Observe_C2Servers_Phorpiex_Avaddon_-20200630.pdf

Slide 1

Slide 1 text

稼働監視サービスを活用した  C2サーバ(Phorpiex/Avaddon)の観測  第29回セキュリティ共有勉強会  2020/06/30  hiro（@ctrl_z3r0） a.k.a ねこさん⚡（@catnap707） 

Slide 2

Slide 2 text

自己紹介 

Slide 3

Slide 3 text

アジェンダ  １　はじめに  ２　稼働監視について  ３　無料のサーバ監視サービス  ４　観測対象のC2サーバ選定  ５　監視サービスを利用したC2サーバの観測  ６　その他の情報源  ■参考情報  　UptimeRobot.com　- https://uptimerobot.com  　StatusCake.com　- https://app.statuscake.com  　Freshping.io - https://app.freshping.io  　HowFast.tech - https://www.howfast.tech/   　httpstatus.io - https://httpstatus.io   　Censys.io　- https://censys.io   　Shodan.io - https://shodan.io   　Hybrid-Analysis.com　-　https://hybrid-analysis.com   　JoeSandbox.com - https://joesandbox.com   ※C2サーバの観測は、  　公開情報へのアクセスであり、  　不正アクセスには当たりません。 

Slide 4

Slide 4 text

4 １　はじめに 

Slide 5

Slide 5 text

こんなことありませんか？  5 ”ハニーポットが落ちてることに気付けない”  ”クラウドの監視どうしたらいいの？”  ”ログが更新されていなかった”  ”SSHでログインできなくなった”  ”VPSの監視では機能が貧弱”  ”マルウェア配布サイトや、C2の  　監視を楽にしたい”  本日は、無料の稼働監視サービスの紹介と  それを活用したC2サーバの観測をご説明！ 

Slide 6

Slide 6 text

２　稼働監視について  6

Slide 7

Slide 7 text

7 稼働監視と運用監視    稼働監視  運用監視  目的  主にサーバ機器やネットワーク機器が正常に動作していることを監視。  主にシステムが正常に処理できていることを監視。  範囲  システムの稼働に必要なサーバ機器とネットワーク機器を監視範囲とする。  個々のシステムを監視範囲とする。  （バッチジョブ、バックアップ運用等）  レベル  L1（リソース：メモリ、ディスク）  L3～L4レベル（IPとポート）  L7レベル（アプリケーション）  L7レベル（アプリケーション）  監視方法  SNMP（MIB）、ICMP（ping）、  TCPコネクション、HTTP/HTTPS、  監視エージェント  ログ監視（SIEM）、API  監視エージェント、ジョブスケジューラ  通報  しきい値監視  （しきい値を超えたら通報）  ステータス監視  （異常終了時に通報） 

Slide 8

Slide 8 text

8   クラウド  オンプレミス  HW障害  障害が発生したホスト上のVMは別ホストに移動されるので、障害を意識しない。  クラスタを組んでいない場合は、当該ホストがダウンすると、システムもダウンする。  NW障害  障害が発生したNWは別経路に切り替わるので、障害を意識しない。  NWを冗長化していない場合は、通信断が発生する。  ﾌｧｰﾑｳｪｱ  不具合  クラウド事業者がファームウェアのパッチ更新を行うので意識しない。  運用保守業者が更新したファームウェアに問題があると不具合が発生する。更新のためにシステム停止が必要な場合がある。  ドライバ  不具合  クラウド事業者がドライバのパッチ更新を行うので意識しない。  運用保守業者が更新したドライバに問題があると不具合が発生する。更新のためにシステム停止が必要な場合がある。  空調の  不具合  大規模な障害を除けば、意識しない。  （AWSで大規模障害はあったが・・・）  空調機器の不具合はよく発生する。  （空調をお客さんが切っちゃうとかね）  クラウドとオンプレミスにおける障害影響範囲 

Slide 9

Slide 9 text

エージェント監視  エージェントレス監視      ×エージェントのインストールが必要。  ×即死の場合、通知されない。  ●CPU使用率、メモリ使用率、ディスク空き  　容量等のステータスや、バッチジョブの  　状態などが分かる。    ※主な製品  　JP1、SystemWalker、WebSAM、Tivoli Netcool、   　Zabbix、Nagios、MRTG、Cacti、mackerl、   　Munin、Datadog など   ●エージェントのインストール不要。  ×ﾎﾟｰﾘﾝｸﾞなので監視ﾀｲﾐﾝﾝｸﾞ抜けがある。  ×ネットワークの導通、サービスの死活しか  　分からない（リソース状態は分からない）。    ※SNMPエージェント以外のエージェントは不要という   　製品や、SSH/TELNETでログインして監視対象から   　情報を収集する方式をエージェントレスと呼ぶ場合も   　ある。  　ここでは、ICMPやTCPコネクション、HTTPリクエスト   　のみで監視することをエージェントレスと呼ぶ。  9 エージェント監視とエージェントレス監視  監視システム  （マネージャ）  監視対象（ｴｰｼﾞｪﾝﾄ）監視対象（ｴｰｼﾞｪﾝﾄ）監視対象（ｴｰｼﾞｪﾝﾄ）監視システム  監視対象監視対象監視対象

Slide 10

Slide 10 text

３　無料のサーバ監視サービス  10

Slide 11

Slide 11 text

※UptimeRobotがおススメ（RSSフィードあり。DM飛ばないことも）  ※類似のサービスとして、Pingdom.com、Site24x7.com などがある  　が、いずれも 30 Days Trial だった。  ※類似のサービスを探すのに便利なサイト「AlternativeTo.net」  　https://alternativeto.net/software/uptimerobot/  11 監視サービス  国  間隔  （分）  監視  上限  スマホ  アプリ  Eメール  SMS  Slack  Twitter  UptimeRobot.com  アメリカ  5  50  〇  〇  △  〇  DM  StatusCake.com  イギリス  5  10  〇  〇  △  〇  Tweet  Freshping.io  フランス  1  50  ×  〇  ×  〇  ×  HowFast.tech  フランス  1  30  ×  〇  ×  〇  ×  SavaMoni.com  日本  5  5  ×  〇  ×  ○  ×  　無料のサーバ監視サービス

Slide 12

Slide 12 text

12 監視サービス  HTTP  HTTPS  ｷｰﾜｰﾄﾞ  ※  DNS  FTP  SMTP  TCP  Port  UDP  Port  ICMP  Ping  UptimeRobot.com  〇  〇  × × × 〇 × 〇 StatusCake.com  〇  ×  × × × 〇 × 〇 Freshping.io  〇  ×  〇 × × 〇〇〇 HowFast.tech  〇  ×  ×  ×  ×  ×  × ×  SavaMoni.com  〇  〇  〇〇〇一部  のみ  NTP 〇サーバ監視サービスごとの対応プロトコルｲﾝﾀｰﾈｯﾄ･ﾌﾟﾛﾄｺﾙ･ｽｲｰﾄ（TCP/IP）プロトコル 7 アプリケーション HTTP/HTTPS、DNS、 FTP、SMTP 6 5 4 トランスポート TCP、UDP 3 インターネット IP（IPv4/IPv6）、ICMP 　 PPP、 PPPoE 2 ARP、RARP 1 リンク Ethernet、Wi-Fi HTTP/HTTPS、TCP Portの監視ができれば、C２サーバの観測には十分 

Slide 13

Slide 13 text

13 ４　観測対象のC2サーバ調査 

Slide 14

Slide 14 text

ダウンローダーのアクセス先C2サーバを観測することで、いち早くペイロードのデプロイを知ることができる。  14 マルウェア感染に関わるC2サーバ  現在主流のマルウェア感染手法では、VBAマクロや PowerShell スクリプトが仕込まれたOfficeドキュメントがダウンローダ（ドロッパー）として添付されている。（6月9日に確認されたAvaddonではJavaScript）  C2サーバペイロード  （マルウェア本体） ■参考情報  ・防ぎきれない攻撃を検知するため利用が広がるIoC、課題や限界を踏まえた上での利用が不可欠  　https://www.cybernet.co.jp/carbonblack/tips/06.html  監視ｻｰﾋﾞｽ定期的に観測

Slide 15

Slide 15 text

15 どうやってC2サーバを知るのか（１／２）  ■Twitter で流行りのマルウェアを知るのがおススメ（海外アカウント）  投影のみ 

Slide 16

Slide 16 text

16 どうやってC2サーバを知るのか（２／２）  ■Twitter で流行りのマルウェアを知るのがおススメ（国内アカウント）  投影のみ 

Slide 17

Slide 17 text

17 Any.Run の Public submissions  ◆EmotetのPowerShell難読化解除～Any.RunとCyberChefの使い方～  https://speakerdeck.com/ctrl_z3r0/remove-obfuscation-in-emotet-powershellscript-20200129 Phorpiex（フォルピエックス）で検索。  ※2020-02-08～2020-03-23ごろまで活動。  　件名は、顔文字 ⇒ :-) ;) :-D :)  　Nemtyランサムウェア、コインマイナーに感染  ■Any.Runの解析結果から検索（Phorpiexの例） 

Slide 18

Slide 18 text

18 Any.Run の Public submissions  Avaddon（アバドン）で検索。  ※2020-06-09 06:00～22:00ごろ活動。  　本文は、顔文字 ⇒ ;)  　Avaddonランサムウェアに感染  ※ホンダのEKANSランサムウェアに持ち切り  　で、ほとんど報道されなかった。  ■Any.Runの解析結果から検索（Avaddonの例）  添付ファイルは、  IMGnnnnnn.jpg.zip  （IMGnnnnnn.jpg.js）であった。 

Slide 19

Slide 19 text

19 Any.Run の Public submissions  ■HTTP REQUESTS でURLを確認  ドメイン名だけでなくIPアドレスでもアクセスしなおしているのは、DNS のブロックリスト回避の目的と推測される。（Cisco Umbrellaとか…）  現時点では、404エラーの場合でも、後日デプロイされる場合があるので、合わせて観測対象とする。 

Slide 20

Slide 20 text

20 VirusTotal の Passive DNS（１／２）  攻撃者は、IPアドレスやドメイン名を使いまわす傾向にある。  Passive DNSは、他のドメインやIPアドレスがどのような関連を持っているか  履歴として保存したもの。RISKIQ(PassiveTotal)が有名。  ■参考情報  ・What is Passive DNS? A beginner's guide   　https://www.deteque.com/news/passive-dns/ ・RiskIQ Community Edition 　https://community.riskiq.com/login ■VTで、DNS関連の情報を収集 

Slide 21

Slide 21 text

21 VirusTotal の Passive DNS（２／２）  ■COMMUNITYに有用な情報がある場合も・・・ 

Slide 22

Slide 22 text

22 VirusTotal の URLs  ■IP⇒RELATIONS⇒URLｓ（IPに関連したURL情報）  Phorpiexの場合、数字.exeや、数字.txt、n.txtなど  　数字.exe：ダウンローダー？  　数字：コインマイナー、RATモジュールなど  　数字.txt：送信リスト、n.txt：リストの最大値  #!/bin/sh for i in $(seq 1 9135);do wget -b http://??????.net/ amm/$i.txt -U "Mozilla/6.0" done 例えば、こんなスクリプトで、送信リストをダウンロード。  Sextortion向けSPAMリスト、182,700,000 件！  #!/bin/sh for i in $(seq 1 1653);do wget -b http://??????.net/ jps/$i.txt -U "Mozilla/6.0" done 6/9のAvaddonのリストは古く、2018-12-07のもの。  33,060,000 件（go.jp:235,866件、lg.jp:66,142件） 

Slide 23

Slide 23 text

23 Hybrid-Analysisの検索結果  ■右上の検索窓から、ドメイン名やIPアドレスで検索  Hybrid-Analysisでは、ドメイン名やIPアドレスでの検索が可能。Any.Runよりはサンプルが少ないが、参考になる。 

Slide 24

Slide 24 text

24 JoeSandboxの検索結果  ■右上の検索窓から、ドメイン名やIPアドレスで検索  さらにサンプルが少ないが、 JoeSandboxでも、ドメイン名や IPアドレスでの検索が可能。 

Slide 25

Slide 25 text

25 Censys.io と Shodan.io  ■攻撃者は、同じSSH FingerprintでC2サーバを用意することが多い  別IPのHTTP/HTTPSや、 SSH、FTPも観測対象に！ 

Slide 26

Slide 26 text

５　監視サービスを利用したC2サーバの観測  26

Slide 27

Slide 27 text

27 C2サーバ観測までの流れ  アクション  参考情報・入手元  不審メールの検知  ツイート、ブログへのポスト、注意喚起情報など  マルウェアの入手・解析  　または  マルウェアの解析結果の入手  Any.RunやHybrid-Analysisの最近の解析結果  ツイート中のハッシュ値、スクリプトの難読化解除  C2サーバのIPアドレス、URL調査  Any.Run、Hybrid-Analysis、VirusTotalの情報  ツイートなど  C2サーバのIPアドレス、URL導通確認  check-host.netによる導通確認  httpstatus.ioによるHTTPヘッダー確認  C2サーバのコンテンツ調査  DIRB（コンテンツスキャナー）によるコンテンツスキャン  監視サービスへのモニター設定  （HTTP/HTTPS、TCPポート、ICMP）  UptimeRobot.com、StatusCake.com  Freshping.ioなど  追加IPアドレスの調査  IoT検索エンジン（Censys.io、Shodan.io）  ■検知から監視サービスへの登録までの大まかな流れ  ◆EmotetのPowerShell難読化解除～Any.RunとCyberChedの使い方～   　https://speakerdeck.com/ctrl_z3r0/remove-obfuscation-in-emotet-powershellscript-20200129  

Slide 28

Slide 28 text

28 C2サーバを観測して何を知るのか  ■これまでの観測結果から、以下の癖が判明  ◆稼働監視サービスでのHTTPレスポンス監視に向いている  ・攻撃者が新しいファイルに入れ替える場合、  　一旦404になったり、httpdがDOWNしたりする。  ・IPアドレスを変えた場合、外部からhttpdが不安定  　（DOWN/UP繰り返し）になったように見える。  ◆スクリプトによる手動監視で対応  ・アルファベット１文字のフォルダ名やexeファイル名。  ・配布リストは、n.txtの中にファイル数が数字で記  　載。配信の停止は、n.txtにゼロが書き込まれる。  ステータスの更新 

Slide 29

Slide 29 text

29 UptimeRobotのDashboard  ■UptimeRobotのDashboard イメージ  現在のステータス  過去のイベント 

Slide 30

Slide 30 text

30 UptimeRobotのモニター設定  ■UptimeRobotのモニター設定  HTTP(s)の設定  TCPポートの設定 

Slide 31

Slide 31 text

31 UptimeRobotの通知設定  ■UptimeRobotの通知設定  SlackのWebHookURLを指定すると、Slackに通知ができる。 

Slide 32

Slide 32 text

32 StatusCakeのDashboard  ■StatusCakeのDashboardイメージ  現在のステータス  時系列の状態を知るには個別の詳細画面 

Slide 33

Slide 33 text

33 StatusCakeのモニター設定  ■StatusCakeのモニター設定  複数の海外拠点からポーリングすることが可能。 

Slide 34

Slide 34 text

34 StatusCakeの通知設定  ■StatusCakeの通知設定  Public Tweetとしてツイートすることが可能（DM不可）  Slack連携も可能 

Slide 35

Slide 35 text

35 FreshpingのDashboard  ■FreshpingのDashboardイメージ  現在のステータス 

Slide 36

Slide 36 text

36 Freshpingのモニター設定  ■Freshpingのモニター設定  １分間隔のポーリングが可能  （他サービスでは有償オプション） 

Slide 37

Slide 37 text

37 Freshpingの通知設定  ■Freshpingの通知設定  SlackのWebHookURLを指定すると、Slackに通知ができる。 

Slide 38

Slide 38 text

38 HowFastのDashboard  ■HowFastのDashboardイメージ  現在のステータス 

Slide 39

Slide 39 text

39 HowFastのモニター設定  ■HowFastのモニター設定  Slack連携可 

Slide 40

Slide 40 text

40 HowFastの通知設定  ■HowFastの通知設定  SlackのWebHookURLとChannelを指定すると、Slackに通知ができる。 

Slide 41

Slide 41 text

41 スマホアプリ通知やSlack連携  ■アプリ通知やSlack連携が便利  Freshpingは１分間隔なので、５分間隔のUptime Robotより通知が早い。  Uptime Robotは、スマホアプリへの通知ができる。 

Slide 42

Slide 42 text

42 User-Agent: Mozilla/5.0+(compatible; UptimeRobot/2.0; http://www.uptimerobot.com/) User-Agent: StatusCake/Pretest (Statuscake.com) User-Agent: FreshpingBot/1.0 (+https://freshping.io/) User-Agent: HowFastBot/1.3 (howfast.tech) User-Agentを把握しておこう  ■PhorpiexのC2サーバで、User-Agentの対策がされた  Uptime Robotだと 404 Not Found  ptime Robotだと 200 OK  2020/04/06以降、Uptime Robotの対策は解除されたが、05/31再び対策された。 

Slide 43

Slide 43 text

43 ５　その他の情報源 

Slide 44

Slide 44 text

44 DIRB（Web Content Scanner）  $ dirb http://??????.top/ phorpiex.txt ----------------- DIRB v2.22 By The Dark Raver ----------------- START_TIME: Mon Apr 6 10:56:05 2020 URL_BASE: http://tldrbox.top/ WORDLIST_FILES: /usr/share/dirb/wordlists/vulns/phorpiex.txt ----------------- GENERATED WORDS: 133 ---- Scanning URL: http://tldrbox.top/ ---- + http://??????.top/2 (CODE:200|SIZE:129032) + http://??????.top/3 (CODE:200|SIZE:129032) + http://??????.top/1.exe (CODE:200|SIZE:128512) + http://??????.top/11.exe (CODE:200|SIZE:128512) + http://??????.top/a.exe (CODE:200|SIZE:128512) + http://??????.top/o.exe (CODE:200|SIZE:128512) + http://??????.top/t.exe (CODE:200|SIZE:128512) + http://??????.top/xxx/ (CODE:403|SIZE:306) ----------------- END_TIME: Mon Apr 6 10:56:38 2020 DOWNLOADED: 133 - FOUND: 8 ◆DIRB | Penetration Testing Tools   　https://tools.kali.org/web-applications/dirb ■dirbコマンド（Webコンテンツスキャナー）  ---- Scanning URL: http://tldrbox.top/ ---- + http://??????.top/2 (CODE:200|SIZE:129032) + http://??????.top/3 (CODE:200|SIZE:129032) + http://??????.top/1.exe (CODE:200|SIZE:128512) + http://??????.top/11.exe (CODE:200|SIZE:128512) + http://??????.top/a.exe (CODE:200|SIZE:128512) + http://??????.top/o.exe (CODE:200|SIZE:128512) + http://??????.top/t.exe (CODE:200|SIZE:128512) + http://??????.top/xxx/ (CODE:403|SIZE:306) sava.exe up.exe upla.exe vget.exe xup.exe 1.txt 2.txt 3.txt 4.txt URLのパスをWordList（辞書）として指定。カスタマイズすると効率よくスキャンできる。 

Slide 45

Slide 45 text

$ dirb http://??????.top/ phorpiex.txt ----------------- DIRB v2.22 By The Dark Raver ----------------- START_TIME: Fri Jun 26 13:31:06 2020 URL_BASE: http://??????.top/ WORDLIST_FILES: phorpiex.txt ----------------- GENERATED WORDS: 228 ---- Scanning URL: http://??????.top/ ---- ----------------- END_TIME: Fri Jun 26 13:31:06 2020 DOWNLOADED: 228 - FOUND: 0 45 torifyコマンド  ■torifyコマンド（Wrapper for Torsocks and Tor）  　socks5プロキシを指定できない dirbやwget等のコマンドは・・・  　　→torifyコマンド経由でラッピングして実行するとTor経由に！  $ sudo torify dirb http://??????.top/ phorpiex.txt ----------------- DIRB v2.22 By The Dark Raver ----------------- START_TIME: Fri Jun 26 13:32:01 2020 URL_BASE: http://??????.top/ WORDLIST_FILES: phorpiex.txt ----------------- GENERATED WORDS: 228 ---- Scanning URL: http://??????.top/ ---- + http://??????.top/2 (CODE:200|SIZE:91048) + http://??????.top/1.exe (CODE:200|SIZE:230400) + http://??????.top/2.exe (CODE:200|SIZE:230400) + http://??????.top/11.exe (CODE:200|SIZE:230400) + http://??????.top/32.exe (CODE:200|SIZE:195584) + http://??????.top/64.exe (CODE:200|SIZE:195584) ＜中略＞ + http://??????.top/pe/ (CODE:200|SIZE:1) + http://??????.top/pe/1 (CODE:200|SIZE:196104) + http://??????.top/pe/2 (CODE:200|SIZE:230920) ----------------- END_TIME: Fri Jun 26 13:34:12 2020 DOWNLOADED: 228 - FOUND: 15

Slide 46

Slide 46 text

46 httpstatus.io  ■Last-Modified などのヘッダを確認  こちらのIPは先方にはバレないが、  User-Agentはバレるので注意。  200 OKか、404 NotFoundか。  Connection Timeoutか。 

Slide 47

Slide 47 text

47 Last-Modified の観測  ■Last-Modified を観測することで、攻撃者の動きが分かる  ペイロードが置かれた時刻が、  Last-Modifiedに反映される。 

Slide 48

Slide 48 text

48 まとめ  ◆用途に合ったサービスを選ぼう！  ◆C2サーバやマルウェア配付サイトを観測できるぞ！  ◆知り得た情報を基に、新たな観測をしてみよう！

Slide 49

Slide 49 text

ご清聴ありがとうございました。  49 質問はお気軽にDMでどうぞ  @catnap707 