[CB16] 「ネットバンキングウイルス無力化作戦」の裏側と高度化する金融マルウェア by 高田一樹

Copyright© 2016 SecureBrain Corporation, All rights reserved.Copyright© 2016 SecureBrain Corporation, All rights reserved.
「ネットバンキングウイルス無力化作戦」の裏側
と高度化する金融マルウェア
2016.10.20 - 21
CODE BLUE 2016
株式会社セキュアブレイン
高田一樹

http://www.securebrain.co.jpCopyright© 2016 SecureBrain Corporation, All rights reserved. http://www.securebrain.co.jpCopyright© 2016 SecureBrain Corporation, All rights reserved.
自己紹介
• 名前高田一樹
• 所属株式会社セキュアブレイン
• お仕事ソフトウェアエンジニア
 ソフトウェア開発が本業
 開発の傍らリサーチ (最近逆転気味)
1

背景
2

Question
3
この数字は？
3073000000

Answer
4
2015年中のインターネットバンキングに関わる
不正送金の被害額
3,073,000,000
https://www.npa.go.jp/cyber/pdf/H280303_banking.pdf

日本における不正送金被害額
5
2013年 2014年 2015年
29億1000万円
30億7300万円
14億600万円

IPA 情報セキュリティ10大脅威 2016
• 総合的な10大脅威の第1位に
6

ネットバンキングウィルス無力化作戦の概要
7

ネットバンキングウィルス無力化作戦
8
http://www.keishicho.metro.tokyo.jp/haiteku/haiteku/haiteku504.htm

ネットバンキングウィルス無力化作戦
9
感染PC
C&Cサーバ
警視庁
無力化情報
を配布
金融機関
正規サーバ
安全に利用可能

標的は、
『VAWTRAK』
10
https://www.flickr.com/photos/arenamontanus/2125942630
※別名Neverquest, Snifulaなど

VAWTRAK
11

What’s VAWTRAK ?
• 2014年に、日本で流行
• MITB攻撃で、通信内容を改ざんする
– IE, Firefox, Chrome等のブラウザにInjectionして動作する
• オンラインバンキングでの取引において
– ログイン情報・認証情報の詐取
– 半自動不正送金
を行う
12

MITB攻撃とは
13
MITB
Man In The Browser
ブラウザ
VAWTRAK
感染PC
Injection サイト改ざん
偽画面の表示…etc
Webサーバ

何が起きているのか？
14
VAWTRAK
ユーザPC
レジストリ
感染
コンフィグ情報
C&Cサーバマニピュレーション
サーバ
金融機関
正規サーバ

15
VAWTRAK
ユーザPC
<html>
<head>
<title>Internet Banking</title>
コンテンツのリクエスト
Injection
<script src=“….”>
正規コンテンツ
サーバ
金融機関
正規サーバ

16
VAWTRAK
ユーザPC 不正JavaScriptのリクエスト
不正JavaScriptの本体を取得・実行
<html>
<head>
<title>Internet Banking</title>
<script src=“….”>
サーバ
金融機関
正規サーバ

17
VAWTRAK
ユーザPC
暗証番号の入力
送信
ユーザ情報の送信
*******
サーバ
金融機関
正規サーバ

無力化作戦
18

http://www.securebrain.co.jpCopyright© 2016 SecureBrain Corporation, All rights reserved. http://www.securebrain.co.jpCopyright© 2016 SecureBrain Corporation, All rights reserved. 19
協力するきっかけ

半自動不正送金
20
ABCダイレクト
メインメニュー
Copyright ABC Bank Co.,Ltd All Right Reserved
お客様番号
ワンタイムパスワード
プログレスバーでユーザ操作を抑止する間に
感染PC自身から振り込みの手続きが行われる

リクエストフロー
21
感染PC
ログイン操作
銀行サーバマニピュレーションサーバ
ログイン情報
ログイン処理
ログイン画面
アカウント情報画面
残高情報を盗聴残高情報
送金先情報&送金額
送金手続き処理
プ
ロ
グ
レ
ス
バ
ー
必要に応
じてOTP
等の入
力画面を
表示
http://www.slideshare.net/MasataNishida/avtokyo2014-obsevation-of-vawtrakja

不正JavaScriptと同じリクエストを送ると…
22
送金先口座情報
送金額(上限/下限)

警視庁との情報連携
• マニピュレーションサーバとの通信実験で得られた送金先口
座情報を警視庁に情報提供
• 不正利用されている口座を閉塞し、不正送金を未然に防ぐ
23
警視庁と相互協力協定を結ぶ

警視庁との連携
• 警視庁では、C&Cサーバのドメインを入手
• ドメインは、正規の手続きで入手
• 入手したドメインを利用し、VAWTRAKの通信を監視
• 世界で8万2000台、うち国内では4万4000台の感染端末を特定
24
ドメインを利用し、VAWTRAKに対し無力化情報を
送信するサーバ構築を検討

技術概要
25
感染PC
C&Cサーバ
警視庁
無力化情報
を配布
金融機関
正規サーバ
安全に利用可能
無力化情報を生成
するツールの提供
ドメインを入手し管理下に

技術分担
警視庁
• C&Cサーバを管理下に置き、コンフィグ情報を配信する環境
を構築・運用
• 評価
セキュアブレイン
• 解読技術を用いて、コマンドおよびコンフィグ情報を生成する
ためのツールを開発する
• 無力化すると考えられるコンフィグ情報の解明
26

無力化技術の開発
27

無力化に利用可能なVAWTRAK(BOT)の特徴
28
C&Cサーバ
感染PC
1分毎にC&C
サーバにPolling
有効なコマンドを返却する
と他のC&Cサーバへは通
信に行かない

コマンド
20種類のコマンドを特定
• コンフィグ情報指定
• ファイルのダウンロードと実行
• システムの終了
• Cookieの窃取
• 証明書ストアの窃取
• Socksサーバ起動, 終了
• VNCサーバ起動, 終了
• 検体のUpdate
• レジストリの操作 ...etc
29

30
マニピュレーションサーバへ接続する
ための書き換え情報
解読したコンフィグ情報
攻撃対象URL
挿入するコード

コンフィグの構成要素
31
名称意味
inject type インジェクションの種別
browser 対象ブラウザ
pattern match URLのパターンマッチ種別
URL 対象URL
string2 条件文字列
string3 置換文字列
string4 挿入する文字列

inject type
18種類の種別を特定
• 通信終了
• スクリーンキャプチャ
• 前に挿入
• 後ろに挿入
• URL置換
• ホスト置換
• 文字置換...etc
32

browser / pattern
ブラウザ
Internet Explorer
Firefox
Chrome
33
browser
種別意味
strstr strstr関数
strcmp strcmp関数
regexp 正規表現
pattern

もう一度、コンフィグ情報を見返してみる

35
種別意味
inject type insert before
browser IE, Firefox, chrome
URL 対象URL(正規表現)
string3 -
string4 挿入されるJavaScript

36
種別意味
inject type replace URL
browser IE, Firefox, chrome
URL 対象URL
string3 置換URL
string4 -

コマンド&コンフィグ生成ツール
• 動作確認環境
– Linux系OS
– Python 2.7.x
• コマンド情報、コンフィグ情報を入力としてVAWTRAKが認識
可能なバイナリ形式のデータを出力する
• 出力データをC&Cサーバに設定し、VAWTRAKに読み込ませ
ることでコマンド、コンフィグを書き換えることが可能
37

コンフィグ生成フロー
38
Encryption process (XOR)
Raw configure data (JSON format)
CRC32 from raw configure data
Compression process (aPLib)
Encrypted configure data (Binary)

デモ
• Control of VAWTRAK
39

実験サンドボックス環境
40
Dummy
C&C Server
Mac OSX
VM Ware
Victim PC
Internet
Host machine Mac OSX 10.10
Dummy C&C Ruby 2.0 + Sinatra
Victim PC Various Windows
(After XP)
Browser Internet Explorer
Chrome
Firefox

無力化データの正体
41

無力化作戦の効果
42

考察
• 2013年中頃から拡大傾向であったVAWTRAKによる被害が
無力化作戦以降、減少。
• 警察等の行政機関が主導でテイクダウンをすることで、技術
的有効性に加えて、攻撃者の心理的ハードルが上がると考え
られる。
• ドメインを予め入手する必要があるなどの問題点がある
43

高度化する金融マルウェア
44

2016年に不正送金に多く用いられているマルウェア
45
ROVNIX
URLZONE
VAWTRAK (New)
URSNIF
別名 Cidoxなど
別名Goziなど
別名 Shiotob, Beblohbdなど
別名Neverquest ,Snifulaなど

=
不正JavaScript
ROVNIX
target 30
Group A Group B
=
不正JavaScript
URLZONE
VAWTRAK(New)
target 30

MITB攻撃の
基本的な方法は変わらない

何が変化しているのか?

ポイント
• C&Cサーバとの通信改ざん防止
– 対称鍵暗号(Serpent)で使用する共通鍵を非対称鍵暗号(RSA-2048)
で暗号化している
– ROVNIXでは、通信内容を署名(RSA-2048)している
• 頻繁なマルウェア本体のアップデート
– パターンマッチングでの検出がより困難
– 最新のブラウザにもInjectionが可能
• 様々な通信方式の採用
– コンフィグ情報の通信にHTTP、UDP P2Pの2つを利用している
• 不正JavaScriptの高機能化
49

不正JavaScriptの高機能化(1)
50

リクエストフロー
51
感染PC
ログイン操作
銀行サーバマニピュレーションサーバ
ログイン情報
ログイン処理
ログイン画面
送金手続き処理
決済情報の要求
セ
キ
ュ
リ
テ
ィ
ソ
フ
ト
導
入
の
偽
画
面
決済情報
必要に応
じてOTP
等の入
力画面を
表示

考察
52
通信内容の改ざん防止
通信経路の多重化
秘匿すべき情報はサーバで処理
攻撃活動を維持するためのセキュリティ強化

まとめ
53

まとめ
• 警察が主導でテイクダウンを行った事の意義は非常に大きい
• 攻撃者が攻撃方法を切り替える速度は非常に迅速であり、常
に次の対策を用意しておく必要がある
• 高度化する金融マルウェアに無力化作戦をそのまま適用する
のは難しいと考えられる
54

効率的なテイクダウンは。。。
55
https://www.flickr.com/photos/hackaday/4658391708

政府、警察、司法、企業
が連携することが不可欠

[CB16] 「ネットバンキングウイルス無力化作戦」の裏側と高度化する金融マルウェア by 高田一樹

[CB16] 「ネットバンキングウイルス無力化作戦」の裏側と高度化する金融マルウェア by 高田一樹

More Related Content

What's hot

Viewers also liked

Similar to [CB16] 「ネットバンキングウイルス無力化作戦」の裏側と高度化する金融マルウェア by 高田一樹

More from CODE BLUE

[CB16] 「ネットバンキングウイルス無力化作戦」の裏側と高度化する金融マルウェア by 高田一樹

Editor's Notes