Tweet
Tweet

Slide 1

Slide 1 text

DECAF meets The Sleuth Kit (TSK) OSC2016 Tokyo/Spring @RKX1209

Slide 2

Slide 2 text

whoami ● るくす と申します ● twitter: @RKX1209 ● 神戸大学 工学部 B3 ● sandbox開発,マルウェア解析など ● セキュリティキャンプ'15 チューター

Slide 3

Slide 3 text

はじめに ● 今回やったこと ● DECAFというsandboxに、フォレンジックツール TSKを載せました ● パッチ +436 -14 ● 本家マージ済み(?)

Slide 4

Slide 4 text

No content

Slide 5

Slide 5 text

Agenda ● DECAFの紹介 - DECAFとは - QEMUのしくみ ● The Sleuth Kitの紹介 - The Sleuth Kit(TSK)とは - マルウェアフォレンジック ● TSK on DECAF

Slide 6

Slide 6 text

Agenda ● DECAFの紹介 - DECAFとは - QEMUのしくみ ● The Sleuth Kitの紹介 - The Sleuth Kit(TSK)とは - マルウェアフォレンジック ● TSK on DECAF

Slide 7

Slide 7 text

DECAFとは ● QEMUをベースにしたsandbox ● sandboxはマルウェアを仮想環境などに閉じ込め 隔離するプログラム ● 主にマルウェア解析,感染防止などに使用

Slide 8

Slide 8 text

DECAFとは ● ゲストOS上で実行されるファイル(.exeなど)をホス ト側から解析可能 ● ホスト側で拡張プラグインを開発し、ゲストOS上の API呼び出しなどをフックできる ● Out-of-VM方式を採用したsandbox

Slide 9

Slide 9 text

DECAFとは ● In-VM: ゲストOS内にエージェントを配置 - マルウェアに検出される(アンチ解析) ● Out-of-VM: ホスト側(ハイパーバイザ)にエージェ ントを追加

Slide 10

Slide 10 text

DECAFとは ● DECAFを用いたマルウェア解析 - マルウェアをゲストOS内に閉じ込める - マルウェアが用いそうなAPIにフックをセット - APIを呼ぶとDECAF側に通知&プラグイン内の関 数を呼び出す ● もう少し進んだ解析(今回は説明しません) - DECAFのデータ伝搬機構によるテイント解析 - マルウェアによる仮想マシン検出対策など

Slide 11

Slide 11 text

DECAFとは ● セマンティックギャップ問題 - OSはメモリ上のどこにどのような情報を配置して いるか把握している(ex. WinAPI) - メモリのデータに意味(セマンティクス)を持ってい る

Slide 12

Slide 12 text

DECAFとは ● セマンティックギャップ問題

Slide 13

Slide 13 text

DECAFとは ● DECAFによるギャップ解消(VMI) ● QEMUからメモリデータ,レジスタ値を読む ● 読んだデータからゲストOSのセマンティクスを復元 する - どうやって？ - ゲストOSがLinuxの場合を例に見てみる

Slide 14

Slide 14 text

DECAFとは ● ゲストOSセマンティクス復元 ● QEMUからESPレジスタの値を取得 ● $ESP & 0xfffff000(下位12bitをmask) ● これでLinuxのthread_info構造体のアドレスが得 られる ● thread_infoからtask_struct構造体のアドレスを 得る ● task_structのアドレス ↔ バージョンの対応DBを検 索し、バージョンを特定する

Slide 15

Slide 15 text

DECAFとは ● 仮想マシンを通しレジスタ,メモリの値を読みだして いる Q. QEMUが持っている情報(ゲストのレジスタ値,メ モリ)をDECAFはどうやって横取りしている？ Q. どのタイミングで横取りしている？ A. QEMUの動的バイナリ変換機能を利用して フックコードを途中で挿入している

Slide 16

Slide 16 text

Agenda ● DECAFの紹介 - DECAFとは - QEMUのしくみ ● The Sleuth Kitの紹介 - The Sleuth Kit(TSK)とは - マルウェアフォレンジック ● TSK on DECAF

Slide 17

Slide 17 text

QEMUのしくみ ● 動的バイナリ変換(DynamicBinaryTranslation) ● ゲストはホストと異なるアーキテクチャの物を動か せる

Slide 18

Slide 18 text

QEMUのしくみ ● DECAFはフックコードを中間表現TCGに挿入 ● 解析コードをターゲットに挿入する手法を DBI(Dynamic Binary Instrumentation)という ● 中間表現レベルで挿入しているためアーキテクチャ 非依存 ● APIがcallされるTCG命令の前後に、DECAFの関 数呼び出し命令を挿入する - APIフックの実現

Slide 19

Slide 19 text

QEMUのしくみ

Slide 20

Slide 20 text

Agenda ● DECAFの紹介 - DECAFとは - QEMUのしくみ ● The Sleuth Kitの紹介 - The Sleuth Kit(TSK)とは - マルウェアフォレンジック ● TSK on DECAF

Slide 21

Slide 21 text

The Sleuth Kit(TSK)とは ● ファイルシステムフォレンジックツール ● ファイルシステムの詳細な構造にアクセス可能 ● TSKはコマンドラインツールだがAPIも持っている -(C,pythonなど様々なバインドがある) ● ディスクイメージの解析などに用いる

Slide 22

Slide 22 text

The Sleuth Kit(TSK)とは ● フォレンジック？ ● 正確にはディジタルフォレンジックを指す ● コンピュータやネットワークのログやディスクから証 拠を探す ● 警察が犯罪者のディジタルデータ(PC,スマホなど) から、証拠立件を行う際にもフォレンジックが行われ る - 某遠隔操作事件でもスラックスペースが話題に ● フォレンジックはマルウェア解析者も行う

Slide 23

Slide 23 text

Agenda ● DECAFの紹介 - DECAFとは - QEMUのしくみ ● The Sleuth Kitの紹介 - The Sleuth Kit(TSK)とは - マルウェアフォレンジック ● TSK on DECAF

Slide 24

Slide 24 text

マルウェアフォレンジック ● マルウェアをディスクイメージから探し出す ● 多くのマルウェアは自身を隠蔽する手法を持ってい る ● 有名な手法はNTFSのADS(Alternate Data Stream)を用いた物 - 最近流行りのPoison Ivyの亜種などもこの手法 を利用している ● echo 'I am malware' > test.txt:stream ● cmd.exeやファイルエクスプローラーでは見つけら れない

Slide 25

Slide 25 text

マルウェアフォレンジック ● マルウェアによる検索妨害 ● ADSを検出できるツールは多くある - しかし多くのツールはFindNextFileなどのWin APIを利用している ● マルウェアはAPI呼び出しをフックし改竄できるた め、この手法では限界がある ● TSKはAPIではなくディスクイメージを直接パースす るためこの手の妨害は受けない

Slide 26

Slide 26 text

Agenda ● DECAFの紹介 - DECAFとは - QEMUのしくみ ● The Sleuth Kitの紹介 - The Sleuth Kit(TSK)とは - マルウェアフォレンジック ● TSK on DECAF

Slide 27

Slide 27 text

TSK on DECAF ● TSK APIをDECAFから使えるようにする ● 実はTSK自体は既にDECAFに載っている - ただしqcowのサポートが少し不完全 - まれにDECAFプラグインからうまく扱えない事が ● DECAFはTSKに独自のqcowサポートコードを追 加している tsk_img_open_sing(snapshot, QEMU_IMG, 0);

Slide 28

Slide 28 text

TSK on DECAF ● TSKに新しくqcowサポートコードを加えた ● 以前のQEMU_IMGに加 え、TSK_IMG_TYPE_QCOW_QCOWという定数 を追加 ● TSK内のqcow(open/read/write)コードをlibqcow ライブラリを利用した物に変更 → うまく動いた！ tsk_img_open_sing(snapshot, TSK_IMG_TYPE_QCOW_QCOW, 0);

Slide 29

Slide 29 text

TSK on DECAF TSKを用いてゲストOSのファイル走査している図

Slide 30

Slide 30 text

おわりに ● DECAFという既存のOSS sandboxから、TSKを使 えるようにしました ● マルウェア解析者もこれからはsandboxを実装して いく時代 ● DECAF以外にも様々なフレームワークがある - ex. Panda, PEMU, PinOS, Unicorn... ● 解析専門でも実装力は必要 ● セキュリティ技術者もどんどんOSSへ貢献していき ましょう