Observe_C2Servers_via_MonitoringService-20200330.pdf

稼働監視サービスを活用した  C2サーバの観測  第35回ゼロから始めるセキュリティ入門勉強会  2020/03/30  hiro（@ctrl_z3r0） a.k.a ねこさん⚡（@catnap707） 

自己紹介 

アジェンダ  １　はじめに  ２　稼働監視について  ３　無料のサーバ監視サービス  ４　観測対象のC2サーバ選定  ５　監視サービスを利用したC2サーバの観測  ６　その他の情報源  ▪参考情報  　UptimeRobot.com　- https://uptimerobot.com 
　StatusCake.com　- https://app.statuscake.com  　Freshping.io - https://app.freshping.io  　HowFast.tech - https://www.howfast.tech/   　httpstatus.io - https://httpstatus.io   　Censys.io　- https://censys.io   　Shodan.io - https://shodan.io   　Hybrid-Analysis.com　-　https://hybrid-analysis.com   　JoeSandbox.com - https://joesandbox.com   ※C2サーバの観測は、  　公開情報へのアクセスであり、  　不正アクセスには当たりません。 

4 １　はじめに 

こんなことありませんか？  5 ”監視を自動化したいけど、RPAは・・・”  ”ハニーポットが落ちてることに気付けない”  ”クラウドの監視どうしたらいいの？”  ”ログが更新されていなかった”  ”SSHでログインできなくなった”  ”VPSの監視では機能が貧弱”  今日は、無料のサーバ監視サービスを  使ったC2サーバ観測をご紹介！ 

２　稼働監視について  6

7 稼働監視と運用監視    稼働監視  運用監視  目的  主にサーバ機器やネットワーク機器が正常に動作していることを監視。  主にシステムが正常に処理できていることを監視。 
範囲  システムの稼働に必要なサーバ機器とネットワーク機器を監視範囲とする。  個々のシステムを監視範囲とする。  （バッチジョブ、バックアップ運用等）  レベル  L1（リソース：メモリ、ディスク）  L3～L4レベル（IPとポート）  L7レベル（アプリケーション）  L7レベル（アプリケーション）  監視方法  SNMP（MIB）、ICMP（ping）、  TCPコネクション、HTTP/HTTPS、  監視エージェント  ログ監視（SIEM）、API  監視エージェント、ジョブスケジューラ  通報  しきい値監視  （しきい値を超えたら通報）  ステータス監視  （異常終了時に通報） 

8   クラウド  オンプレミス  HW障害  障害が発生したホスト上のVMは別ホストに移動されるので、障害を意識しない。  クラスタを組んでいない場合は、当該ホストがダウンすると、システムもダウン
する。  NW障害  障害が発生したNWは別経路に切り替わるので、障害を意識しない。  NWを冗長化していない場合は、通信断が発生する。  ﾌｧｰﾑｳｪｱ  不具合  クラウド事業者がファームウェアのパッチ更新を行うので意識しない。  運用保守業者が更新したファームウェアに問題があると不具合が発生する。更新のためにシステム停止が必要な場合がある。  ドライバ  不具合  クラウド事業者がドライバのパッチ更新を行うので意識しない。  運用保守業者が更新したドライバに問題があると不具合が発生する。更新のためにシステム停止が必要な場合がある。  空調の  不具合  大規模な障害を除けば、意識しない。  （AWSで大規模障害はあったが・・・）  空調機器の不具合はよく発生する。  （空調をお客さんが切っちゃうとかね）  クラウドとオンプレミスにおける障害影響範囲 

エージェント監視  エージェントレス監視      ×エージェントのインストールが必要。  ×即死の場合、通知されない。  •CPU使用率、メモリ使用率、ディスク空き  　容量、バッチジョブの状態などが分かる。    ※主な製品 
　JP1、SystemWalker、WebSAM、Tivoli Netcool、   　Zabbix、Nagios、MRTG、Cacti、mackerl、   　Munin、Datadog など   •エージェントのインストール不要。  ×ﾎﾟｰﾘﾝｸﾞなので監視ﾀｲﾐﾝﾝｸﾞ抜けがある。  ×ネットワークの導通、サービスの死活しか  　分からない。    ※SNMPエージェント以外のエージェントは不要という   　製品や、SSH/TELNETでログインして監視対象から   　情報を収集する方式をエージェントレスと呼ぶ場合も   　ある。  　ここでは、ICMPやTCPコネクション、HTTPリクエスト   　のみで監視することをエージェントレスと呼ぶ。   9 エージェント監視とエージェントレス監視  監視システム  （マネージャ）  監視対象（ｴｰｼﾞｪﾝﾄ）監視対象（ｴｰｼﾞｪﾝﾄ）監視対象（ｴｰｼﾞｪﾝﾄ）監視システム  監視対象監視対象監視対象

３　無料のサーバ監視サービス  10

※UptimeRobotがおススメ（GUIが一番わかりやすい。RSSフィードあり）  ※類似のサービスとして、Pingdom.com、Site24x7.com などがある  　が、いずれも 30 Days Trial だった。  ※類似のサービスを探すのに便利なサイト「AlternativeTo.net」  　https://alternativeto.net/software/uptimerobot/ 
11 監視サービス  国  監視  間隔  監視  上限  スマホ  アプリ  Eメール  SMS  Slack  Twitter  UptimeRobot.com  アメリカ  5  50  〇  〇  △  〇  DM  StatusCake.com  イギリス  5  10  〇  〇  △  〇  Tweet  Freshping.io  フランス  1  50  ×  〇  ×  〇  ×  HowFast.tech  フランス  1  30  ×  〇  ×  〇  ×  SavaMoni.com  日本  5  10  ×  〇  ×  ×  ×  無料のサーバ監視サービス

12 監視サービス  HTTP  HTTPS  ｷｰﾜｰﾄﾞ  ※  DNS  FTP  SMTP  TCP 
Port  UDP  Port  ICMP  Ping  UptimeRobot.com  〇  〇  × × × 〇 × 〇 StatusCake.com  〇  ×  × × × 〇 × 〇 Freshping.io  〇  ×  〇 × × 〇〇〇 HowFast.tech  〇  ×  ×  ×  ×  ×  × ×  SavaMoni.com  〇  〇  〇〇〇一部  NTP 〇サーバ監視サービスごとの対応プロトコルｲﾝﾀｰﾈｯﾄ･ﾌﾟﾛﾄｺﾙ･ｽｲｰﾄ（TCP/IP）プロトコル 7 アプリケーション HTTP/HTTPS、DNS、 FTP、SMTP 6 5 4 トランスポート TCP、UDP 3 インターネット IP（IPv4/IPv6）、ICMP 　 PPP、 PPPoE 2 ARP、RARP 1 リンク Ethernet、Wi-Fi HTTP/HTTPS、TCP Portの監視ができれば、C２サーバの観測には十分 

13 ４　観測対象のC2サーバ選定 

ダウンローダーのアクセス先URLを観測することで、いち早くペイ  ロードのデプロイを知ることができる。  14 マルウェア感染に関わるC2サーバ  現在主流のマルウェア感染手法では、VBAマクロや PowerShell スクリプトが仕込まれたOfficeドキュメントがダウンローダ（ドロッパー）として添付されている。  C2サーバ
ペイロード  （マルウェア本体） ▪参考情報  ・防ぎきれない攻撃を検知するため利用が広がるIoC、課題や限界を踏まえた上での利用が不可欠  　https://www.cybernet.co.jp/carbonblack/tips/06.html  監視ｻｰﾋﾞｽ定期的に観測

15 どうやってC2サーバを知るのか（１／２）  ▪Twitter で流行りのマルウェアを知るのがおススメ（海外アカウント） 

16 どうやってC2サーバを知るのか（２／２）  ▪Twitter で流行りのマルウェアを知るのがおススメ（国内アカウント） 

17 Any.Run の Public submissions  ◆EmotetのPowerShell難読化解除～Any.RunとCyberChefの使い方～  https://speakerdeck.com/ctrl_z3r0/remove-obfuscation-in-emotet-powershellscript-20200129 Phorpiex（フォルピエックス）で検索。  ※2020-02-08～2020-03-23ごろまで活動。  　件名は、顔文字
⇒ :-) ;) :-D :)  　Nemtyランサムウェア、コインマイナーに感染  ▪Any.Runの解析結果から検索 

18 Any.Run の Public submissions  http://tldrbox.top/1～6  http://92.63.197.225/1～6  にアクセスすることが判明  ▪HTTP REQUESTS
でURLを確認 

19 VirusTotal の Passive DNS  攻撃者は、IPアドレスやドメイン名を使いまわす傾向にある。  Passive DNSは、特定のドメイン名が時間の経過とともにどのように変化し、それが他のドメインやIPアドレスとどのような関連を持っているか履歴として保存したもの。  ◆What
is Passive DNS? A beginner's guide - Deteque   　https://www.deteque.com/news/passive-dns/ ▪VTで、DNS関連の情報を収集 

20 VirusTotal の URLs  ▪IP⇒RELATIONS⇒URLｓ（IPに関連したURL情報）  数字.exeや、数字.txt、n.txtなど  　数字.exe：ダウンローダー？  　数字：コインマイナーモジュールなど  　数字.txt：送信リスト、n.txt：リストの最大値 
#!/bin/sh for i in $(seq 1 2129);do wget -b http://92.63.197.190/x/$i.txt -U "Mozilla/6.0" done 例えば、こんなスクリプトで、送信リストをダウンロードできてました。  Sextortion向けSPAMリスト、42,562,674 件！

21 Hybrid-Analysisの検索結果  ▪右上の検索窓から、IPアドレスを検索  Hybrid-Analysisでは、IPアドレスでの検索が可能。Any.Runよりはサンプルが少ないが、参考になる。 

22 JoeSandboxの検索結果  ▪右上の検索窓から、IPアドレスを検索  さらにサンプルが少ないが、 JoeSandboxでも、IPアドレスでの検索が可能。 

23 Censys.io と Shodan.io  ▪攻撃者は、同じSSHキーでC2サーバを用意することが多い  別IPのHTTP/HTTPSや、 SSH、FTPの死活監視も  並行して実施。 

５　監視サービスを利用したC2サーバの観測  24

25 C2サーバ観測までの流れ  アクション  参考情報・入手元  不審メールの検知  ツイート、ブログへのポスト、  注意喚起情報など  マルウェアの入手・解析  　または  マルウェアの解析結果の入手 
Any.RunやHybrid-Analysisの最近の解析結果  ツイート中のハッシュ値  C2サーバのIPアドレス、URL調査  Any.Run、Hybrid-Analysis、VirusTotalの情報  ツイートなど  C2サーバのIPアドレス、URL導通確認  check-host.netによる導通  httpstatus.ioによるHTTPヘッダー確認  C2サーバのコンテンツ調査  DIRBによるコンテンツスキャン  監視サービスへのモニター設定  UptimeRobot.com、StatusCake.com  Freshping.ioなど  追加IPアドレスの調査  Censys.io、Shodan.io  ▪検知から加速サービスへの登録までの大まかな流れ 

26 UptimeRobotのDashboard  ▪UptimeRobotのDashboard イメージ  現在のステータス  過去のイベント 

27 UptimeRobotのモニター設定  ▪UptimeRobotのモニター設定  HTTP(s)の設定  TCPポートの設定 

28 UptimeRobotの通知設定  ▪UptimeRobotの通知設定  SlackのWebHookURLを指定すると、Slackに通知ができる。 

29 StatusCakeのDashboard  ▪StatusCakeのDashboardイメージ  現在のステータス  時系列の状態を知るには個別の詳細画面 

30 StatusCakeのモニター設定  ▪StatusCakeのモニター設定  複数の海外拠点からポーリングすることが可能。 

31 StatusCakeの通知設定  ▪StatusCakeの通知設定  Public Tweetとしてツイートすることが可能（DM不可）  Slack連携も可能 

32 FreshpingのDashboard  ▪FreshpingのDashboardイメージ  現在のステータス 

33 Freshpingのモニター設定  ▪Freshpingのモニター設定  １分間隔のポーリングが可能  （他サービスでは有償オプション） 

34 Freshpingの通知設定  ▪Freshpingの通知設定  SlackのWebHookURLを指定すると、Slackに通知ができる。 

35 HowFastのDashboard  ▪HowFastのDashboardイメージ  現在のステータス 

36 HowFastのモニター設定  ▪HowFastのモニター設定 

37 HowFastの通知設定  ▪HowFastの通知設定  SlackのWebHookURLとChannelを指定すると、Slackに通知ができる。 

38 スマホアプリ通知やSlack連携  ▪アプリ通知やSlack連携が便利  Freshpingは１分間隔なので、５分間隔のUptime Robotより通知が早い。  Uptime Robotは、スマホアプリへの通知ができる。 

39 User-Agent: Mozilla/5.0+(compatible; UptimeRobot/2.0; http://www.uptimerobot.com/) User-Agent: StatusCake/Pretest (Statuscake.com) User-Agent: FreshpingBot/1.0
(+https://freshping.io/) User-Agent: HowFastBot/1.3 (howfast.tech) User-Agentを把握しておこう  ▪PhorpiexのC2サーバで、User-Agentの対策がされた  Uptime Robotだと 404 Not Found  ptime Robotだと 200 OK  2020-04-06以降、 Uptime Robotの対策は解除された 

40 ５　その他の情報源 

41 DIRB（Web Content Scanner）  $ dirb http://tldrbox.top/ /usr/share/dirb/wordlists/vulns/phorpiex.txt ----------------- DIRB
v2.22 By The Dark Raver ----------------- START_TIME: Mon Apr 6 10:56:05 2020 URL_BASE: http://tldrbox.top/ WORDLIST_FILES: /usr/share/dirb/wordlists/vulns/phorpiex.txt ----------------- GENERATED WORDS: 133 ---- Scanning URL: http://tldrbox.top/ ---- + http://tldrbox.top/2 (CODE:200|SIZE:129032) + http://tldrbox.top/3 (CODE:200|SIZE:129032) + http://tldrbox.top/1.exe (CODE:200|SIZE:128512) + http://tldrbox.top/11.exe (CODE:200|SIZE:128512) + http://tldrbox.top/a.exe (CODE:200|SIZE:128512) + http://tldrbox.top/o.exe (CODE:200|SIZE:128512) + http://tldrbox.top/t.exe (CODE:200|SIZE:128512) + http://tldrbox.top/xxx/ (CODE:403|SIZE:306) ----------------- END_TIME: Mon Apr 6 10:56:38 2020 DOWNLOADED: 133 - FOUND: 8 ◆DIRB | Penetration Testing Tools   　https://tools.kali.org/web-applications/dirb ▪dirbコマンド（Webコンテンツスキャナー）  URLのパスをWordList（辞書）として指定。カスタマイズすると効率よくスキャンできる。  ---- Scanning URL: http://tldrbox.top/ ---- + http://tldrbox.top/2 (CODE:200|SIZE:129032) + http://tldrbox.top/3 (CODE:200|SIZE:129032) + http://tldrbox.top/1.exe (CODE:200|SIZE:128512) + http://tldrbox.top/11.exe (CODE:200|SIZE:128512) + http://tldrbox.top/a.exe (CODE:200|SIZE:128512) + http://tldrbox.top/o.exe (CODE:200|SIZE:128512) + http://tldrbox.top/t.exe (CODE:200|SIZE:128512) + http://tldrbox.top/xxx/ (CODE:403|SIZE:306)

42 httpstatus.io  ▪Last-Modified などのヘッダを確認  こちらのIPは先方にはバレないが、  User-Agentはバレるので注意。 

43 Last-Modified の観測  ▪Last-Modified を観測することで、攻撃者の動きが分かる  ペイロードが置かれた時刻が、  Last-Modifiedに反映される。 

44 まとめ  ◆用途に合ったサービスを選ぼう！  ◆C2サーバやマルウェア配付サイトを観測できるぞ！  ◆知り得た情報を基に、新たな観測をしてみよう！

ご清聴ありがとうございました。  45 質問はお気軽にDMでどうぞ  @catnap707 

Observe_C2Servers_via_MonitoringService-20200330.pdf

Observe_C2Servers_via_MonitoringService-20200330.pdf

More Decks by hiro

Other Decks in Technology

Featured

Transcript