|
講演タイトル：公開サーバを狙った仮想通貨の採掘を強要する攻撃について
昨今、インターネットにおいて公開サーバを狙った仮想通貨の採掘を強要する攻撃活動が行われています。このような攻撃活動は少なくとも2017年4月から確認しており、終息の兆しは見受けられません。攻撃の観測だけでなく実際の状況として、攻撃者は数千万円単位の収入を得ていることも分かっています。
従来お金を稼ぐという目的の活動は、その手段としてバンキングトロイやランサムウェアなどが代表的でした。しかし仮想通貨の普及から、攻撃者の活動傾向に変化がありました。
仮想通貨の採掘に必要なのは単純な計算リソースです。ゆえに攻撃者は脆弱な公開サーバに対し採掘を強要させることで、金銭価値のある仮想通貨を直接かつ継続的に得ることが出来るようになりました。さらに採掘の強要行為は本質的には任意コード実行であるため、攻撃者はこれまで使われてきた攻撃コードやボットネットなど、様々な資産を流用することができます。このように、悪意を持つ者はお金を稼ぐという単純な動機で、容易に攻撃活動を実施できる現状があります。
また、攻撃者の多くは仮想通貨Moneroを採掘させています。Moneroは匿名性の高い仮想通貨として知られているものの、ウォレットアドレスを特定することにより、収入状況の確認が可能な場合があります。攻撃者の収入状況と、採掘を強要する攻撃を観測した時期や狙った脆弱性には関係が見受けられました。
本セッションでは仮想通貨の採掘を強要する活動に関して、攻撃者がどのように仮想通貨を採掘しているのかと、収入の傾向についてを調査法とあわせて紹介します。
株式会社ラック 西部 修明
2015年に株式会社ラック入社。セキュリティセンターJSOCのアナリストとしてリアルタイムセキュリティ監視、インシデント分析に従事する。その他に、脆弱性の検証やカスタムシグネチャの作成、JSOCの検知傾向からレポートの執筆などを務める。
|
|
講演タイトル：BRONZE RIVERSIDE(APT10)による ANEL を利用した攻撃手法とその詳細解析
BRONZE RIVERSIDE (別名：APT10, ChessMaster, StonePanda, menuPass, etc…)は近年活発に国内組織を標的としたサイバー攻撃を行っている攻撃者グループの1つである。BRONZE RIVERSIDEがこれまでに利用しているマルウェアで代表的なものはRedLeaves、Cobalt Strike、ChChes、ANELなどが挙げられる。
これらのマルウェアの内、ANELは2017年9月下旬から現在にかけて攻撃者がマルウェアのバージョンを頻繁にアップデートし、バックドア機能や検出回避機能を改良しながら攻撃に利用している事が確認されている。
本講演では、BRONZE RIVERSIDEが用いるマルウェアの中でも特にANELに焦点を当てて、ANELを詳細解析した結果得られた特徴や機能を解説する。
特に、ANELのアンパックの方法や、バージョンアップによるANELの機能進化の推移として、通信の暗号化手法の改良部分やバックドアコマンドの機能増加などの情報を、作成したツールを用いて解説する。
また、ANELを用いた攻撃から自組織を守るために必要な情報として、標的型メールに添付されるファイルの特徴や通信の特徴などから、攻撃を検知・対処するための情報を共有する。
SecureWorks Japan 株式会社 玉田 清貴
セキュリティベンダーにて、企業・官公庁に対するインシデントレスポンスサービスの中で、端末調査、マルウェア解析およびフォレンジック分析業務を経て、2018年7月から現職。現在も、マルウェア解析およびフォレンジック分析業務に従事するとともに、主に国内を標的にした脅威情報の収集・分析に従事。
|
|
講演タイトル：セキュリティログ分析のフィールドはエンドポイントへ ～Windows深層における攻防戦記～
日々巧妙化するサイバー攻撃においてマルウェア自身もアンチウィルス,IPS/IDS,サンドボックスといったセキュリティ製品からの検知を逃れるためにファイルレス化、C&C通信の暗号化、C&C通信先に正規サイトを利用するなど進化を遂げており、ネットワークセキュリティ製品による監視のみでマルウェア感染を見つけることは困難になってきています。そこでこれまでのネットワークログの監視にプラスしてホスト内の挙動ログを監視することに注目が集まってきています。
本講演では、まずエンドポイントログ分析の利点や課題点、弊社SOCでのネットワークログと比較した際のエンドポイントログによるインシデント発見割合などについて簡単に紹介します。その後、弊社SOCで観測された複数の攻撃グループによるサイバー攻撃の具体的な事例紹介とともに、プロセス・コマンドライン・ファイル操作・レジストリ操作等のログを利用してマルウェア感染・感染元ファイル・漏えい情報などの調査を行う際の分析のコツを紹介します。また、コードインジェクションが利用された場合など分析時の注意点についてもを紹介します。最後にファイルのエンコードやコピーによるプロセス名の置換など実際に攻撃者によって利用されたさまざまなWindowsコマンドを駆使したエンドポイントログ監視の回避テクニックとその対策事例について紹介します。
NTTセキュリティ・ジャパン株式会社 林 匠悟
NTTセキュリティ・ジャパンのSOCアナリスト。SOCの運用チームに所属して10年目。アラート監視・デバイス設定変更・分析・カスタムシグネチャ作成等を幅広く経験。また、日本SOCアナリスト情報共有会(SOCYETI)の立ち上げメンバーとして積極的に情報共有活動を実施。
|
|
講演タイトル：Deep Dive Into The Cyber Enemy: Various Case Study
One dark country has been using the Internet only for military purposes. Especially, that country has cyber warfare organization, and there are several sub groups under cyber warfare organization. Each sub groups has cyber warfare activities with different purposes. I will explain not only structure of the cyber warfare organization of dark country, but also as well as the types of cyber weapons they use and how they are used. I will explain it all with case analysis of real APT incidents.
Each sub groups of dark country cyber warfare using similar attack vector and malicious codes and similar attack tools. And each groups purpose and target depend on each agency character. For example, there is a group of dark country which has attacked oversea government agency, nuclear power plant, defense industry, airport. Another group has targeted dark country defector to gather information, and other group has hacked financial sector to earn USD.
In my presentation, I will explain dark country's agencies which order commands to group and purposes. Additionally, this talk takes a deep-dive into APT attacks associated with dark country, why they hacked the targets, which IPs they used while attack, and also many logs remained on real systems.
Trusted Third Party Agency 朴文範(Park Moonbeom)
He is working in cyber security and incident response sector of South Korea as a general researcher and cyber investigation advisory member of the national investigation agency. Also he is responsible for research on hacking methods, analyze hacking incident also, profiling the relationships. And he has been talking and presentation at many international hacking & security conference as AVTOKYO, Ekoparty, FIRST, HITCON, HITB-GSEC, Swiss Cyber Storm, TDOH Conf, TROOPERS.
|
|
講演タイトル：C&C 完全に理解した - 標的型攻撃に使用されたマルウェア xxmm から学ぶ、HTTPを用いたコマンド&コントロール実装
標的型攻撃で使用される RAT マルウェアの解析結果は、検知のみならずインシデント対応における攻撃者の行動を把握するために非常に重要な情報となる。しかしながら、標的攻撃マルウェアの解析記事では機能全般についての説明や、一部の特徴的な処理についての説明に終始しているケースが多く、インシデント対応に活用ができない場合もある。特に、ネットワーク検知からインシデント対応まで広く活用が可能な通信実装の詳細を解説した記事は国内では少ないのが現状である。
本発表では、過去標的型攻撃に使用された RAT であり HTTP 通信を利用し且つ独自のデータ構造を持つ xxmm を題材とし、その通信がどのように実現されているのかを完全に解説する。具体的には、xxmm の C2 通信における、暗号化や圧縮といった技術とそのデータ構造の解説、C2 の命令および結果を格納するデータの構造とそこに格納される値とその意味などを詳細に解説することで、マルウェア解析者をはじめとしたアナリスト・研究者それぞれにとって有益な情報を提供すること目指す。
SecureWorks Japan 株式会社 中津留 勇
セキュリティインシデント対応支援業務、マルウェア分析・対策研究業務を経て、2016年3月から現職。Secureworksのリサーチチーム、Counter Threat Unitの一員として、最新のサイバー攻撃の調査研究を行うと共に、インシデント対応および関連するマルウェア等の解析業務に従事している。セキュリティ啓蒙活動にも力を入れており、WASForum Hardening Project実行委員、Internet Week プログラム委員、セキュリティ・キャンプ全国大会講師などを務める。
|
|
講演タイトル：The real lesson from the PyeongChang Olympics Attack
When the Winter Olympics started in Pyeongchang in February 2018, it suffered from an IT network failure that interrupted IPTV image transmission at the main press center, official website operation for sale and issue of entrance tickets, wi-fi service, etc. At first, the cause of failure was suspected to have been DDoS attack, but someone infiltrated into the internal system and deleted files in the server. In most cases, the target attacks are made so that the attacker can steal confidential information. It was an interesting incident, in that a cyber-attack could happen against a sporting event. The media and many security companies were interested in this incident and commented about it, but it became a typical example of false attribution by wrong information.
The malware used in this incident was swiftly identified, because of its characteristics that acquires the infected system。ッs login credential information and stores the information in the malware. However, the initial path of infiltration and the lateral movement to dominate the internal system in advance were not confirmed.
In our presentation, We will introduce general issues related to the cyber-attack against Pyeongchang Winter Olympics and various malware and techniques that seemed to have been used by the attacker to dominate the internal system. Lastly, We will introduce the lessons from this incident that security managers must be aware.
We hope this presentation can help the Japanese organizers who are trying to successfully host the 2020 Summer Olympics.
AhnLab CHA Minseok (Jacky)
He is a senior principal malware researcher at AhnLab. He joined AhnLab as a malware analyst in 1997. He is a member of AVAR (Association of Anti-Virus Asia Researches) and a reporter for the WildList Organization International. He has been appointed as a member of the Private/Public Cooperative Investigation Group and Cyber Expert Group in South Korea. He is a speaker at security conferences, including AVAR Conference, CARO Workshop, CodeEngn, CodeGate, ISCR (International Symposium on Cybercrime Response), Virus Bulletin Conference and others. When he has free time, he enjoys old video games and old anime.
AhnLab LEE Myeong-Su
He is currently working as an incident analyst at AhnLab in South Korea. He started as a software developer in 1999. He left the IT field in 2003 and put up his own business such as pizzeria and PC cafe. He experienced, at an early age, the arduousness of being self-employed so he came back to the field of IT again. He taught hacking and security to students, private companies, military, police and public institutions for 5 years. He joined AhnLab's A-FIRST (AhnLab Forensics & Incident Response Service Team), that was established in 2011, where he analyzed various APT incident cases. He likes to play musical instruments as a hobby. He started to learn the violin 3 years ago, finished seventh volume of Suzuki Violin School book, and is currently practicing Mozart Violin Concerto No.3.
|
