Monthly Research 「CODE BLUE 2015 参加レポート」

2015年10月28日、29日の2日間、東京で情報セキュリティの国際カンファレンス「CODE BLUE 2015」が開催されました。CODE BLUEは2013年から始まった、日本発の専門家向けカンファレンスであり、3回目である今回は、600人超の来場者を迎えての開催となりました。
本カンファレンスにFFRIからは2名がスピーカーとして参加しましたので、会場の様子や興味深いと思った講演について紹介したいと思います。
尚、FFRIエンジニア2名の発表については、後日公式HPにて公開を予定しています。


●CODE BLUE の新しい試み

今回からCODE BLUEでは新たに2つの試みが実施されました。
1つは平行して2会場で別々の発表が行われる「2トラック制」でもう一つは、満24歳以下の講演者のみで選考を行う「Youth Track」です。
「2トラック制」により限られた時間の中でより多くの講演者を迎えることができ、2日間で24の発表が行われました。
「Youth Track」では全世界から寄せられた応募から、2名の日本人学生が登壇しました。

●IoTに潜むセキュリティ脅威

  • (In)Security of Medical Devices

ERNW 社のセキュリティ・アナリストであり医療情報学の理学学士も保有するフローリアン・グルーノ氏による医療機器を対象とした攻撃についての発表。実際に会場に持ち込まれた医療機器に対して攻撃のデモが行われ、手術中に用いる計測機器などに対するDoS攻撃や投薬量を調整する機器に対する攻撃(こちらはビデオのみ)が紹介され、会場に大きなインパクトを残しました。

  • ワイヤレス技術をアタックで検証

富士通システム統合研究所の堀合 啓一 氏によるSDR (Software Defined Radio)を用いたワイヤレス技術に対する攻撃についての発表。GNURadioについての解説や、RF信号などのリプレイ・アタック、無線キーボードへのスニッフィングなどについてデモを交えて解説されました。

  • Cybersecurity of SmartGrid

ICS/SCADA ネットワーク・セキュリティのツールキット作者でセキュリティリサーチャーのアレクサンダー・ティモリン 氏とSCADAStrangeLove.org チームのキャプテンでPositive Hack Days フォーラムのディレクターおよびスクリプトライターを務めるセルゲイ・ゴディチック 氏による、スマートグリッドに関する発表。
太陽光発電システムからデジタル変電所までの、スマートグリッド技術の様々な要素の安全性評価や、実際の経験を解説されました。

●バグバウンティの最先端

  • Firefox の倒し方

本職の傍ら Firefox を中心とする WEB ブラウザに対して多くの脆弱性を指摘し、年間700万円以上の報奨金を獲得されている にしむねあ こと、西村 宗晃 氏による、脆弱性が生まれるパターンとその効率的な発見方法についての発表。
多くのブラウザで、仕様書に定義されている要件を満たしていないことやそもそも必要な機能が実装されていない事があり、それらを起因とする脆弱性が多く発見されています。新しい機能が実装された際には仕様書に沿ってテストを行うだけである程度の脆弱性を発見することができるそうです。

  • X-XSS-Nightmare: 1; mode=attack ~XSSフィルターを利用したXSS攻撃~

Google が行うバグバウンティプログラムで、世界二位の報告数を誇り、数多くのプロダクトに脆弱性報告を行う、レジェンド的存在である、キヌガワ マサト氏による IE の XSS フィルターの動作を利用した XSS についての発表。
本来XSSを防止するために、ページの一部を書き換えるXSSフィルターの機能を利用して、タグ破壊などを意図的に起こし、XSSに繋げる事ができ、デモが行われました。
発表では具体的な攻撃手法については紹介がなかったものの、Microsoft 側で対応が完了次第、公開予定とのことです。

●急増する標的型攻撃(APT)

  • 日本の組織をターゲットにした攻撃キャンペーンの詳細

JPCERT/CC の朝長 秀誠 氏と中村 祐 氏による、日本国内を対象とした標的型攻撃についての発表。
最新の標的型攻撃のテクニックや使用するマルウェア、ツールについて紹介され関連するマルウェアを解析するためのテクニックやツールについても紹介されました。日本年金機構への攻撃にも使用されたマルウェア「Emdivi」だけでなく、別の高度な攻撃キャンペーンとして、侵害したサーバーに痕跡を残さないようにiptables を駆使していた事例も紹介されました。
また、JPCERT/CCで開発された「Emdivi」の分析ツールが GitHub で公開されました。

  • Ninja Correlation of APT Binaries

インテル(Intel Corporation)APT レスポンスチームのサイバー・アナリストでソフトウェア開発者のブヘブナ・ソマ氏による実際に APT で使用されたマルウェア検体のコードの類似性を評価するために適した様々な手法に関する発表。
検体の類似性計量のそれぞれを基にしているバイナリのクラスタを作成しその正確性を評価する技術などが紹介されました。

  • Failures of security industry in the last decade - Lessons learned from hundreds of cyber espionage breaches

Team T5 Research の CEO であるスンティン・サイ(TT) 氏と、同社で上級アナリストを務めるチーエン・シェン(Ashley) 氏によるアジアを中心としたサイバー攻撃に関する発表。
日本年金機構に対するサイバー攻撃などの具体的な事例の紹介や、一般的に採られているセキュリティ対策が如何に破られ、それらが攻撃者にとって無力であるかが紹介されました。

●新たな試みYouth Track

  • PANDEMONIUM: 動的バイナリ計測とファジーハッシュを使用した暗号アルゴリズムの自動識別

慶應義塾大学在学中で IPA 主催のセキュリティ・キャンプでは最年少で講師を務める黒米 祐馬 氏(20歳)による、ファジーハッシュを使用した暗号アルゴリズムの自動識別についての発表。
バンキングマルウェアとして猛威を振るった Zeus のソースコードが流出し様々な亜種が生産されています。
これらのマルウェアが行う、算術・ビット演算、ループ構造などに着目して暗号化処理が含まれる箇所を抽出する方法と、LLVM を用いた解析妨害機能の回避技術が紹介されました。
この解析妨害機能の回避の際に生じる解析の揺れに関しては、ファジーハッシュを用いて吸収するとのことです。

  • Master Canary Forging: 新しいスタックカナリア回避手法の提案

灘高校在学中で数々の CTF のファイナリスト、優勝の経験がある小池 悠生 氏(16歳)による、スタックカナリアの新たな回避手法についての発表。
リターンアドレスがスタックカナリー領域に書き込まれたことをトリガーにプロセスを終了させることによって、バッファオーバーフローを防ぐスタックカナリアの回避方法について紹介されました。
これまで、スタックカナリアの回避方法としては、いわゆる番兵の値の確認処理が行われる前に、攻撃処理を完了する、もしくは番兵の値を漏洩させてからオーバーフローさせるものが主流でした。
新しい回避方法として、マスターカナリーを書き換えることによって回避するという手法が提案され、実際にデモが行われました。

●まとめ

今回のCODE BLUEでは2トラック制とYouth Trackを新たに導入され世界各国から600人以上が訪れました。
 IoT セキュリティの分野では医療機器や社会インフラに関わる研究が見られホワイトハッカー達がこれらに関わる脆弱性を発見し、報告しているという実態が明らかになりました
バグバウンティの分野では日本のバグハンター達は世界でアクティブに活躍しており、彼らのバグハントの方法からは多くの事を学ぶことができました。
昨今急増する標的型攻撃については、攻撃者は高度な標的型攻撃によって、日本の様々な組織に侵入している可能性が示され、その方法についても事例をもとに明らかになりました。今回のCODE BLUEのようなカンファレンスで情報交換を行う事は標的型攻撃に対抗する手段として有効であると思います。
最先端のサイバーセキュリティにご興味をお持ちの皆様は是非、次回のCODE BLUEにも参加、応募してみては如何でしょうか。

Monthly Researchのダウンロードはこちら(日本語 / English

関連記事

Monthly Research 「Windows10 IoTのセキュリティについて」

Monthly Research 「OS X と iOS における脅威について」

Monthly Research 「Black Hat USA 2015 サーベイレポート」

FFRIセキュリティ SNS

FFRI yaraiは、パターンファイルに依存しない先読み防御検出技術を徹底的に追及した「純国産エンドポイントセキュリティ」です。

FFRI yarai Home and Business Edition は、個人・小規模事業者向け「純国産エンドポイントセキュリティ」です。

HOME  ≫ FFRIセキュリティ BLOG  ≫ 2015年  ≫ 2015年12月  ≫ Monthly Research 「CODE BLUE 2015 参加レポート」

pagetop