JPCERT/CC Eyes

impfuzzy for Neo4jを利用したマルウエア分析

今回は、2017-03-10号で紹介したマルウエアをクラスタリングするツール「impfuzzy for Neo4j」を実際に活用してマルウエアを分析した事例を紹介します。今回分析したのはEmdiviと呼ばれるマルウエアです。Emdiviは、2015年頃まで確認されていた日本の組織をターゲットにした攻撃で使用されたマルウエアです。（Emdiviについては、JPCERT/CC資料「日本の組織をターゲットにした攻撃キャンペーンの詳細」で解説していますので、詳細を知りたい方はそちらをご覧ください。）

impfuzzy for Neo4jでEmdiviをクラスタリング
Emdiviには大きく分けて、t17とt20という2つのタイプが存在します。今回の分析はEmdivi t17を対象に行います。図1は、impfuzzy for Neo4jを利用してEmdivi t17を分析した結果です。

90検体を分析した結果、4つのタイプに分類することができました。図2は分類結果を可視化したものです。なお、各検体の詳しい分類結果についてはAppendix Aをご覧ください。（グラフの作成方法などについては、2017-03-10号で紹介したimpfuzzy for Neo4jの使用方法をご覧ください。）

それぞれのタイプに分類された各検体をコンパイル日時で比較すると、例外はありますが、Type1から順に、2、3、4と日時が新しいことがわかります。（Appendix Aを参照）
impfuzzy for Neo4jでは、impfuzzyというImport APIから作成したハッシュ値をもとにWindows実行ファイルの類似性を比較する手法を使って、各マルウエアの類似度を計算します。そのため、異なるタイプに分類された理由に関してはimpfuzzy for Neo4jの分析だけでは分かりません。具体的な分類理由を知るためには、手動でマルウエアを分析して、それぞれのタイプのImport APIが異なっている理由を確認する必要があります。
以降では、Emdivi t17を分析し4つのタイプに分類された理由を調査した結果について記載します。

Type1からType2への変化
分類結果（Appendix A）を確認すると、Emdivi t17は2014年9月頃Type1からType2に変化しています。この変化の原因を調査したところ、リンカのバージョンが変化していることが分かりました。
PEファイルは、IMAGE_OPTIONAL_HEADER[1]というヘッダー情報を持っています。この中には、MajorLinkerVersionおよびMinorLinkerVersionという情報があり、リンカのバージョンが書き込まれます。Emdivi t17の作成時に使用されたリンカのバージョンを確認するとType1では主に10.0（Visual Studio 2010）を使用していましたが、Type2では9.0（Visual Studio 2008）を使用していることが分かります。リンカのバージョンが変化したことによって、ロードするWindows APIなどが変化し、異なるタイプに分類されたと考えられます。

Type2からType3への変化
Type2からType3のタイプに変化したのは、2014年11月頃です。ここでの変化は、Windows APIのロード方法の変更によるものです。通常Windows APIを使用する場合、PEヘッダー情報から参照されるINT（Import Name Table）に使用するAPI名を記述することで、実行時にロードします。（詳しくは、2016-11-28号をご覧ください。）
しかし、Type3の検体では、一部のWindows API名を難読化して保持しておき、Windows APIを使用する際にロードする手法を使うように変化しています。図3は、Emdivi t17内で難読化されている文字列をデコードした結果です。Type3では、いくつかのWindows API名が難読化（赤文字で記載）されていることが分かります。

Type3で難読化されたWindows APIは、INTから削除されています。これによって、INTを見ただけでは、どのようなWindows APIを実行しようとしているかわからないことになります。 このWindows APIのロード方法の変化によって、異なるタイプに分類されたと考えられます。

Type3からType4への変化
最後に、Type3からType4への変化ですが、2015年5月頃にあったとみられます。これは、ボット機能（リモートの攻撃者からの指示(コマンド)によってマルウエアが実行する機能）の追加によるものです。Type3では8個だったボット機能がType4から9個に変化しています。以下は、Type4のボット機能です。「GOTO」がType4から追加されたボット機能です。

• GOTO
• DOABORT
• DOWNBG
• GETFILE
• LOADDLL
• SETCMD
• SUSPEND
• UPLOAD
• VERSION

このボット機能の追加により新たなWindows APIを使用するようになったことで、異なるタイプに分類されたと考えられます。

おわりに
大量のマルウエアをすべて手動で分析するのは現実的ではありません。マルウエアの分類作業をツールによって自動化し、分析するべき新種のマルウエアを抽出したり、マルウエアの変化を検知したりすることは重要です。impfuzzy for Neo4jを使用すると、今回解説したようにすべての検体を分析しなくても、変化のあったマルウエアのみ分析するなど効率的に分析を進めることが可能になります。ツールはGithubで公開していますので、ぜひ活用していただければと思います。

分析センター 朝長 秀誠

参考情報
[1] Microsoft: IMAGE_OPTIONAL_HEADER structure
　　https://msdn.microsoft.com/en-us/library/windows/desktop/ms680339(v=vs.85).aspx

Appendix A Emdivi t17の分類結果

表 1: Emdivi t17の分類結果一覧