Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
知られざるLOADERマルウェアの世界
Search
hackeT
August 16, 2023
Research
0
96
知られざるLOADERマルウェアの世界
hackeT
August 16, 2023
Tweet
Share
More Decks by hackeT
See All by hackeT
スレットハンティングについて知っておきたいこと
hacket
0
350
ランサムウェア攻撃について知っておきたいこと
hacket
0
180
APIセキュリティについて 知っておきたいこと
hacket
2
180
日曜フォレンジック ~デジタルカメラの写真と動画を復旧せよ~
hacket
0
62
msticpyの実践活用: 高度な脅威ハンティングを実現すべくSIEMとの虹の懸け橋となる
hacket
1
61
Practical msticpy use ~ rainbow bridge to SIEM for advanced threat hunting ~
hacket
0
130
フィッシング詐欺について知っておきたいこと
hacket
1
90
マルウェアの分類はどこまで必要とされているのか、いないのか
hacket
0
86
Other Decks in Research
See All in Research
セミコン地域における総合交通戦略
trafficbrain
0
120
Building Height Estimation Using Shadow Length in Satellite Imagery
satai
3
200
ラムダ計算の拡張に基づく 音楽プログラミング言語mimium とそのVMの実装
tomoyanonymous
0
410
JSAI NeurIPS 2024 参加報告会(AI アライメント)
akifumi_wachi
5
850
打率7割を実現する、プロダクトディスカバリーの7つの極意(pmconf2024)
geshi0820
0
330
Tiaccoon: コンテナネットワークにおいて複数トランスポート方式で統一的なアクセス制御
hiroyaonoe
0
430
Bluesky Game Dev
trezy
0
150
医療支援AI開発における臨床と情報学の連携を円滑に進めるために
moda0
0
150
PhD Defence: Considering Temporal and Contextual Information for Lexical Semantic Change Detection
a1da4
0
120
VisFocus: Prompt-Guided Vision Encoders for OCR-Free Dense Document Understanding
sansan_randd
1
460
非ガウス性と非線形性に基づく統計的因果探索
sshimizu2006
0
550
リモートワークにおけるパッシブ疲労
matsumoto_r
PRO
6
5k
Featured
See All Featured
How to train your dragon (web standard)
notwaldorf
91
5.9k
Distributed Sagas: A Protocol for Coordinating Microservices
caitiem20
330
21k
Art, The Web, and Tiny UX
lynnandtonic
298
20k
Thoughts on Productivity
jonyablonski
69
4.5k
Large-scale JavaScript Application Architecture
addyosmani
511
110k
CoffeeScript is Beautiful & I Never Want to Write Plain JavaScript Again
sstephenson
160
15k
The Cult of Friendly URLs
andyhume
78
6.2k
Unsuck your backbone
ammeep
669
57k
Fantastic passwords and where to find them - at NoRuKo
philnash
51
3k
[RailsConf 2023] Rails as a piece of cake
palkan
53
5.3k
GitHub's CSS Performance
jonrohan
1030
460k
[Rails World 2023 - Day 1 Closing Keynote] - The Magic of Rails
eileencodes
33
2.1k
Transcript
知られざるLOADERマルウェアの 世界 ISACA名古屋支部 理事 調査研究担当 長谷川 達也 2020.07 月例会LT ※発表内容は、個人の見解であり所属組織を代表するものではありません。
1
LOADER • LOADする者 ----------------------------------------- 何を? • 聞いたことある呼称だと、DOWNLOADER --------- 他にもあるの? •
知られてないだけで近年よくみます ---------------------- なんで? • 最近の流行 • まとめ 2
LOADER •「マルウェア」をLOAD • 進化とか変身の類で、機能(できること)を増やしていく • 進化 • 同一プロセス オンメモリ/バイナリファイル •
変身 • 別プロセス オンメモリ/実行ファイル • iexplorer.exe/svchost.exeなど別プロセスにコードインジェクション • ファイル形式でディスクに落とす 何をロードするの? 3
DOWNLOADER • ダウンローダー • よくメディアなどでも書かれているタイプ。 • メールに添付れているリ悪意のあるOfficeファイルとかURLをクリックしてマ ルウェアファイルを落とす (Windowsだと実行可能なexeファイルなどが落ち てくる)
• 他 LOADERと呼ばれたマルウェアファイル • SmokeLoader GuLoader BuerLoader など • LOADERと名前がついていないけど、実際はLOADER経由のもの • 昨年のEmotet • Dridex TSCookie PLUGX など 他にもあるの? 4
名称 特徴 私的分類 Downloader 一般名称。〇〇のダウンローダーなどと言われる。 変身/ファイル SmokeLoader 2011年登場。機能拡張をし続けている。 進化/ファイル/オンメモリ BuerLoader
2019年登場。ロシア製。バンキングトロイなどを落としてくる 進化/オンメモリ GuLoader 2020年登場。GoogleDrive/OneDriveを追加機能の取得に利用 変身/オンメモリ Emotet 2015年登場、当時はバンキングトロイ機能のみ。201年ローダーとして 大流行。Trickbotバンキングトロイ/Ryukランサムウェアなど 進化/オンメモリ 変身/ファイル 5
知られてないだけで近年よくみます •初期ファイルとしての自分自身に悪性コードを多く持たない •従来のアンチウイルスソフトのパターンマッチングなどで検 知されにくい •ファイルサイズも小さめ •感染目的、正体を表さないステルス性能高め •解析妨害機能 多数 •ただし、目的の機能を外から持ってこなければならない なんで?
6
最近の流行 7 GuLoader コロナ関連のメールスパムなど https://securityaffairs.co/wordpress/103683/malware/covid-19-related-malspam-guloader.html https://unit42.paloaltonetworks.jp/guloader-installing-netwire-rat/ https://www.lac.co.jp/lacwatch/report/20200611_002213.html
8 NetWire GuLoader Remcos AgentTesla Azorult ClipBanker バックドア スティーラー ランサムウェア
Hakbit Nanocore Formbook Lokibot
GULOADERの仕組み EXE • Microsoft Visual Basic 5.0/6.0 • シェルコードの展開 RegAsm.exe
( or Dropfile) • シェルコードがインジェクションされる • 潜伏ファイル、レジストリ作成挙動 • 解析妨害 (Anti-VM/Anti-Sandbox/Anti-Debug) RegAsm.exe ( or Dropfile) •プロセスホロウィング手法 •別マルウェアデータをダウンロード •XOR復号して実行 •別マルウェアがこのプロセス上で動く 9 例:azo_encrypted_XXXXXX.bin Azorult, etc
GULOADERの正体 • イタリアのCloudEyeというクリプターをビルダー として作成されている。ハッカーフォーラムで 宣伝されていた。 • Checkpointが2020年6月8日に暴露ブログ出したことにより、6月中旬ごろか らスパッと新しいGuLoaderをみかけなくなった。CloudEyeに規制がかかった 可能性が高い。 •
7月に入ってからも全くみかけない。 10 https://research.checkpoint.com/2020/guloader-cloudeye/ https://www.securitycode.eu/
11 CloudEye came back !?
まとめ • ローダーという名前は誤解を生みやすい 日本語の 「の」 がやっかい • MimikazのPowershellローダー • Mimikaz機能をもつPowershell?
MimikazをロードするPowershell? • Emotetのダウンローダー • Emotetをダウンロードする? Emotetが他のファイルをダウンロードする? • マルウェアの名前に振り回されず、感染が疑われる際はIOC(Indicator Of Compromise)で検索をかけよう。マルウェアファミリ名から検索しはじめるのは △ • MD5/SHA256 ファイルハッシュ • C&CサーバーのURL • 潜伏固執する際のレジストリキー、ファイル名やパス • Mutex 12
ご清聴ありがとうございました • もっと深い話はまた別の機会に! • さらなる学びの参考) • マルウェアファミリ名辞典 • https://malpedia.caad.fkie.fraunhofer.de/ •
マルウェアのトレンド増減 • https://any.run/malware-trends/ 13