「CSS／MWS 2015」に向けた3000件のマルウエア解析から得られた発見とは？：セキュリティ業界、1440度（15）

連載目次

ご存じですか？ CSS／MWS

　2015年10月21日から23日にかけて長崎新聞文化ホールで「CSS／MWS 2015」（コンピュータセキュリティシンポジウム／マルウェア対策研究人材育成ワークショップ）が開催されます。

　CSSは、情報処理学会のコンピュータセキュリティ研究会（CSEC）が主催するシンポジウムであり、毎年、コンピュータセキュリティに関するさまざまな分野の研究発表が行われます。そのCSSで、ワークショップという形で合同開催されるのがMWSであり、こちらはセキュリティ技術の中でも特にマルウエア解析に関する内容が取り扱われます。

　FFRIは2013年から、実行委員・プログラム委員としての参画、研究用データセットの提供、研究発表の実施など、さまざまな形でMWSに関わってきました。詳細については下記のブログ記事をご覧ください。

　今年も既に研究用データセットである「FFRI Dataset 2015」の提供を開始しており、夏の論文投稿締切に向けて社内でも数名のエンジニアが研究に取り組んでいます。

　また、研究用データセットの提供に当たってデータの精査をしていたところ、多少面白い発見がありました。その内容は先日、リサーチペーパーとして弊社のWebサイトで公開しています。

2015年5月に開催されたMWS2015意見交換会の様子（提供：MWS組織委員会）

今年用のデータセットで見つかった面白い発見

　本稿では、上記のリサーチペーパーについて簡単に紹介したいと思います。

　研究用データセットの中身は、毎年1月から4月に弊社で独自に収集したマルウエアの中から無作為に3000件を抽出し、「Cuckoo Sandbox」と呼ばれる動的解析の仕組みにより解析を行ったログファイル群となっています。3000件それぞれのマルウエアについて、実際にマルウエアを専用のPC上で実行・感染させ、その際に発生した振る舞いやシステムへの影響などの情報をまとめたものと考えていただければと思います。

　今回このデータを作成後に眺めていたところ、例年にないデータがいくつか確認されました。具体的には、マルウエアによるWindows PowerShellを利用した悪意の振る舞いです。

　Windows PowerShellは、2006年にリリースされたWindows向けの新世代シェルおよびスクリプティング環境になります。従来、Windows上でのさまざまなシステム管理やバッチ処理などは、コマンドプロンプト上のDOSコマンドやバッチファイル、WSH（Windows Script Host）が利用されていましたが、利便性やセキュリティなどの観点から課題がありました。PowerShellはこれらの課題を解決し、従来の仕組みを置き換えるものとして提供されたものです。Windows 7以降ではOSに標準同梱されており、主にシステム管理者やソフトウエア開発者によって利用されています。

　別の言い方をすれば、OS標準のスクリプティング言語および実行環境の一種ですので、マルウエアがPowerShellを悪用するという発想自体はこれまで同様で、何ら新しいものではありません。ただし、この2年ほど、実際のサイバー攻撃でマルウエアやハッカーがPowerShellを悪用する事例が複数報告されており、今年のデータセット内でこうした痕跡が確認されたことは、時間軸の面で関連性があるのでは、と興味深く感じました。

　リサーチペーパー中でも紹介していますが、サイバー攻撃におけるPowerShellの具体的な悪用事例としては下記の二つが存在します。

　一点目は、米FireEyeの子会社でありインシデントレスポンスなどのセキュリティサービスを提供している米Mandiantの研究者が昨年のBlackHat USAで発表したものです。内容としては、PowerShellを利用し、侵害されたシステムを調査する手段についてまとめたものになっています。

　二点目は、米CrowdStrike社の研究者がRSA Conference 2015で発表したものであり、内容としては実際のサイバー攻撃において確認されたPowerShellなどを利用した攻撃手法についての事例報告です。

　今回公開したわれわれのリサーチペーパーでは、FFRI Datasetの中で確認されたPowerShellを悪用するマルウエアについて、具体的に確認された振る舞いを抽出し、紹介しています。結果的に言えば、振る舞いの目的は従来と何ら変わりはなく、その方法としてPowerShellを利用しているという意味で異なるだけのものでした。

　ただし、これは検知・防御の観点から見るとPowerShellスクリプト自体をチェックするか、PowerShellスクリプトを実際に実行するPowerShell.exeの振る舞いをチェックする必要があるということを意味し、従来のマルウエアの振る舞いをチェックするだけでは検知・防御できないことになります（PowerShell.exeはOS標準の正常アプリケーション）。

　こうしたマルウエアの変化を日々調査・分析し、その時点での脅威に対抗する防御機構を実現することはもちろん、将来的な攻撃のバリエーションを見据えて、より普遍的・汎用的な防御機構を実現することが非常に重要だと感じています。