Recommended
More Related Content
What's hot
What's hot (20)
Similar to 初めて解析したマルウェアはMIPSアーキテクチャ
Similar to 初めて解析したマルウェアはMIPSアーキテクチャ (14)
初めて解析したマルウェアはMIPSアーキテクチャ
- 4. ・自分の書いたプログラムを逆アセンブル ・Linuxカーネルルートキットのソースコードを読む 今回初めて本物のマルウェア解析に挑戦！ 基礎が全くない人間なので, 低いレベルから始めてみようと 略歴
- 5. 現在, 産業システム向けセキュリティをやってます. (工場, 発電所, ビル etc.) 略歴 ぜひ情報交換させてください！ 私の組んだ産業システム機器⇒
- 7. https://blog.talosintelligence.com/2018/05/VPNFilter.html VPNFilter ・Modbus-Sniffing Plugin ・Tor Plugin TALOS ブログより この2つのPluginのハッシュ値がブログに.
- 14. MIPS MIPSで関数を呼び出すとき jalr t9 t9の中身のアドレスの関数を呼び出す 関数を呼び出すたびにt9値を計算する必要あり x64と比較して, 非常にめんどくさい… MIPSはバイナリが綺麗だから, アセンブリ初学者に 向いていると聞いたことがある
- 15. radare2 Radare2: CUIベースの逆アセンブラ的なもの(OSS). 今まで複雑なバイナリを解析することがほとんど無かった 基本的にGDBだけで全て済ませていたが, 今回は諦めてradare2を使用 こんな風に見えるイメージ 参考 IDA Pro ¥20万超
- 17. radare2 赤字が計算結果. 【pc=0xffffffff】あれ？？ 0xffffffff？？ 関数の呼び出しが何個かあると, 後ろの方の呼び出し先アドレスは 計算がエラーになる.
- 18. radare2 Radare2 ⇒ IDA Pro 課題1：Call先のアドレスを確認できない. お金IDA Proが解決してくれました
- 21. MIPS x64とは異なる特殊?な動きがある. x64 MIPS add rax, 5 push rax call 0x555555554560 xor rax, rax addiu a0, 5 jalr t9 sub a1, 1 move a0, 0
- 22. MIPS x64とは異なる特殊?な動きがある. x64 MIPS add rax, 5 push rax call 0x555555554560 xor rax, rax addiu a0, 5 jalr t9 sub a1, 1 move a0, 0 ① ② ③ 遅延スロットというもの
- 23. MIPS 課題3: MIPSが難しい ⇒ 自分で書いて動かしてみると捗る QtSpim: MIPSシミュレータ インラインアセンブラ
- 24. Stripped & Statically linked VPNFilterは, 静的リンクかつシンボルテーブルが削除されている(Stripped) ELF 関数名が分からない int main(void) { puts(“Hello World”); return 0; } 例えば右の様に簡単なバイナリでも “puts”を読んでいる事が分からない. 標準ライブラリ関数“puts”の中身を読んで これ“puts”っぽいなと推測しなければならない. ここが一番大変 (Winodwsバイナリの場合は関数名を表示してくれたのに…)
- 25. Stripped & Statically linked 課題4: ライブラリ関数が判別できない Crosstool-ng: 様々なアーキテクチャ対応クロスコンパイラ(ライブラリも利用可) bindiff(IDA Pro Plugin): バイナリの類似度から関数名を推測 結果, 膨大な数の関数の内, 正しく関数名を提示できたのは数個 マルウェア製作者と同じ環境を用意して比較できれば… 本当は良いやり方があるのかもしれませんが, 現状有効性ほぼ無し
- 26. Stripped & Statically linked 課題4: ライブラリ関数が判別できない では, 解析を進めたか ライブラリ関数っぽくても地道にアセンブリを読んでいくしかなかった コツ ・システムコールから同定していく ・引数, 返り値から推測する ・クロスリファレンスを確認し, 呼び出し回数が多いとライブラリ関数っぽい
- 29. Blog記事 ここにフロー図の間違いが あることを発見！ ▼メインの機能 CmdLineで指定したIP addresが宛先 となるModbus通信を盗聴. ▼502番以外のBasicAuthに着目 502番以外のTCP通信の場合には BasicAuthの認証情報を盗むらしい if (DstPort != 502) { sniffing BasicAuth credential }
- 30. DstPort==502 DstPort!=502 DstIP==argv[2] DstIP!=argv[2] If(DstIP==argv[2]) goto sniffing BasicCredential Goto recvfrom() IDA
- 31. 実際のフロー Blog記事
- 32. 502番以外のTCP通信であっても, CmdLineで指定したIP addresが宛先 となる通信の認証情報は盗まない. ▼502番以外のBasicAuthに着目 if (DstPort != 502) { if (DstIP == argv[2]) “Sniffingしない” else sniffing BasicAuth credential } 実際のフロー 502番以外のTCP通信の場合には BasicAuthの認証情報を盗むらしい
- 33. 502番以外のTCP通信であっても, CmdLineで指定したIP addresが宛先 となる通信の認証情報は盗まない. ▼502番以外のBasicAuthに着目 if (DstPort != 502) { if (DstIP == argv[2]) “Sniffingしない” else sniffing BasicAuth credential } 実際のフロー 502番以外のTCP通信の場合には BasicAuthの認証情報を盗むらしい
- 34. 実は今回, Black Hat USA & DEF CONに参加してきました.
- 39. ▼逆アセンブラ IDA Pro Plugin: BinDiff/fluorescence/mipslocalvars Radare2 コマンド抜粋: e asm.emu=true aer gp=<hex> (gpの値はreadelfで確認しておく) ar gp (aerでセットした値を確認) aaaa ▼実行環境 Qemu GDB ▼コンパイラ Crosstool-ng - mips-unknown-elf/mips-unknown-linux-uclibc 使用したツール抜粋 Plugin解析では使用しなかったが, DecompilerのRetDecを使用すると Switch文などの分岐の確認では便利かも. RetDec IDA pluginを使ってみたい