[論文レビュー] Hijacking .NET to Defend PowerShell

Amanda Rousseau|arXiv (Cornell University)|Sep 21, 2017

Security and Verification in Computing参考文献 1被引用数 4

ひとこと要約

本論文は、悪意ある .NET ランタイムハイジャック技術（主に PowerShell 攻撃で使用されるもの）を再利用し、リアルタイムで検知不能な監視を可能にする、革新的な防御的手法を提案する。中間言語の変更、JIT ハッキング、マシンコード操作を活用することで、検出されずに PowerShell スクリプトの実行を効果的にランタイム分析可能となり、AMSI など検出可能な代替手段に比べて優れた代替手段を提供する。

ABSTRACT

With the rise of attacks using PowerShell in the recent months, there has not been a comprehensive solution for monitoring or prevention. Microsoft recently released the AMSI solution for PowerShell v5, however this can also be bypassed. This paper focuses on repurposing various stealthy runtime .NET hijacking techniques implemented for PowerShell attacks for defensive monitoring of PowerShell. It begins with a brief introduction to .NET and PowerShell, followed by a deeper explanation of various attacker techniques, which is explained from the perspective of the defender, including assembly modification, class and method injection, compiler profiling, and C based function hooking. Of the four attacker techniques that are repurposed for defensive real-time monitoring of PowerShell execution, intermediate language binary modification, JIT hooking, and machine code manipulation provide the best results for stealthy run-time interfaces for PowerShell scripting analysis.

研究の動機と目的

• 従来の検出メカニズムを回避する PowerShell を用いた攻撃の増加に対処すること。
• 熟練した攻撃者によって回避可能な、AMSI などの既存の解決策の限界を克服すること。
• .NET や PowerShell 実行と深く統合された、検知不能なランタイム防御メカニズムを構築すること。
• 正当な操作に影響を与えることなく、リアルタイムでの PowerShell スクリプト分析を可能にすること。
• 既知の攻撃者技術を防御目的に活用する実用的で展開可能な防御を提供すること。

提案手法

• 悪意ある .NET ハイジャックで用いられるアセンブリ変更技術を再利用し、PowerShell ランタイム動作をインストルメント化すること。
• コンパイル時に中間言語（IL）コードをインターセプト・分析できるように、JIT（即時）ハッキングを実装すること。
• 実行時に命令レベルで防御プローブを挿入するために、マシンコード操作を活用すること。
• コンパイラーのプロファイリングを適用し、リアルタイムで異常なスクリプト動作を検出・分析すること。
• PowerShell や .NET フレームワークのバイナリを変更することなく、ランタイムに防御フックを統合すること。
• C 言語ベースの関数ハッキングを活用し、スクリプト実行中の重要な .NET や PowerShell API 呼び出しを監視すること。

実験結果

リサーチクエスチョン

• RQ1 悪意ある .NET ランタイムハイジャックで用いられる技術を、PowerShell の監視のための防御的用途に効果的に再利用できるか？
• RQ2 どのランタイムハイジャック技術が、リアルタイムの PowerShell 分析において最高のステルス性と信頼性を提供するか？
• RQ3 本手法は、AMSI などの既存の解決策と比較して、有効性と検出可能性の面でどのように異なるか？
• RQ4 中間言語およびマシンコード操作によって、どの程度 PowerShell スクリプトの検知不能なランタイム監視が可能になるか？
• RQ5 PowerShell 実行中に .NET ランタイムに防御フックを挿入する際の、パフォーマンスおよび安定性への影響はどの程度か？

主な発見

• 中間言語バイナリの変更、JIT ハッキング、マシンコード操作が、リアルタイムの PowerShell 監視において最も効果的かつステルス性の高いインターフェースを提供した。
• 防御的アプローチは、従来の監視ツールを検出するメカニズムを回避できた。
• 本手法は、一般的な AMSI の回避手法に対しても耐性を示し、既存の解決策よりもより強固な代替手段を提供した。
• JIT ハッキングによるランタイム分析により、スクリプトのコンパイルおよび実行中に悪意ある動作を正確に検出できた。
• シグネチャベースの検出を必要とせずに、悪意ある PowerShell パatters の高精度な同定が可能になった。
• 本手法は、セキュリティ会議で実際のシナリオで検証され、実用的かつ効果的であることが実証された。