遭遇しなかったのでよく分からない ◦ フィルタ内容 ◦ scriptタグで読み込まれているJSファイルのドメインのNSがafraid.orgかどうか ◦ JS内にiframeを組み立てるような処理があるか 14
15. 実装 解析フィルタ ◦ EITest ◦ 特徴 ◦ bodyタグの閉じタグの直前にbodyタグを開いて閉じるコードがinjectされる ◦ JSを使って動的にiframeを組み立てるようなコードがinjectされる ◦ injectされたコードによってサイトの描画に影響が出ることは基本的にない ◦ フィルタ内容 ◦ bodyタグの閉じタグの直前にbodyタグを開いて閉じるコードがあるか ◦ iframeを動的に組み立てるようなコードが存在するか 15
17. 実装 解析フィルタ ◦ Fake Chrome Popup ◦ 特徴 ◦ Chromeのポップアップを模したものが表示される ◦ フィルタ内容 ◦ 特徴的なChromeのポップアップコード ◦ C1～4 ◦ iframeのURLの末尾がhits? ◦ bodyタグを閉じた直後にiframeタグが存在する ◦ iframeのURLが18001ポート ◦ iframeのURLの末尾が.biz/1 17
18. 実装 解析フィルタ ◦ pseudoDarkleech ◦ 特徴 ◦ spanのtop値が異常で, iframeタグがそれに挟まれているコードがinjectされる ◦ injectされたコードによってサイトは正常に描画が行われない ◦ injectコードの末尾が<noscript> ◦ フィルタ内容 ◦ spanタグのtop値が大きなマイナス 18
20. 実装 解析フィルタ ◦ Rig EK ◦ 特徴 ◦ biwやtuifなど特徴的なURLパラメータを持つ ◦ QMvXcJなどの特定の文字列をURLパラメータに含む ◦ フィルタ内容 ◦ URLパラメータ ◦ 特定の文字列の有無 20
21. 実装 1. フィルタに掛かった場合はサイトの情報をGistに送信 2. そのGistページのURLとフィルタの情報をSlackに投稿 3. 目視で判断し, 明らかにCompromisedなサイトだった場合は報告 ◦ Google SafeBrowsing ◦ JPCERT ◦ 影響度の高いそうなもの（政府機関のサイトなど） 21
22. 実験結果 総アクセス数 検知数 誤検知数 tomori 1,420,920 69 8 ayumi 1,306,675 190 22 2,727,595 259 30 Pseudo Darkleech EITest Fake Chrome Popup etc tomori 59 2 0 0 ayumi 143 24 1 0 ※ユニーク数ではない 22
23. 実験結果 ◦ Twitter上にCompromisedなサイトのURLは流れている ◦ そんなに数が多いわけではない ◦ 同じサイトのURLが継続的に何度も流れる ◦ 検知数的には少ないが, 実際には多くの人がアクセスしたのかもしれない ◦ Tweet内容は一般的なもの ◦ サイトの運営者などがいつも通りtweetしたものが殆ど ◦ URLを見ただけだとCompromisedなサイトかどうか絶対に判断出来ない ◦ Alexaのtop 1 millionを使うとたくさん検知出来る ◦ 政府機関のサイトからアダルトサイトまで, 幅広く改ざんされている ◦ ランキング下位のサイトのほうが改ざんされている数が多い 23
24. 実験結果 Campaignについて ◦ pseudoDarkleech ◦ 他のCampaignより圧倒的に検知数が多い ◦ 一部のVPSのIPを弾く ◦ Azureはダメ ◦ Rig EKのみが使われている ◦ 降ってくるランサムウェアはCerber ◦ Noscriptタグが末尾に付いているので, maliciousかすぐに分かる ◦ スクリプトのinject位置はhtmlタグの直前か, bodyタグの直前 ◦ コンテンツのデータより先 24
25. 実験結果 Campaignについて ◦ pseudoDarkleech ◦ 同じIPで2回以上アクセスすると500を返す ◦ 同じIPで多くのCompromisedなサイトにアクセスすると, 改ざんされてない正常なページを返す ◦ IPを1日に2回くらい変えないとダメ ◦ アクセス数なのか, 時間なのか分からないけど ◦ 2週間に2,3日程度, パッタリと姿を消すことがある ◦ 暫くするとまたinjectされるようになる 25
26. 実験結果 Campaignについて ◦ EITest ◦ 日本からアクセスしてもinjectされない ◦ 特定の国のIPじゃないとダメ？ ◦ Azureでアメリカのインスタンスを立てて運用していたが, そこだと検知する ◦ 検知数は少ない ◦ 2月初旬にはSundown EKを使っていることもあったが, 徐々に割合が減り, 今は全てRig EK ◦ 降ってくるマルウェアはCryptoShield2やDreambotなど ◦ スクリプトのinject位置はbodyが閉められた直前 ◦ コンテンツの描画に影響を与えないので, パッと見ただけだと分からない ◦ 連続で同じIPで2回以上アクセスすると, 正常なページを返す 26
27. 実験結果 EKについて ◦ Rig EK ◦ URL ◦ 特徴的なパラメータを持つ ◦ q, oq, ct, biw, tuif, yus, br_fl, word ◦ パラメータの変化をリアルタイムで追えた ◦ 不定期に変わるので, パラメータ名に依存する検知手法はオススメしない ◦ 特定の文字列を含む ◦ qパラメータにQMvXcJという文字列を含む ◦ 不定期に変化する ◦ パラメータ名が変わってもこのシグネチャは変化しないことがある 27
28. 実験結果 全般的なこと ◦ CompromisedサイトはWordPressを使っているところが多いが Joomla!やDrupalもそれなりに多い ◦ pseudoDarkleechの被害にあっているサイトは 古いバージョンのCMSやプラグインを使っていることが殆ど ◦ CMSやプラグインの脆弱性を利用されているのでは？ ◦ CMSやプラグインなどシステム全体をセキュアに保つのは一般人には難しい ◦ EITestの被害にあっているサイトは 最新のCMS（WordPress 4.7.3など）を使っているサイトがそれなりにある ◦ パスワード等が脆弱？ 28
29. まとめ ◦ Twitter上にCompromisedなサイトのURLは流れている ◦ それほど多いわけではない ◦ Alexaのtop 1 millionを使ったほうが見つけやすい ◦ 当初思っていたよりも遥かにたくさんのサイトが改ざんされていた 29
30. まとめ ◦ Drive-by Download攻撃が成立するには3つの要素が必要 ◦ 脆弱なWebサイト ◦ 常に意識してシステム全体をセキュアに保つしかない ◦ 脆弱なユーザ ◦ ブラウザ等のアップデートを強制するべき ◦ 脆弱なサイトへのアクセス経路 ◦ セキュリティソフトやGoogle SafeBrowsingなどでアクセスを遮断すべき ◦ いち早くCompromisedなサイトの情報を得られるように ◦ 本システムの規模拡大, 高速化, 精度向上していきたい ◦ 個人の趣味で運用するにはコストが大き過ぎる 30
31. まとめ ◦ CampaignやEKの流行や傾向, 特徴を 素早くキャッチアップしていく必要がある ◦ 最新の情報を得るために他のエンジニアと協力することも ◦ 他のセキュリティエンジニアとの良好な関係を築くことが重要 ◦ 静的解析だけでは得られる情報に限界がある ◦ どういうペイロードなのか ◦ どういうマルウェアが降ってくるのか ◦ 動的解析環境を実装することが今後の目標 ◦ pcapとか取れるようにしたい 31
32. Appendix 実験で使ったコードの殆どはGitHubに公開している ◦ https://github.com/koike/tomori ◦ https://github.com/koike/ayumi ◦ 公開した2時間後くらいに@inaz2さんからPRが来た ◦ ミュンヘン工科大学の生徒から実装について質問のメールが来た 実験で得られた情報はTwitterで共有している ◦ https://twitter.com/nao_sec ◦ 公開した情報は好きに使ってもらっていいが ちょこっと@nao_secって書いてもらえると喜びます 32
34. Appendix 世界中のセキュリティエンジニアと情報を共有 ◦ Malware Traffic Analysis ◦ http://malware-traffic-analysis.net/2017/02/22/index.html ◦ http://malware-traffic-analysis.net/2017/02/27/index.html ◦ http://malware-traffic-analysis.net/2017/02/28/index.html ◦ Malware Breakdown ◦ https://malwarebreakdown.com/2017/02/16/eitest-leads-to-rig-v-ek-at-185-159-130-122-ursnif-variant-dreambot/ ◦ https://malwarebreakdown.com/2017/02/26/eitest-leads-to-rig-v-ek-at-217-107-34-241-and-drops-dreambot/ ◦ https://malwarebreakdown.com/2017/02/28/eitest-leads-to-rig-ek-at-188-225-36-251-ek-drops-cryptoshield-2-0- ransomware/ ◦ Broad Analysis ◦ http://www.broadanalysis.com/2017/02/27/rig-exploit-kit-via-the-eitest-delivers-cryptoshield-ransomware-2/ 34
35. 35 http://www.malware-traffic-analysis.net/2017/02/23/index.html
36. Appendix 新たなEKが誕生しては消えていき… Nebula EK http://malware.dontneedcoffee.com/2017/03/nebula-exploit-kit.html 36
37. Appendix 37 https://malwarebreakdown.com/2017/03/10/finding-a-good-man/
38. 参考文献 ◦ 学術組織を狙ったウェブサイト改ざんに注意（IPA） ◦ http://www.ipa.go.jp/about/press/20170227.html ◦ RIG-EK改ざんサイト無害化の取組（JC3） ◦ https://www.jc3.or.jp/topics/op_rigek.html ◦ ウイルス感染を目的としたウェブサイト改ざんの対策について（警察庁） ◦ https://www.npa.go.jp/cyber/policy/index.html ◦ Rig Exploit Kitを使用したマルウェア感染拡大への対応（日立） ◦ http://www.hitachi.co.jp/hirt/publications/hirt-pub17003/ ◦ ラック、JC3が取り組む日本の改ざんサイトの無害化活動に参加（ラック） ◦ https://www.lac.co.jp/lacwatch/report/20170202_001203.html ◦ RigEKのホストマップ（NTTセキュリティ） ◦ https://twitter.com/NTTSec_JP/status/824818691413987329 38
39. 参考文献 ◦ 「見るだけで感染」する脆弱性攻撃サイトの国内状況（トレンドマイクロ） ◦ http://blog.trendmicro.co.jp/archives/14420 ◦ Rig Exploit Kitによるドライブ・バイ・ダウンロード攻撃の検知状況（IBM） ◦ https://www.ibm.com/blogs/tokyo-soc/rig-exploit-kit/ ◦ Malware Traffic Analysis ◦ http://www.malware-traffic-analysis.net/ ◦ Malware Breakdown ◦ https://malwarebreakdown.com/ ◦ Campaign Evolution: pseudo-Darkleech in 2016（paloalto networks） ◦ http://researchcenter.paloaltonetworks.com/2016/12/unit42-campaign-evolution-pseudo-darkleech-2016/ ◦ Campaign Evolution: EITest from October through December 2016（paloalto networks） ◦ http://researchcenter.paloaltonetworks.com/2017/01/unit42-campaign-evolution-eitest-october-december-2016/ 39
40. Any Questions?