Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

Edomae 2015 - マルウェアを解析してみよう

14,946 views

Published on

江戸前セキュリティ勉強会 - マルウェアを解析してみよう

Published in: Software
  • Be the first to comment

Edomae 2015 - マルウェアを解析してみよう

  1. 1. マルウェアを 解析してみよう 三村 聡志 / みむら (@MIMURA1133)
  2. 2. 自己紹介 • 三村 聡志 a.k.a. 親方 (@mimura1133) • Twitter : @mimura1133 • http://mimumimu.net/ • http://www.windowsinternals.moe/ • 普通の大学生やってます。 • CTF 入門者向け勉強会 “CTF for Beginners” やってます。 ( http://2014.seccon.jp ) • 絶賛就活生(M1) です。
  3. 3. マルウェア解析?
  4. 4. テーマを決めるに当たって まっちゃさん、今度の江戸前で 「マルウェア解析」って やっても大丈夫ですか ええんちゃう、 なんもないで。
  5. 5. 解析手法 • 動的解析 • マルウェアを「動」かして解析する方法 • サンドボックス上で動かして眺めたり。 • Keyword: Cuckoo Sandbox, QEMU, etc… • 静的解析 • マルウェアを動かさずに解析する方法 • 逆アセンブルして眺めたり。 • Keyword: IDA Pro, objdump, 逆アセンブル, etc…
  6. 6. 解析準備
  7. 7. 解析に必要なもの(今回使用したもの) • Windows 7 x86, x64 – Service Pack 1 • 環境によって動くモノと動かないモノが出るので合わせる • IDA Pro 6.7 • Pro 版は買うと世界が広がります。おすすめ。 • VMware Workstation • 基本的には仮想マシン上で。潤沢なメモリと一緒に。 • 折れない心 • マルウェアの解析とプレゼン作成は昨日の深夜から。
  8. 8. 解析をする環境 • 基本的には「仮想マシンの上で」 • 静的解析なら大丈夫? → その解析ソフトの脆弱性を突かれたらどうするの • 何がおすすめ? • 個人的に楽なのは Microsoft Hyper-V. • よりもっと入りたいなら QEMU. • でも VMware Workstation がベター。
  9. 9. 解析する環境 • 参考までに・・。私はこんな感じです。 • IDA Pro / Windbg / Ollydbg • Wireshark / Fiddler • API Monitor • MinGW • MAP → なお、CTF4b の実習環境は 私の解析環境の構成がベースで組まれてます。
  10. 10. さぁ解析してみよう
  11. 11. 基本的な解析の流れ • 私の場合は IDA Pro でやってます。 • 静的解析でさっと眺め (複雑な場合は動的から) • 動的で詳しいところの挙動をブラックボックス で見て、静的で追いかける。
  12. 12. 基本的な解析の流れ • 最初は分からないことだらけ • 分かったときにメモを 書いていく
  13. 13. 解析をする場合の注意点 • ネットワークは切りましょう。 • ネットワーク通信して・・というのを観察したい → グローバルIP アドレスを別のモノに。空き IP アドレス等を。 • VM 上でやるならば、万全の状態を作った上で 「スナップショット」を作りましょう • 汚した後、スナップショットに戻して ネットワークなりが戻ってしまった例をよく見ます・・。
  14. 14. 解析をする場合の注意点 • 解析ツールの検知や VM 検知をするマル ウェアがあります。
  15. 15. 解析をする場合の注意点 • これ以外にも BIOS の名前を見て “Oracle” “Vmware” “QEMU” 等の文字列を見てい る事があります。 → ただ Hyper-V の検知は、ほとんど見ない。
  16. 16. 今回使用したもの
  17. 17. 今回使用したもの • 2014年11月25日に発生した Sony Pictures Entertainment に対して 行われたマルウェアを使用しました。 • 紹介するのは下の4検体 • 760c35a80d758f032d02cf4db12d3e55 • E1864a55d5ccb76af4bf7a0ae16279ba • b80aa583591eaf758fd95ab4ea7afe39
  18. 18. 各検体がどういう動きをするか • Piyokango さんのまとめが詳しいです。 • http://d.hatena.ne.jp/Kango/20141228/1419787 781 • なぞるのは面白くないと思うので 先ほどのマルウェアを見ながら 面白そうなところだけを見ていきます。
  19. 19. 760c35a80d758f032 d02cf4db12d3e55 この検体だけは速度を落としてゆっくりと。
  20. 20. 760c35a80d758f032d02cf4db12d3e55 -i, -k, -m, -d, -w が引数として取れる • -i : 自身をサービスとして登録する • -k : (サービスとして呼び出された際に実行) → サービスとしての main() を実行 → 自身を taskhost??.exe としてコピーし それらを –w, -m, -d を付けてそれぞれ起動 → かつ MSExchangeIS サービスを停止する
  21. 21. 760c35a80d758f032d02cf4db12d3e55 • -w : usbdrbv32.sys を産み落として MBR を消す • -d : (ハードディスクをワイプするらしいですが) 該当部分の実装がないので、何もせず • -m : iissvr.exe を産み落として実行(後述) → termservice も止める
  22. 22. 760c35a80d758f032d02cf4db12d3e55 • コードは簡単に strings 等で特定出来ないよう になっている • これ、何がしたいか分かりますか?
  23. 23. 760c35a80d758f032d02cf4db12d3e55 • 面白そうなところ • 今のユーザ権限でシャットダウンできるかどうかを ちゃんと判断して処理している
  24. 24. 760c35a80d758f032d02cf4db12d3e55 • 面白そうなところ • ブートセクタをちゃんと読む処理がある(ライブラリ使用か)
  25. 25. 760c35a80d758f032d02cf4db12d3e55 • 面白そうなところ • こいつ・・・もしかして Windows 9x 対応か・・
  26. 26. b80aa583591eaf758 fd95ab4ea7afe39
  27. 27. b80aa583591eaf758fd95ab4ea7afe39 • 基本的には 760c35a80d758f032d02cf4db12d3e55 と近いコード(1つめの検体) • -n : 壁紙を書き換える
  28. 28. b80aa583591eaf758fd95ab4ea7afe39 • 壁紙の変更まで・・ • 別スレッドを作って 0x493E0 分 Sleep →その後 壁紙変更
  29. 29. b80aa583591eaf758fd95ab4ea7afe39 • Sleep(0x493E0)? → 300,000 ms. → 300 sec. → 5 minutes. その後、自身のリソースから walls.bmp を作り、 SystemParametersInfoW を使って 壁紙を変更する。
  30. 30. E1864a55d5ccb76af 4bf7a0ae16279ba
  31. 31. E1864a55d5ccb76af4bf7a0ae16279ba • iissvr.exe という名前で実行 • TCP 2332 でバックドアとして動作 • ブラウザに警告のページを出す
  32. 32. 家に帰って 解析したい人へ
  33. 33. 家に帰って解析したい人へ • VirusTotal にモノは上がってます。 • MD5 の値で照合可能 • ネットワークに繋いだ状態でやると 何がおきるか分からないのでご注意を。 • このマルウェアではないですが、 VirusShare とかでもマルウェアは手に入ります • http://virusshare.com/
  34. 34. マルウェアを 解析してみよう 三村 聡志 / みむら (@MIMURA1133)
  35. 35. ささやかな宣伝
  36. 36. 宣伝 • CTF for Beginners やりまぁす! • CTF for ビギナーズ2015横浜 with mochigoma- Beginners(2月15日) • CTF for Beginners 2015 in Hiroshima (2月21日) • 横浜の募集は月曜日から開始する予定です。 • http://2014.seccon.jp/

×