マルウェア
# 攻撃者の背景
| 名前 | 主体 | 目的 | 標的 |
|---|---|---|---|
| APT(Advanced Persistent Threat) | 軍・諜報機関など国家の支援を受けた企業・組織 | 機密情報の窃取や、対象ネットワークへのアクセス保持 | 特定の企業や組織 |
| Cybercrime | 犯罪者グループ | 金銭 | 不特定多数 |
| Hacktivist | 個人やグループの活動化 | 政治的または社会的な目的達成 | 活動の対象となる国や組織 |
# RaaS (Ransomware-as-a-Service)
マルウェアツール
- Hidden Malware Builder v2.0/V4.0
- Crypto Money Grabber PowerShell Script
- Multi Downloader Builder V2.0
- Hidden CPLApplet Builder V2.0
- UAC Bypasser Builder V2.0
- XBinder V2.0
- XWorm V2.2
Cyble — EvilCoder Project Selling Multiple Dangerous Tools Online
# マルウェア分類
Malware: Malicious Software
Warez
- 非合法的に配布・販売されている商用ソフトウェア
- 日本では「ワレズ」と呼び、それが派生して「割れ」となった
WannaCry
マルウェアの1種
EternalBlue
Cobalt Strike Beacon
LockBit 3.0
Malleable C2
hack back
システム管理ツール PowerShell, PsExec
ペネトレーションテストツール Cobalt Strike Beacon
クラウドサービス Dropbox, OneDrive
ファイル転送用アプライアンス
Accellion FTA を用いて企業の秘密情報を公開する。
# Windows
- Windowsのポート445（ダイレクト・ホスティングSMBサービス）
- Lateral Movementに使われる
- lsass.exe
- マルウェアがよく使うコマンド
- net リモートのをローカルにマウントする
- reg
# Mac
- The Art Of Mac Malware
- Objective-See’s Blog
- Objective-See’s Mac Malware Collection
- objective-see (objective-see) / Repositories (github.com)
- CH 0x0C Analyzing EvilQuest.pdf (taomm.org)
# 難読化
- Win32API Hashing Obfuscation
- Win32API名のHash値を使い、PEBから関数ポインタを探し、API呼び出しを行うことで、プログラムが使用するAPIを難読化。
- Mixed Boolean Arithmetic
- 定数値/変数の初期値と同値となるような算術演算とビット演算の組み合わせ(XOR,ShiftLeft,ShiftRight,Addなど)に置換し、データを難読化。
- String Obfuscation
- 文字列をXORエンコードし、バイナリ内に格納。文字列の利用時のみにHeap領域へ復号。XOR-keyは文字列ごと/検体ごとに異なる。
- Hikari
- Control Flow Flattening
- ジャンプテーブルを作成し、制御フローを平坦化し、BasicBlockの実行順を難読化。実行順制御にはRouting変数を用いる。
- oLLVM
- Split Basic Blocks
- Control Flow FlattenやString Obfuscationをより難読化する為にBasicBlockの分割をする。
- oLLVM
- Bogus Control Flow
- Control Flow FlattenやString Obfuscation + Split Basic Blocksで生成された多数のBasic Blockに一意に決まるかつ削除が困難な条件分岐を追加しロジックを複雑化。
- Hikari
- Function Argument Randomization
- 関数コールの引数に不必要な定数と追加し、引数の順番を入れ替える。追加された引数はプログラムの動作には無関係であり、呼び出し元の関数のスタックに保持される。
難読化プロジェクト
- HikariObfuscator/Hikari: LLVM Obfuscator (github.com)
- Home · obfuscator-llvm/obfuscator Wiki (github.com)