ハニーポットとマルウェア動的解析とC&Cサーバの監視の融合によるIoTボットネット活動分析の高度化

• Item type: SIG Technical Reports(1)
• 公開日: 2024-03-14
• タイトル: ハニーポットとマルウェア動的解析とC&Cサーバの監視の融合によるIoTボットネット活動分析の高度化
• タイトル / 言語: en
• タイトル: Enhanced Analysis of IoT Botnet Activity by Fusing Honeypots, Malware Dynamic Analysis, and C&C Observation
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: ICSS(2)
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 横浜国立大学 大学院環境情報学府
• 著者所属: 横浜国立大学 先端科学高等研究院
• 著者所属: 横浜国立大学 先端科学高等研究院／大学院環境情報研究院
• 著者所属: 横浜国立大学 先端科学高等研究院／大学院環境情報研究院
• 著者所属(英): en
• 著者所属(英): Graduate School of Environment and Information Sciences, Yokohama National University
• 著者所属(英): en
• 著者所属(英): Institute of Advanced Sciences, Yokohama National University
• 著者所属(英): en
• 著者所属(英): Institute of Advanced Sciences / Faculty of Environment and Information Sciences, Yokohama National University
• 著者所属(英): en
• 著者所属(英): Institute of Advanced Sciences / Faculty of Environment and Information Sciences, Yokohama National University
• 著者名: 遠藤, 祐輝; 田辺, 瑠偉; 吉岡, 克成; 松本, 勉
• 著者名(英): Yuki, Endo; Rui, Tanabe; Katsunari, Yoshioka; Tsutomu, Matsumoto
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: DDoS 攻撃などのサイバー攻撃を行う IoT ボットネットが大きな脅威となっており，その活動実態の把握が喫緊の課題となっている．我々は先行研究において，ハニーポットとマルウェア動的解析と疑似ボットスクリプトから得られた観測結果を組み合わせることで攻撃インフラのグルーピングを行い，IoT ボットネットの攻撃活動の実態を明らかにした．本研究では，脆弱ホスト群に侵入しボット化するための専用の攻撃ホストであるローダに着目し，これをグルーピングの新たな要素に加えるとともに，これまでグルーピングの要素として用いていた C&C サーバ情報に関して，実際に攻撃コマンドを送ってきたホスト群に限定することで，攻撃インフラのより正確なグルーピングを行う．さらに，疑似ボットスクリプトを用いて観測した攻撃コマンドを解析環境内で動作するボット検体にフィードバックすることでこれらの検体に実装されている DoS 攻撃機能の調査を行い，グルーピング結果と突合することで IoT ボットネットが有する DoS 攻撃機能の実態を明らかにする．2022 年 5 月から 2023 年 4 月までの間にインターネット上に設置したハニーポットと疑似ボットスクリプトの観測結果を用いて 1,815 個の攻撃グループを特定した．多数の攻撃グループを特定したものの，活発に活動するグループは限られており，送信した攻撃コマンド数の上位 10 グループは全体の 67.7% に当たる攻撃コマンドを送っていた．攻撃コマンド数が多かった上位 10 グループが用いる 2,673 検体を動的解析し，解析環境に DoS 攻撃コマンドをフィードバックしたところ，1,534 検体から DoS 攻撃を観測した．また，これらのマルウェア検体に感染した機器から構成される IoT ボットネットは，複数種類の DoS 攻撃機能を有している可能性があることがわかった．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: IoT botnets that conduct cyber-attacks, such as DDoS attacks, have become a major threat, and understanding their actual activities is an urgent issue. In our previous study, we grouped attack infrastructures by combining observations obtained from honeypots, malware dynamic analysis, and pseudo-bot scripts (i.e., milker), and we clarified the actual attack activities of IoT botnets. In this study, we focus on loaders, which are dedicated attack hosts for compromising vulnerable hosts, and add them as a new grouping element. Furthermore, by feeding back the attack commands observed using pseudo-bot scripts to malware dynamic analysis environments, we investigate DoS attack functions implemented in IoT malware samples. We identified 1,815 attack groups using the observation results of honeypots and pseudo-bot scripts set up on the Internet between May 2022 and April 2023. 2,673 samples used by the top 10 groups with the most attack commands were analyzed dynamically. By feeding the DoS attack commands to the malware samples running in the analysis environment, DoS attacks were observed from 1,534 samples. We also find that IoT botnets may have multiple DoS attack functions, including those not implem-en1te-d in the original Mirai source code.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA12628305
• 書誌情報: 研究報告セキュリティ心理学とトラスト（SPT）; 巻 2024-SPT-54, 号 12, p. 1-6, 発行日 2024-03-14
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8671
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会