[論文レビュー] Master of Puppets: Analyzing And Attacking A Botnet For Fun And Profit

Genki Saito, Gianluca Stringhini|arXiv (Cornell University)|Nov 19, 2015

Network Security and Intrusion Detection参考文献 30被引用数 3

ひとこと要約

この論文は、Cutwail/Pushdoボットネットのコマンドアンドコントロール（C&C）インフラを、そのソースコードを用いて逆引きすることで、研究者がボットネットの運用を妨害する攻撃を設計・検証できるようにしている。2,000台の改ざん済みボットでC&Cサーバーを過負荷にし、正当なボットを偽装して誤ったデータを注入し、ボット数を特定することができる。これにより、類似ボットネットの解体に応用可能な汎用的で実行可能な戦略が得られる。

ABSTRACT

A botnet is a network of compromised machines (bots), under the control of an attacker. Many of these machines are infected without their owners' knowledge, and botnets are the driving force behind several misuses and criminal activities on the Internet (for example spam emails). Depending on its topology, a botnet can have zero or more command and control (C&C) servers, which are centralized machines controlled by the cybercriminal that issue commands and receive reports back from the co-opted bots. In this paper, we present a comprehensive analysis of the command and control infrastructure of one of the world's largest proprietary spamming botnets between 2007 and 2012: Cutwail/Pushdo. We identify the key functionalities needed by a spamming botnet to operate effectively. We then develop a number of attacks against the command and control logic of Cutwail that target those functionalities, and make the spamming operations of the botnet less effective. This analysis was made possible by having access to the source code of the C&C software, as well as setting up our own Cutwail C&C server, and by implementing a clone of the Cutwail bot. With the help of this tool, we were able to enumerate the number of bots currently registered with the C&C server, impersonate an existing bot to report false information to the C&C server, and manipulate spamming statistics of an arbitrary bot stored in the C&C database. Furthermore, we were able to make the control server inaccessible by conducting a distributed denial of service (DDoS) attack. Our results may be used by law enforcement and practitioners to develop better techniques to mitigate and cripple other botnets, since many of findings are generic and are due to the workflow of C&C communication in general.

研究の動機と目的

• 2007年から2012年まで活動した世界最大級のスパムボットネットの一つ、Cutwail/Pushdoのコマンドアンドコントロール（C&C）ワークフローを理解すること。
• ボットネット運用を妨害できるようにする、C&C通信論理における体系的欠陥を同定すること。
• 制御されたボットネットクローンを用いて、C&Cサーバーに対する実際の攻撃（DDoS、偽装、データ操作など）を設計・検証すること。
• 共通のC&C通信パターンに基づく、他のボットネットにも適用可能な汎用的かつ再利用可能な緩和手法を提供すること。

提案手法

• CutwailボットネットのC&Cサーバーのソースコードを逆引きし、内部論理と通信プロトコルを完全に理解した。
• 実際のボットの挙動をエミュレートするスタブボットを実装し、C&Cサーバーへの制御された接続を確立した。
• クローンされたボットのプライベートネットワークを構築し、制御されたC&Cサーバーとやり取りできる環境を整備した。これにより、安全な実験が可能になった。
• 標的攻撃を実施した：DDoS攻撃でC&Cサーバーを過負荷にし、偽装で不正なステータスを報告し、データベース操作でスパム統計を改ざんした。
• 制御された環境を用いてボット数を抽出し、だましの技術をテストし、システムの耐性を測定した。
• 2,000台のボットでC&Cチャネルを無効にできることが検証され、低門檸攻撃ベクトルの有効性が示された。

実験結果

リサーチクエスチョン

• RQ1 CutwailボットネットのC&Cインフラのコアな機能的コンponentsは何か？ これらは大規模なスパム運用を可能にする。
• RQ2 C&Cサーバーのソースコードへのアクセスが、ボットネット制御ワークフローにおける体系的脆弱性の発見をどのように可能にするか？
• RQ3 不正なボットがDDoS、偽装、またはデータ操作によってC&Cサーバーにどれほど大きな影響を与えることができるか？
• RQ4 Cutwailへの攻撃から得た知見は、類似したC&C通信パターンを有する他のボットネットに対しても一般化可能か？

主な発見

• 2,000台のボットによるDDoS攻撃で、CutwailのC&Cサーバーは完全に過負荷になり、ボットネットは運用不能になった。
• 不正なボットは、C&Cサーバーに登録された有効なボットの総数を正確に特定でき、ボットネットの規模を正確に推定できるようになった。
• ボットは正当なボットを偽装し、誤ったステータスやスパム統計を報告することで、ボットマスターをだまし、信頼されたボットを削除させることができた。
• C&Cサーバーはボットが報告するデータを格納・依存しており、これが操作可能であるため、ボットネットの運用効率を著しく低下させる脆弱性を有していた。
• ソースコードへのアクセスにより、ネットワークトラフィックからの逆引きが不要な状態で、C&Cプロトコル（暗号メカニズムを含む）を完全に再構築できた。
• 同定された脆弱性は、実装固有の欠陥ではなくC&Cワークフローに起因するものであり、汎用的であるため、他のボットネットにも適用可能である。