[論文レビュー] Privacy and Security Risks of "Not-a-Virus" Bundled Adware: The Wajam Case

Xavier de Carné de Carnavalet, Mohammad Mannan|arXiv (Cornell University)|May 13, 2019

Advanced Malware Detection Techniques参考文献 22被引用数 4

ひとこと要約

本論文は、長年にわたり発展を遂げた広告ソフトウェアプラットフォームWajamを調査し、プライバシーおよびセキュリティを脅かす高度な脅威に進化したことを明らかにする。2013年から2018年までの52個のサンプルを逆アセンブル・分析することで、トラフィックを傍受するProtocolFiltersを用いた技術、ブラウザ履歴の漏洩、任意のHTTPSコンテンツへのインジェクション、リモートコード実行といった、検知回避およびウイルス対策ソフト逃避の高度な手法を特定した。広告ソフトウェアが従来のマルウェアと同等のリスクをもたらす可能性があることを示している。

ABSTRACT

Comprehensive case studies on malicious code mostly focus on botnets and worms (recently revived with IoT devices), prominent pieces of malware or Advanced Persistent Threats, exploit kits, and ransomware. However, adware seldom receives such attention. Previous studies on "unwanted" Windows applications, including adware, favored breadth of analysis, uncovering ties between different actors and distribution methods. In this paper, we demonstrate the capabilities, privacy and security risks, and prevalence of a particularly successful and active adware business: Wajam, by tracking its evolution over nearly six years. We first study its multi-layer antivirus evasion capabilities, a combination of known and newly adapted techniques, that ensure low detection rates of its daily variants, along with prominent features, e.g., traffic interception and browser process injection. Then, we look at the privacy and security implications for infected users, including plaintext leaks of browser histories and keyword searches on highly popular websites, along with arbitrary content injection on HTTPS webpages and remote code execution vulnerabilities. Finally, we study Wajam's prevalence through the popularity of its domains. Once considered as seriously as spyware, adware is now merely called "not-a-virus", "optional" or "unwanted" although its negative impact is growing. We emphasize that the adware problem has been overlooked for too long, which can reach (or even surplus) the complexity and impact of regular malware, and pose both privacy and security risks to users, more so than many well-known and thoroughly-analyzed malware families.

研究の動機と目的

• Wajamという7年間の歴史を持つ広告ソフトウェアプラットフォームが、ソーシャル検索エンジンから高リスクのスパイウェアに進化した経緯を調査すること。
• Wajamが用いる検知回避およびウイルス対策ソフト逃避技術、特に多形アップデート、ステガノグラフィー、レジストリの難読化を分析すること。
• Wajamが引き起こす現実世界のプライバシーおよびセキュリティリスク、特にHTTPSトラフィックおよびブラウザデータに関するリスクを評価すること。
• ドメイントラッキングおよびデータベース漏洩分析を通じて、Wajamおよびそのクローンの広がりと影響を評価すること。
• 広告ソフトウェアおよびPUP（ポテンシャルアロウドソフトウェア）の複雑化と脅威表面の拡大を鑑み、サイバーセキュリティ研究においてそれらに対するより厳しい注目が求められることを提唱すること。

提案手法

• 2013年から2018年までのWajamの52個のサンプルを収集し、逆アセンブルすることで技術的進化を追跡した。
• HTTPSトラフィックを傍受・改ざんするためのProtocolFiltersの使用を分析し、中間者攻撃（MITM）を可能にする仕組みを特定した。
• メディアファイル内に二次的なインストーラーを隠すステガノグラフィーの使用を同定・検証し、検知を回避する手法を明らかにした。
• ドメインインfra構造と毎日のバージョン配布を追跡することで、広がり方および恒久的維持のメカニズムを評価した。
• WajamのクローンであるOtherSearchの公開されたMySQLデータベースを発見。1億を超えるGoogle検索履歴とクリック済み結果が漏洩しており、654万件の固有ユーザーIDが含まれていた。
• レジストリの変更、プロセスインジェクション、証明書操作の行動分析を通じて、長期的な恒久的維持の兆候を検出した。

実験結果

リサーチクエスチョン

• RQ1 Wajamのような現代の広告ソフトウェアプラットフォームは、どれほど高度な検知回避およびウイルス対策ソフト逃避技術を採用しているのか？
• RQ2 Wajamの動作に伴う実際のプライバシーおよびセキュリティリスク、特にHTTPSトラフィックおよびブラウザデータに関してはどのようなものか？
• RQ3 ドメイン使用状況およびネットワークインfra構造に基づくと、Wajamおよびその変種はどれほど広範に広がっているのか？
• RQ4 正当なSDK（例：ProtocolFilters）を用いてユーザーの同意なしにMITM攻撃を可能にする広告ソフトウェアの影響は何か？
• RQ5 PUPの形をとる広告ソフトウェアの脅威が、その複雑化と影響力が増しているにもかかわらず、なぜ長きにわたり調査が不十分であったのか？

主な発見

• Wajamは、多形アップデート、ステガノグラフィーによるインストーラー配布、レジストリキーのランダム化といった多層的な回避戦略を採用しており、ウイルス対策エンジンによる検出率が極めて低い。
• WajamはProtocolFiltersを用いてHTTPSトラフィックに対してMITM攻撃を実行し、任意のコンテンツをインジェクションすることで、セッションハイジャックや認証情報の盗難を引き起こす。
• Wajamは、Googleを含む高トラフィックサイトのプレーンテキスト形式のブラウザ履歴およびキーワード検索を漏洩させ、大規模なユーザーのプライバシー侵害を引き起こしている。
• WajamのクローンであるOtherSearchは、セキュリティが不十分なMySQLデータベースを介して、1億を超えるGoogle検索クエリとクリック済み結果を漏洩させており、654万件の固有ユーザーIDが含まれていた。
• Wajamのバージョン配布に332のドメインが使用されており、複数のソースから毎日更新が行われており、非常に強固でスケーラブルなインfra構造であることが判明した。
• 長期間にわたり運用されており、広範な攻撃表面を持ちながらも、Wajamはセキュリティベンダーによってほとんど検知されず、対処されなかった。これは脅威分析における深刻な見過ごしを示している。