シグネチャベースの検知にインメモリースキャニングの手法を組み合わせると、すぐれた検知戦略となります。本ブログ記事では、設定やステルス機能の有無にかかわらず、少数のシグネチャで、また有効誤検知率0でCobalt Strikeを検知する手法を説明します。

Elasticセキュリティチームは脅威検知という課題に対し、複数の手法を用いるアプローチを採用しています。従来Elasticは、機械学習モデルとデータの振る舞いに力点を置いてきました。この2つが、未知のマルウェアも検知できるパワフルな手法であるためです。またこれまで、Elasticはシグネチャについて「非常に簡単に回避できる」ことが懸念材料と捉えてきました。しかし、この「回避の簡単さ」は考慮すべき要素の1つに過ぎないことから、その評価をあらためています。検知技術の効果を測定する上では、パフォーマンスと誤検知率も重要です。
シグネチャで、未知のマルウェアを検知することはできません。しかし、誤検知率がほぼ0であることや、ラベルの関連付けがアラートの優先順位付けに役立つというメリットがあります。たとえば“潜在的に望ましくないアドウェアの一種がある”というケースなどと違い、TrickBotランサムウェアやREvilランサムウェアのアラートが発生しているケースでは、より即時的なアクションが必要です。万が一、シグネチャで既知のマルウェアの半分しか検知できなかったとしても、多層的な保護を講じていれば総合的にはなお十分なメリットがあり、大勝利を収めたということができます。もちろん現実のシナリオでは、もっと良い結果を出せるでしょう。
長期的なバリューをもたらすシグネチャを作成する上で障害となるのが、広範に利用されるパッカーと、使い捨てマルウェアローダーの存在です。この2つのコンポーネントは日々急速に進化してシグネチャ検知を回避します。しかし、マルウェアのペイロードは最終的には復号化され、メモリーで実行されることに変わりはありません。
このパッカーとローダーの問題に対処する上で注目したいのが、シグネチャ回避戦略をインメモリーのコンテンツで展開する、という手法です。この手法を用いると、従来数日だったシグネチャの鮮度を数か月ほどに延長して維持できます。本ブログ記事はサンプルにCobalt Strikeを用いて、インメモリーシグネチャを活用する手法を説明します。 
 <h2>Cobalt Strikeのシグネチャを作成する</h2><a href="https://www.cobaltstrike.com/">Cobalt Strike</a>は、レッドチームオペレーションと攻撃シミュレーションによく使われるフレームワークです。使いやすさや安定性、ステルス機能も人気の理由の一部と考えられますが、実はCobalt Strikeは<a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/sodinokibi-ransomware-cobalt-strike-pos">極悪非道な</a>意図を持つ<a href="https://www.fireeye.com/blog/threat-research/2017/05/cyber-espionage-apt32.html">悪意のアクター</a>に愛用されているツールでもあります。Cobalt Strikeのエンドポイントペイロード、Beaconの検知には多種多様なテクニックが使われています。<a href="/jp/blog/hunting-memory">アンバックされたスレッド</a>を探すものや、最近は内蔵の<a href="https://labs.f-secure.com/blog/detecting-cobalt-strike-default-modules-via-named-pipe-analysis/">名前付きパイプ</a>をチェックするものなどがあります。しかしBeaconは<a href="https://blog.cobaltstrike.com/2019/05/02/cobalt-strike-3-14-post-ex-omakase-shimasu/">コンフィギュアビリティ</a>にすぐれ、ほとんどのパブリックな検知戦略に回避方法があります。そこで今回は、代替的な検知戦略としてメモリーシグネチャを活用します。
一般的に、Beaconはメモリーに<a href="https://github.com/stephenfewer/ReflectiveDLLInjection">再帰的にロード</a>され、ストレートにシグネチャ化可能な形でディスクに関与することはありません。さらに、攻撃者はBeaconに多様なインメモリー難読化オプションを設定し、そのペイロードを隠すことができます。たとえば<a href="https://blog.cobaltstrike.com/2018/09/06/cobalt-strike-3-12-blink-and-youll-miss-it/">obfuscate-and-sleep</a>（難読化してスリープ）というオプションは、コールバックの間でBeaconのペイロードの一部を隠し、シグネチャベースのメモリースキャンをピンポイントで回避します。シグネチャの開発にあたってはこのオプションを考慮する必要がありますが、このように高度なステルス機能を持つBeaconについても、簡単にシグネチャを作成できます。
 <h2>作成をはじめる</h2>はじめに、最近のリリースから<a href="https://github.com/rsmudge/Malleable-C2-Profiles/blob/master/normal/reference.profile#L254-L255">sleep_mask</a>オプションが有効なものと、無効なものを含むいくつかのBeaconペイロードを取得します（ハッシュはリファレンスセクションに記載しています）。まずsleep_maskを無効化したサンプルで作業をはじめましょう。破壊後にアンバックされたリージョンからSleepExをコールしたスレッドを見つけ、Process Hackerでメモリー内のBeaconを特定します。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt7b127a57723668a4/603e6e90982f2a0bdaf5a89b/1-process-hacker-blog-detecting-cobalt-strike.png" data-sys-asset-uid="blt7b127a57723668a4" alt="" style="display: block; margin: auto;">
アンバックされたリージョンで、関連するメモリーのリージョンを分析のためにディスクに保存します。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt8fd59d9d51f487e3/603e6e9ef9638443346d3da1/2-memory-region-blog-detecting-cobalt-strike.png" data-sys-asset-uid="blt8fd59d9d51f487e3" alt="" style="display: block; margin: auto;">
最も簡単なのは、このリージョンに特有の文字列をピックアップして、シグネチャとして使うやり方です。以下に、シグネチャ作成の標準的なツール、<a href="https://virustotal.github.io/yara/">yara</a>を使ったシグネチャの記述を実演します。
<pre class="prettyprint">rule cobaltstrike_beacon_strings
{
meta:
 author = "Elastic"
 description = "Identifies strings used in Cobalt Strike Beacon DLL."
strings:
 $a = "%02d/%02d/%02d %02d:%02d:%02d"
 $b = "Started service %s on %s"
 $c = "%s as %s\\%s: %d"
condition:
 2 of them
}
</pre>これがシグネチャの土台部分になります。さらにsleep_maskが有効化されたサンプルを確認して、改良を加えることができます。メモリー内で通常はMZ/PEヘッダーが見られる部分を確認すると、難読化されていることがわかります。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt68be7567c87b8f15/603e6eb71322a9094ddecf50/3-obfuscated-header-blog-detecting-cobalt-strike.png" data-sys-asset-uid="blt68be7567c87b8f15" alt="" style="display: block; margin: auto;">
パッと見ただけで、nullバイトがあるべき場所に、多数の繰り返しのバイト（ここでは0x80）があることに気づきます。この繰り返しバイトは、Beaconが単純なシングルバイトのXOR難読化を使用した痕跡かもしれません。この仮説は、<a href="https://gchq.github.io/CyberChef/">CyberChef</a>を使って確認できます。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt51fc44c10e0289c9/603e6ec708636f3d7749a259/4-cyberchef-blog-detecting-cobalt-strike.png" data-sys-asset-uid="blt51fc44c10e0289c9" alt="" style="display: block; margin: auto;">
上の画像の通り、デコード後に“This program cannot be run in DOS mode”（このプログラムはDOSモードで実行できません）という文字列が出現し、先ほどの仮説が証明されました。シングルバイトのXORは古典的な手口であり、実はyaraも<a href="https://yara.readthedocs.io/en/stable/writingrules.html">xor</a>修飾子のネイティブ検知をサポートしています。
<pre class="prettyprint">rule cobaltstrike_beacon_xor_strings
{
meta:
 author = "Elastic"
 description = "Identifies XOR'd strings used in Cobalt Strike Beacon DLL."
strings:
 $a = "%02d/%02d/%02d %02d:%02d:%02d" xor(0x01-0xff)
 $b = "Started service %s on %s" xor(0x01-0xff)
 $c = "%s as %s\\%s: %d" xor(0x01-0xff)
condition:
 2 of them
}
</pre>スキャン中にPIDを提供して、作成したyaraルールの検知が動作していることを確認できます。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blte78d10de1484f20e/603e6ed5f9638443346d3da5/5-confirming-detection-blog-detecting-cobalt-strike.png" data-sys-asset-uid="blte78d10de1484f20e" alt="" style="display: block; margin: auto;">
残念ながら、ここで終わりではありません。最新バージョンのBeacon（本記事の執筆時点では4.2です）のサンプルでこのシグネチャをテストしたところ、難読化ルーチンが改善されていることがわかりました。このルーチンは、前出のコールスタックに沿って特定することができます。以下のIDA Proスニペットに示すように、このBeaconは現在13バイトのXORを使用しています。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt6ca50e04e513814b/603e6efbacf0d53d70c5accc/6-ida-pro-snippet-blog-detecting-cobalt-strike.png" data-sys-asset-uid="blt6ca50e04e513814b" alt="" style="display: block; margin: auto;"> 
幸いにも、Beaconのobfuscate-and-sleepオプションは文字列とデータだけを難読化するもので、シグネチャの作成に必要なコードセクション全体はそのまま残っています。問題は、このコードセクションのどの関数を使ってシグネチャを開発すればよいか、という点ですが、それこそがこの記事の存在理由でもあります。ひとまず、この難読化の解除ルーチンのシグネチャを作成し、うまく動作することを確認しましょう。
<pre class="prettyprint">rule cobaltstrike_beacon_4_2_decrypt
{
meta:
 author = "Elastic"
 description = "Identifies deobfuscation routine used in Cobalt Strike Beacon DLL version 4.2."
strings:
 $a_x64 = {4C 8B 53 08 45 8B 0A 45 8B 5A 04 4D 8D 52 08 45 85 C9 75 05 45 85 DB 74 33 45 3B CB 73 E6 49 8B F9 4C 8B 03}
 $a_x86 = {8B 46 04 8B 08 8B 50 04 83 C0 08 89 55 08 89 45 0C 85 C9 75 04 85 D2 74 23 3B CA 73 E6 8B 06 8D 3C 08 33 D2}
condition:
 any of them
}
</pre>Beaconがステルススリープ状態であっても検知できることを（32ビットと64ビットの両方のバリアントで）検証することができました。
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt70a33ec8ee2d14c1/603e6eef7d801145b7fb6fd5/7-detection-beacon-blog-detecting-cobalt-strike.png" data-sys-asset-uid="blt70a33ec8ee2d14c1" alt="" style="display: block; margin: auto;">
より堅牢な検知を構築する目的で、システム（またはエンタープライズ全体）の全プロセスを定期的にスキャンすることもできます。これは、次のpowershellワンライナーで実行できます。
<pre class="prettyprint">powershell -command "Get-Process | ForEach-Object {c:\yara64.exe my_rules.yar $_.ID}"
</pre> <h2>まとめ</h2>ときに過小評価されるシグネチャベースの検知は、特にインメモリースキャニングの手法を検討することで、価値ある検知戦略となります。この記事の手順では、設定やステルス機能の有無にかかわらず、わずかな数のシグネチャでCobalt Strikeを検知することができ、有効誤検知率0という結果を出すことができました。
<h3>リファレンスハッシュ</h3><pre class="prettyprint">7d2c09a06d731a56bca7af2f5d3badef53624f025d77ababe6a14be28540a17a
277c2a0a18d7dc04993b6dc7ce873a086ab267391a9acbbc4a140e9c4658372a
A0788b85266fedd64dab834cb605a31b81fd11a3439dc3a6370bb34e512220e2
2db56e74f43b1a826beff9b577933135791ee44d8e66fa111b9b2af32948235c
3d65d80b1eb8626cf327c046db0c20ba4ed1b588b8c2f1286bc09b8f4da204f2
</pre><h2>Elasticセキュリティについて</h2>まだ導入されていない方は、Elastic Agentのパワフルな保護、検知、対応機能をぜひご体感ください。<a href="https://cloud.elastic.co/registration?elektra=en-security-page">無料の14日間トライアル</a>（クレジットカード情報の入力は不要です）で使いはじめることも、オンプレミスのデプロイ向けに無料で<a href="/jp/downloads/">Elasticプロダクトをダウンロード</a>してお使いいただくこともできます。成功を導く準備の一環として、<a href="/jp/training/elastic-security-quick-start">クイックスタートトレーニング</a>もぜひご活用ください。

blog-banner-security-radar-anomaly-monitor.png

blog-thumb-security-radar-anomaly-monitor.png

Detecting Cobalt Strike with memory signatures

メモリーシグネチャでCobalt Strikeを検知する

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Joe Desimone

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

送信することにより、Elasticの<a href="/jp/legal/elastic-cloud-account-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、上記で提供された連絡先に<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">特定の通知</a>が送信されることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシーポリシー</a>をご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.By submitting this form, I agree to Elastic sharing my contact information with Google Cloud. I also agree to Elastic giving my information to the vendor for the purpose of shipping my food package.

GDPR Text + Google Cloud

送信することにより、Elasticの<a href="/jp/legal/elastic-cloud-account-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。このフォームを送信することにより、Elasticが私の連絡先情報をGoogle Cloudに共有することに同意します。また、Elasticが私に食材パッケージを発送する目的で私の情報をベンダーに提供することにも同意します。

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

送信することにより、Elasticの<a href="/jp/legal/serverless-preview-terms" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

送信することにより、<a href="/jp/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud利用規約</a>に同意したものとみなされます。個人情報は<a href="/jp/legal/privacy-statement">Elasticのプライバシーポリシー</a>に基づいて取り扱われます。

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

送信することにより、Elasticの<a href="/jp/legal/terms-of-use" target="_self">利用規約</a>を読み、同意したものと見なされます。また、関連する製品やサービスについて、上記で提供された情報を使用してElasticから<a href="/jp/legal/privacy-statement#how-we-use-the-information" target="_self">連絡する</a>場合があることを認めたことになります。詳細については、<a href="/jp/legal/privacy-statement/" target="_self">Elasticのプライバシー</a>ポリシーをご覧ください。これらの同意についてはいつでもオプトアウトすることが可能です。

Explore similar demos

Overview

Speakers

Close

See more insights

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

このページのコンテンツは、選択された言語ではご利用いただけません。Elasticでは現在、コンテンツをさまざまな言語でご利用いただけるよう取り組んでいます。お使いの言語が準備されるまでお待ちくださるようお願いいたします。

Author

Articles by

Watch now (no PT)

Watch now

See all top stories

すべてのトップストーリーを見る

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Load More

Share on LinkedIn

Search Integrations

All Solutions

Video for

See when this webinar starts in my time zone

現在のタイムゾーンでこのウェビナー開始時間を見る

Register to Watch

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

他の予定と重なってしまった…という場合も、問題ありません。参加登録されると、録画配信をご利用いただけます。関連コンテンツのご案内もメールでお届けします。

Author

Articles by Joe Desimone

メモリーシグネチャでCobalt Strikeを検知する

Sign up for Elastic Cloud free trial