Upload File

2018年の インシデントを振り返る - jpcert · 201820182018年の年の年の 2018年の...

  • Home
  • Documents
  • 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る
31
2018 年の 年の 2018 年の 年の 2018 年の 年の 2018 年の 年の 2018 2018年の 年の 年の 年の インシデントを振り返る インシデントを振り返る インシデントを振り返る インシデントを振り返る インシデントを振り返る インシデントを振り返る インシデントを振り返る インシデントを振り返る インシデントを振り返る インシデントを振り返る インシデントを振り返る インシデントを振り返る JPCERT コーディネーションセンター コーディネーションセンター インシデントレスポンスグループ インシデントレスポンスグループ 椎木孝斉 椎木孝斉 2019 年 1 月 18 日 Japan Security Analyst Conference 2019 1

Upload: others

Post on 05-Jun-2020

4 views

Category:

Documents


0 download

Report

TRANSCRIPT

Page 1: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

2018年の年の2018年の年の2018年の年の2018年の年の2018年の年の2018年の年の

2018

2018

年の年の

年の年の

2018

2018

年の年の

年の年の

2018

2018

年の年の

年の年の

2018

2018

年の年の

年の年の

20182018年の年の年の年の

インシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るJPCERTコーディネーションセンターコーディネーションセンターインシデントレスポンスグループインシデントレスポンスグループ椎木孝斉椎木孝斉2019年年1月月18日日JapanSecurityAnalystConference2019

1

http://localhost:8000/jsac_2019_opening_pdf.html#/sec-title-slide
Page 2: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

2つの大きな攻撃タイプつの大きな攻撃タイプ

2

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 3: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

標的型攻撃標的型攻撃

3

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 4: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

JPCERT/CCが確認した標的型攻撃が確認した標的型攻撃

4

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 5: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

クラウドサービスの悪用クラウドサービスの悪用

攻撃の標的としてOffice365GSuiteなど攻撃のインフラとしてGitHubなど

マルチプラットフォーム型マルチプラットフォーム型の攻撃の攻撃

WindowsLinuxmacOS

最近の標的型攻撃の特徴最近の標的型攻撃の特徴

5

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 6: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

WellMess(2018年前半年前半)

6

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 7: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

WellMess内に含まれる内に含まれるGo言語の関数言語の関数(抜粋抜粋)

7

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 8: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

確認した確認したWellMess

Go

.Net

(実行環境)Windows Linux

(開発環境)

YNYY

8

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 9: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

RedLeaves(2018年前半年前半)

9

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 10: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

RedLeavesの変化の変化2016年頃年頃RedLeaves

2017年年Himawari

2018年年Lavender,zark20rk

10

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 11: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

TSCookie/PLEAD(2018年前半年前半-後半後半)

11

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 12: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

TSCookie/TSCookieRAT

12

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 13: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

PLEADダウンローダーダウンローダー

13

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 14: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

PLEADモジュールモジュール

14

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 15: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

ばらまき系攻撃ばらまき系攻撃

15

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 16: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

CoinMiner系のサイト改竄系のサイト改竄(a.k.a.クリプトジャッキングクリプトジャッキング)

(2018年前半年前半)

16

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 17: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

CoinHiveスクリプトの埋め込みスクリプトの埋め込み

17

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 18: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

CoinHiveスクリプトの埋め込みスクリプトの埋め込み(難読化難読化)

18

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 19: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

OracleWebLogicServerの脆弱性の脆弱性(CVE-2017-10271)を悪用した攻撃を悪用した攻撃

19

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 20: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

日本語マルウエア添付メール日本語マルウエア添付メール(2018年前半年前半-後半後半)

20

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 21: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

攻撃の流れ攻撃の流れ

21

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 22: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

sagawa.apkをダウンロードさせる攻撃をダウンロードさせる攻撃(2018年後半年後半)

22

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 23: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

偽サイト偽サイト

23

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 24: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

フィッシングフィッシング

24

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 25: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

マルウエアマルウエア(sagawa.apk)

緑枠緑枠緑枠緑枠 は公式アプリでも要求される権限は公式アプリでも要求される権限は公式アプリでも要求される権限は公式アプリでも要求される権限

25

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 26: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

JPCERT/CCの公開ツールの公開ツール(GitHub)

26

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 27: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

aa-tools

27

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 28: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

LogonTracer

28

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 29: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

SysmonSearch

29

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 30: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

JSAC2019講演リスト講演リスト分類分類 タイトルタイトル

A セキュリティログ分析のフィールドはエンドポイントへセキュリティログ分析のフィールドはエンドポイントへ～～Windows深層における攻深層における攻防戦記～防戦記～

A BRONZERIVERSIDE(APT10)によるによるANELを利用した攻撃手法とその詳細解析を利用した攻撃手法とその詳細解析

A C&C完全に理解した標的型攻撃に使用されたマルウェア完全に理解した標的型攻撃に使用されたマルウェアxxmmから学ぶ、から学ぶ、HTTPをを用いたコマンド用いたコマンド&コントロール実装コントロール実装

C Alessonthatshouldbelearnedfromthecyber-attackinKorea

C DeepDiveIntoTheCyberEnemy:VariousCaseStudy

D 週末なにしてますか週末なにしてますか?忙しいですか忙しいですか?DbDを解析してもらっていいですかを解析してもらっていいですか?

D 仮想通貨を要求するセクストーションスパム仮想通貨を要求するセクストーションスパム

D 公開サーバを狙った仮想通貨の採掘を強要する攻撃について公開サーバを狙った仮想通貨の採掘を強要する攻撃について

30

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-
Page 31: 2018年の インシデントを振り返る - JPCERT · 201820182018年の年の年の 2018年の インシデントを振り返るインシデントを振り返るインシデントを振り返る

JSAC2019楽しんでください楽しんでください今年はコーヒーブレークも用意してます今年はコーヒーブレークも用意してます

31

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

Rancher jp1周年振り返り anniversary meetup slide summary

Kaggle boschコンペ振り返り

ネット選挙分析振り返り@Tokyo webmining 35th

2013年 Webデザインのトレンドを振り返る

2014年からSwiftを振り返る！ #cswift

Word camp tokyo2014 わぷーステージ振り返り

Hadoopビッグデータ基盤の歴史を振り返る #cwt2015

写真で振り返る JavaOone

10大ニュースで振り返るpg con2013

授業の振り返りシート...2017/12/15  · 授業の振り返りシート ①学びの振り返りの ために ②授業評価（授業改 善）のために ※全ての教科、原則毎時間

Cloud Foundry 百日行 振り返り

居心地のよい学級づくり - edu-ctr.pref.kanagawa.jp · 1 自分の学級を見直してみよう シート2シート2 振り返りフローチャート振り返りフローチャート振り返りフローチャート

この 30 年を振り返って

Swift を振り返ってみよう #cswift

授業の振り返りシート - mext.go.jp...授業の振り返りシート ①学びの振り返りの ために ②授業評価（授業改 善）のために ※全ての教科、原則毎時間

Code for Numazu 一年の振り返り

渋谷Java#2 昔のJavaを振り返る

プロジェクトの振り返り - swest.toppers.jpswest.toppers.jp/SWEST15/data/s3d_proceeding.pdf · プロジェクトの振り返り 振り返りもカイゼンする! 実践的振り返り手法の提案

5分で振り返る windows azure の歴史

20150418 system center振り返り

ワーク01 振り返り キフカッション2017

2年間の振り返りカフェ（20150523）slide share用

Q＆Aで振り返る「Back to Basics」 CSS 2015.08.30

ざっくり振り返るUX Hong Kong 2016

FOREX.com MT4 「2016年のマーケットを振り返る」/media/forex/files/education/seminars/mt4/... · FOREX.com MT4 「2016年のマーケットを振り返る」 Author: Shinichi

事例から振り返るIo tの今後

T sql 振り返り

Hack for Japan 3.11 クロスオーバー振り返り Fandroid Kansai紹介

振り返りハック -Lifeをhackingするために-

タイムマネジメント 〜「まとめ」「振り返り」を確保するた …...タイムマネジメント 〜「まとめ」「振り返り」を確保するために〜

Build 2013 振り返り - Windows Azure編

SetucoCMSの初心を振り返ってみる 2011828

Japan Security Analyst Conference 2020 オープニン …...Japan Security Analyst Conference 2020 (オープニングトーク) 2019 年のインシデント を振り返る JPCERT

インストールマニアックスを振り返ってみる （ Windows Web Server 2008 編）

平成 26年度の経営を振り返って平成 26年度の経営を振り返って