実力不足.txt

学内発表で使用しようと思っていたが、発表時間などの関係上使用できなくなったスライド

南無

インシデントが発生したときに、今の実力で自分ができる範囲をmalware解析しながらまとめました。

Transcript

1. Πϯγσϯτൃੜ͔Βײછͷ๷ࢭʢࣗݾྲྀʣ ޙ౻େً
2. ͜ͷҙݟ͸ݸਓʹΑΔ΋ͷͰɺஂମΛ୅ද͢Δ΋ͷͰ͸͋Γ·ͤΜ
3. ໨࣍ ⿎໰୊ൃੜ ⿎৘ใऩू ⿎ϫʔυϑΝΠϧͷղੳ ⿎ຊମͷղੳ ⿎ରࡦͱ·ͱΊ
4. ໰୊ൃੜ MONDAI-HASSEI
5. ໰୊ൃੜͷྲྀΕ ⿎ औҾʹؔ͢Δ೔ຊޠͷϝʔ ϧ͕ಧ͘ ⿎ ఴ෇͞Ε͍ͯΔWordͷϑΝΠ ϧΛ։͘ ⿎ ηΩϡϦςΟιϑτ͕ҟৗ Λݕ஌
6. ϫʔυϑΝΠϧ͕ಧ͘ ⿎ૹΒΕ͖ͯͨ΋ͷΛղੳ͢Δ
7. ৘ใऩू ZYOUHOUSYUSYU
8. ৘ใऩू ࠷ۙɺ೔ຊͰ࿩୊ʹͳ͍ͬͯΔϚϧ΢ΣΞ͸ͳ͍͔Λݕࡧ ※ͦͷϚϧ΢ΣΞ͕ͲͷΑ͏ͳѱ͞Λ͢Δͷ͔΋೺Ѳ͢Δ ⿎ Google ⿎ ೔ຊޠͷهࣄΛݕࡧ ⿎ Twitter ⿎ Ϛϧ΢ΣΞ until:2019-12-01 lang:ja etc…
9. https://www.jpcert.or.jp/at/2019/at190044.html
10. ໨੕͕෇͘ Emotetͱ͍͏Ϛϧ΢ΣΞʹײછͨ͠ͷͰ͸ɾɾɾʁ
11. EMOTET͕ͳʹΛ͢Δ͔ ⿎ ৘ใऩू ⿎ ୺຤΍ϒϥ΢βʹอଘ͞ΕͨϢʔβͷೝূ৘ใͷ઄औ ⿎ ͞·͟·ͳ৘ใͷ઄औ ⿎ ֦ࢄ ⿎ ऩूͨ͠৘ใΛར༻͠ɺଞ୺຤΁ͱ֦ࢄ ⿎ ผͷϚϧ΢ΣΞͷμ΢ϯϩʔυ ⿎ ऩूͨ͠৘ใΛૹΔͨΊʹɺC2ͱ௨৴͢Δ͜ͱ͕ඞཁɻ΄͔ͷϚϧ΢ΣΞͳͲΛμ΢ϯϩʔυ͢ΔՄ ೳੑ͕͋Δ
12. ৘ใͷ੔ཧ ⿎ऩूͨ͠৘ใΛ੔ཧ͢Δ͜ͱͰҎԼͷ͜ͱ͕େ·͔ʹΘ͔Δ ⿎ ͲͷΑ͏ͳରࡦΛͱΕ͹͍͍͔ ➢ ৘ใ઄औ΍ଞϚϧ΢ΣΞͷײછ͕໨తͷͨΊɺC2αʔόͱ௨৴͑ͤ͞͞ͳ͚Ε͹͍͍ ⿎ ղੳͯ͠ɺͲͷΑ͏ͳ݁Ռ͕ཉ͍͠ͷ͔ ➢ ௨৴ઌͷC2αʔόͷυϝΠϯɾIPΞυϨε
13. ϫʔυϑΝΠϧͷղੳ WORDFILE-NO-KAISEKI
14. ϫʔυϑΝΠϧͷղੳ ⿎ૹͬͯ΋ΒͬͨϫʔυϑΝΠϧͷղੳ ⿎ ϚΫϩ͕૊·Ε͍ͯͯɺͦΕΛ࣮ߦ͢Δ ͜ͱͰײછͨͬ͠Ά͍ ⿎ ϚΫϩΛݟͯΈΔ
16. ͕͔͔࣌ؒΓ͗͢ΔͷͰ࣮ࡍʹಈ͔͢ ⿎ಈ͖͕େମΘ͔Δ ➢ ϚΫϩ࣮ߦ ➢ powershellͷ࣮ߦ ➢ 791.exeͷ࣮ߦ ➢ serialfunc.exeͷ࣮ߦ
17. POWERHSELLͰԿΛ΍͍ͬͯΔͷ͔ݟͯΈΔ ⿎Base64ͰEncode͞ΕͨεΫϦϓτΛ࣮ߦ͠Α͏ͱ͍ͯ͠Δ
18. POWERHSELLͰԿΛ΍͍ͬͯΔͷ͔ݟͯΈΔ ⿎Base64ͰEncode͞ΕͨεΫϦϓτΛ࣮ߦ͠Α͏ͱ͍ͯ͠Δ
19. POWER SHELLͷ಺༰ ⿎Decode͢Δ ੔ܗ͢Δ
22. ϫʔυϑΝΠϧ͔ΒΘ͔ͬͨ͜ͱ ⿎ੜ੒͞ΕΔϑΝΠϧͱͦͷ৔ॴ $env:userprofile/791.exe ⿎Ϛϧ΢ΣΞΛμ΢ϯϩʔυ͢ΔURL
23. υϝΠϯ৘ใΛௐ΂ͯΈΔ ⿎ ͍͔ͭ͘ͷυϝΠϯΛௐ΂ͯΈΔ
24. ※WikipediaΑΓҾ༻
25. ຊମͷղੳ HONTAI-NO-KAISEKI
26. ຊମͷղੳ ݟ͚ͭͨURL͔ΒݕମΛͱ͖ͬͯͯղੳ͢Δ ⿎ ද૚ղੳ ➢ ؆୯ʹಘΒΕΔ৘ใͷऔಘ ⿎ ੩తղੳ ➢ ࣮ߦͤͣʹɺΞηϯϒϦΛಡΜͰղੳ ⿎ ಈతղੳ ➢ ࣮ࡍʹಈ͔ͯ͠ղੳ͢Δ
27. ຊମͷղੳ ݟ͚ͭͨURL͔ΒݕମΛͱ͖ͬͯͯղੳ͢Δ ⿎ ද૚ղੳ ➢ ؆୯ʹಘΒΕΔ৘ใͷऔಘ ⿎ ੩తղੳ ➢ ࣮ߦͤͣʹɺΞηϯϒϦΛಡΜͰղੳ ⿎ ಈతղੳ ➢ ࣮ࡍʹಈ͔ͯ͠ղੳ͢Δ ࠓճ͸͜Ε͚ͩ
28. ಈతղੳ ⿎ ࣮ߦ͢Δ ࣗ෼ࣗ৴Λ࡟আ͠ɺಛఆͷύεʹϑΝΠϧΛ࡞੒͍ͯ͠Δ ⿎ ҰൠݖݶͰ࣮ߦͨ͠৔߹ C:\Users\{USERNAME}\\AppData\\Local\\ {Ϛϧ΢ΣΞͷ໊લ}\\{Ϛϧ΢ΣΞ} ⿎ ؅ཧऀݖݶͰ࣮ߦͨ͠৔߹ C:\Windows\\SysWow64\\{Ϛϧ΢ΣΞ}
29. ৽͘͠Ͱ͖ͨϑΝΠϧ͸ͳΜͩʁ ⿎ ৽͘͠࡞੒͞Ε࣮ͨߦϑΝΠϧ ⿎ མͱ͖࣮ͯͨ͠ߦϑΝΠϧ
30. ৽͘͠Ͱ͖ͨϑΝΠϧ͸ͳΜͩʁ ಉ͡ϑΝΠϧ͕৔ॴΛม͚͑ͨͩ ⿎ ৽͘͠࡞੒͞Ε࣮ͨߦϑΝΠϧ ⿎ མͱ͖࣮ͯͨ͠ߦϑΝΠϧ
31. ԿΛ΍͍ͬͯͨͷ͔Λ௥ͬͯΈΔ ⿎ ʮམͱ͖ͯͨ͠Ϛϧ΢ΣΞʯ͸ʮ৔ॴΛม͑ͨϚϧ΢ΣΞʯΛ࣮ߦ͢Δ
32. ԿΛ΍͍ͬͯͨͷ͔Λ௥ͬͯΈΔ ⿎ ʮམͱ͖ͯͨ͠Ϛϧ΢ΣΞʯ͸ʮ৔ॴΛม͑ͨϚϧ΢ΣΞʯΛ࣮ߦ͢Δ ίϚϯυϥΠϯҾ਺Λ౉࣮ͯ͠ߦ͍ͯ͠Δ
33. ԿΛ΍͍ͬͯͨͷ͔Λ௥ͬͯΈΔ ίϚϯυϥΠϯҾ਺Λ౉͞Εͨʮ৔ॴΛม͑ͨϚϧ΢ΣΞʯ͸ىಈ͠ଓ͚Δɻ ઀ଓ͕Ͱ͖Δ·ͰC2αʔόʔͱͷ௨৴ΛࢼΈ͍ͯΔ
34. ԿΛ΍͍ͬͯͨͷ͔Λ௥ͬͯΈΔ ίϚϯυϥΠϯҾ਺Λ౉͞Εͨʮ৔ॴΛม͑ͨϚϧ΢ΣΞʯ͸ىಈ͠ଓ͚Δɻ ઀ଓ͕Ͱ͖Δ·ͰC2αʔόʔͱͷ௨৴ΛࢼΈ͍ͯΔ C2αʔόͷIPΞυϨε
35. ۓٸͷରࡦ TAISAKU
36. ۓٸͷରࡦ ⿎ϫʔυϑΝΠϧͷϚΫϩ࣮ߦΛແޮʹઃఆ͢Δ ⿎ಈతղੳͰͱΕͨIPΞυϨε΁ͷ઀ଓΛϒϩοΫ ⿎Ϛϧ΢ΣΞͷຊମΛ࡟আ