2018年の インシデントを振り返る - jpcert · 201820182018年の年の年の 2018年の...

Report

Post on 05-Jun-2020

4 Views

Category:

Documents

0 Downloads

Preview:

Click to see full reader

TRANSCRIPT

2018年の年の2018年の年の2018年の年の2018年の年の2018年の年の2018年の年の

2018

2018

年の年の

年の年の

2018

2018

年の年の

年の年の

2018

2018

年の年の

年の年の

2018

2018

年の年の

年の年の

20182018年の年の年の年の

インシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返る

インシデントを振り返るインシデントを振り返るインシデントを振り返るインシデントを振り返るJPCERTコーディネーションセンターコーディネーションセンターインシデントレスポンスグループインシデントレスポンスグループ椎木孝斉椎木孝斉2019年年1月月18日日JapanSecurityAnalystConference2019

1

http://localhost:8000/jsac_2019_opening_pdf.html#/sec-title-slide

2つの大きな攻撃タイプつの大きな攻撃タイプ

2

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

標的型攻撃標的型攻撃

3

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

JPCERT/CCが確認した標的型攻撃が確認した標的型攻撃

4

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

クラウドサービスの悪用クラウドサービスの悪用

攻撃の標的としてOffice365GSuiteなど攻撃のインフラとしてGitHubなど

マルチプラットフォーム型マルチプラットフォーム型の攻撃の攻撃

WindowsLinuxmacOS

最近の標的型攻撃の特徴最近の標的型攻撃の特徴

5

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

WellMess(2018年前半年前半)

6

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

WellMess内に含まれる内に含まれるGo言語の関数言語の関数(抜粋抜粋)

7

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

確認した確認したWellMess

Go

.Net

(実行環境)Windows Linux

(開発環境)

YNYY

8

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

RedLeaves(2018年前半年前半)

9

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

RedLeavesの変化の変化2016年頃年頃RedLeaves

2017年年Himawari

2018年年Lavender,zark20rk

10

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

TSCookie/PLEAD(2018年前半年前半-後半後半)

11

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

TSCookie/TSCookieRAT

12

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

PLEADダウンローダーダウンローダー

13

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

PLEADモジュールモジュール

14

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

ばらまき系攻撃ばらまき系攻撃

15

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

CoinMiner系のサイト改竄系のサイト改竄(a.k.a.クリプトジャッキングクリプトジャッキング)

(2018年前半年前半)

16

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

CoinHiveスクリプトの埋め込みスクリプトの埋め込み

17

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

CoinHiveスクリプトの埋め込みスクリプトの埋め込み(難読化難読化)

18

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

OracleWebLogicServerの脆弱性の脆弱性(CVE-2017-10271)を悪用した攻撃を悪用した攻撃

19

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

日本語マルウエア添付メール日本語マルウエア添付メール(2018年前半年前半-後半後半)

20

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

攻撃の流れ攻撃の流れ

21

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

sagawa.apkをダウンロードさせる攻撃をダウンロードさせる攻撃(2018年後半年後半)

22

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

偽サイト偽サイト

23

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

フィッシングフィッシング

24

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

マルウエアマルウエア(sagawa.apk)

緑枠緑枠緑枠緑枠 は公式アプリでも要求される権限は公式アプリでも要求される権限は公式アプリでも要求される権限は公式アプリでも要求される権限

25

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

JPCERT/CCの公開ツールの公開ツール(GitHub)

26

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

aa-tools

27

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

LogonTracer

28

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

SysmonSearch

29

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

JSAC2019講演リスト講演リスト分類分類 タイトルタイトル

A セキュリティログ分析のフィールドはエンドポイントへセキュリティログ分析のフィールドはエンドポイントへ～～Windows深層における攻深層における攻防戦記～防戦記～

A BRONZERIVERSIDE(APT10)によるによるANELを利用した攻撃手法とその詳細解析を利用した攻撃手法とその詳細解析

A C&C完全に理解した標的型攻撃に使用されたマルウェア完全に理解した標的型攻撃に使用されたマルウェアxxmmから学ぶ、から学ぶ、HTTPをを用いたコマンド用いたコマンド&コントロール実装コントロール実装

C Alessonthatshouldbelearnedfromthecyber-attackinKorea

C DeepDiveIntoTheCyberEnemy:VariousCaseStudy

D 週末なにしてますか週末なにしてますか?忙しいですか忙しいですか?DbDを解析してもらっていいですかを解析してもらっていいですか?

D 仮想通貨を要求するセクストーションスパム仮想通貨を要求するセクストーションスパム

D 公開サーバを狙った仮想通貨の採掘を強要する攻撃について公開サーバを狙った仮想通貨の採掘を強要する攻撃について

30

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

JSAC2019楽しんでください楽しんでください今年はコーヒーブレークも用意してます今年はコーヒーブレークも用意してます

31

http://localhost:8000/jsac_2019_opening_pdf.html#/slide-sec-

top related

振り返りハック -lifeをhackingするために-
Documents
hack for japan 3.11 クロスオーバー振り返り...
Technology
2014年からswiftを振り返る！ #cswift
Technology
t sql 振り返り
Technology
居心地のよい学級づくり -...
Documents
q＆aで振り返る「back to basics」 css 2015.08.30
Engineering
ざっくり振り返るux hong kong 2016
Design
インストールマニアックスを振り返ってみる...
Documents
タイムマネジメント...
Documents
setucocmsの初心を振り返ってみる 2011828
Documents
平成 26年度の経営を振り返って平成...
Documents
写真で振り返る javaoone
Technology
2013年 webデザインのトレンドを振り返る
Design
10大ニュースで振り返るpg con2013
Software
japan security analyst conference 2020 オープニン...
Documents
cloud foundry 百日行 振り返り
Technology
rancher jp1周年振り返り anniversary meetup slide...
Software
渋谷java#2 昔のjavaを振り返る
Documents
コーポレートガバナンス・コード...
Documents
5分で振り返る windows azure の歴史
Documents