JP6870386B2

JP6870386B2 - マルウェア不正通信対処システム及び方法

Info

Publication number: JP6870386B2
Application number: JP2017037497A
Authority: JP
Inventors: 恒生濱田
Original assignee: Oki Electric Industry Co Ltd
Current assignee: Oki Electric Industry Co Ltd
Priority date: 2017-02-28
Filing date: 2017-02-28
Publication date: 2021-05-12
Anticipated expiration: 2037-02-28
Also published as: JP2018142927A

Description

本発明は、通信システム及び方法に関するものである。

マルウェアの中には、ユーザ端末内のプログラムに感染してそのプログラムの動作を妨げたり、ユーザの意図に反する有害な作用を及ぼすものがある。このようなマルウェアは、実行されると、インターネット内に配置されたＣ＆Ｃサーバ（コマンド＆コントロールサーバ：以下、「Ｃ２サーバ」と称す）と不正通信を行ってＣ２サーバからインターネットを介してユーザ端末などのマルウェア感染装置を遠隔操作するボットネットを構成する。遠隔操作の指令者は指令者装置を操作してマルウェア感染装置に対してＣ２サーバ経由で指令を送信することが行われる。Ｃ２サーバから命令が送信されると、遠隔操作されるマルウェア感染装置はそのユーザの意図とは関係なく、他の端末やサーバを攻撃したり、個人情報を盗み出したりする。このようなマルウェアが拡散して多数の端末やコンピュータ装置が感染すると、それら多数のマルウェア感染装置はＣ２サーバと接続して不正通信を行うことになる。

このようなマルウェア感染装置とＣ２サーバとの間の不正通信を断つ方法としては、従来、特許文献１に開示されたように、Ｃ２サーバを経由して感染装置に対して操作指令を行う指令者装置を特定し、指令者装置とＣ２サーバとの間の接続を断つことを可能とする技術がある。

特開２０１４−２１９７４１号公報

しかしながら、指令者装置を特定するためには、インターネット全域に渡って網羅的に監視装置を配置することになり、海外のネットワークを監視することは現実的ではない上、海外のネットワークに存在するＣ２サーバを監視して追跡するには、海外のインターネットプロバイダの協力や依頼が必要になり、不正通信の脅威に対して迅速に対処することができず、その間にマルウェアの拡散が進んで感染状況が悪化していくという課題があった。また、国内ネットワークのインターネットサービスプロバイダ（ＩＳＰ）での対処では、そのプロバイダに所属しているユーザネットワークのみへの対処に留まってしまうという課題がある。

そこで、本発明の目的は、マルウェアによって起こされる不正通信に迅速に対処することができる通信システム及び方法を提供することである。

本発明の通信システムは、インターネットを介して転送されるファイルを取り込んで当該ファイルを仮想環境下で実行し、当該ファイルが当該実行内容に基づいてマルウェアであると判定すると、当該実行内容からサーバのアドレスを検出する第１処理手段と、前記サーバのアドレスに基づいて前記インターネットを介した前記サーバとの通信を検出すると、前記サーバの通信相手のアドレスを検出する第２処理手段と、前記インターネットに中継装置を介して接続されている複数のローカルネットワークのうちから、前記サーバの通信相手のアドレスが割り当てられた第１ローカルネットワークを特定する第３処理手段と、前記インターネットを介して、前記第１ローカルネットワークの管理者宛に、不正通信遮断オーダをメール又は特定のＷｅｂページで受け付けることが記載されるメールを用いて、不正通信の検知を通知する第４処理手段と、前記インターネットを介して、前記不正通信遮断オーダを受信する第５処理手段と、前記サーバのアドレス及び前記通信相手のアドレスの各々に向けて通信強制終了を示すコマンドを前記インターネットに送出する第６処理手段と、を備えることを特徴としている。

本発明の通信方法は、通信システムにおける通信方法であって、前記通信システムは、インターネットを介して転送されるファイルを取り込んで当該ファイルを仮想環境下で実行し、当該ファイルが当該実行内容に基づいてマルウェアであると判定すると、当該実行内容からサーバのアドレスを検出する第１処理ステップと、前記サーバのアドレスに基づいて前記インターネットを介した前記サーバとの通信を検出すると、前記サーバの通信相手のアドレスを検出する第２処理ステップと、前記インターネットに中継装置を介して接続されている複数のローカルネットワークのうちから、前記サーバの通信相手のアドレスが割り当てられた第１ローカルネットワークを特定する第３処理ステップと、前記インターネットを介して、前記第１ローカルネットワークの管理者宛に、不正通信遮断オーダをメール又は特定のＷｅｂページで受け付けることが記載されるメールを用いて、不正通信の検知を通知する第４処理ステップと、前記インターネットを介して、前記不正通信遮断オーダを受信する第５処理ステップと、前記サーバのアドレス及び前記通信相手のアドレスの各々に向けて通信強制終了を示すコマンドを前記インターネットに送出する第６処理ステップと、を有することを特徴としている。

本発明の通信システム及び方法によれば、マルウェアによって起こされる不正通信を検出して不正通信のサーバ及びその通信相手の各々のアドレスに向けて通信強制終了を示すコマンドを送信するので、不正通信を強制的に終了させることができる。よって、不正通信に迅速に対処することができることができる。

本発明によるマルウェア不正通信対処の通信システムの構成を示す図である。図１のシステム中の各装置の具体的構成を示すブロック図である。図１のシステムの動作を示すフローチャートである。ユーザ端末とＣ２サーバとの間の不正通信の開始から遮断までのシーケンスを示す図である。

以下、本発明の実施例を、図面を参照しつつ詳細に説明する。

図１は本発明によるマルウェア不正通信対処の通信システムの構成を示している。このシステムでは、ＩＸ(Internet eXchange)１１、ＡＳＰ(Application Service Provider)１２、及びＩＳＰ(Internet Service Provider)１３、１４、１５がインターネット１０に接続されている。なお、ＩＸ１１、ＡＳＰ１２、及びＩＳＰ１３、１４、１５各々は本実施例では装置として示している。

ＩＳＰ１３、１４、１５にはユーザネットワーク１６、１７、１８が各々接続されている。ＩＳＰ１３、１４、１５はインターネット１０と、ローカルネットワークであるユーザネットワーク１６、１７、１８との間の通信を各々中継する中継装置である。ユーザネットワーク１６、１７、１８各々には各種のユーザ端末が接続されている。

ＩＸ１１はサンドボックス装置１０１、Ｃ２サーバリストＤＢ（データベース）装置１０２、及びＣ２サーバ検知装置１０３を含んでいる。サンドボックス装置１０１、Ｃ２サーバリストＤＢ装置１０２、及びＣ２サーバ検知装置１０３はインターネット１０に接続されている。

サンドボックス装置１０１はファイル取込手段、マルウェア判定手段、及びサーバアドレス検出手段を構成し、Ｃ２サーバ検知装置１０３はサーバ通信検出手段及び通信相手アドレス検出手段を構成する。

サンドボックス装置１０１は、ネットワーク、すなわちインターネット１０上のプログラム等のファイルを取り込み、そのファイルを仮想環境下で実行し、実行中の通信挙動からファイルがマルウェアか否かを判定する。仮想環境はサンドボックス装置１０１内に形成され、マルウェアであるファイルを実行しても装置外のインターネットに何ら影響を与えない隔離された領域である。また、サンドボックス装置１０１は、ファイルがマルウェアであると判断した場合には送信先のＣ２サーバのＩＰアドレスを取得し、取得したＩＰアドレスをＣ２サーバリストＤＢ装置１０２に供給する。

Ｃ２サーバリストＤＢ装置１０２は、サンドボックス装置１０１から供給されたＣ２サーバのＩＰアドレスを蓄積する。Ｃ２サーバ検知装置１０３は、インターネット１０からユーザネットワーク１６、１７、１８に至るラインの通信を監視してそれらのユーザネットワークを介したＣ２サーバの通信を検出する。

ＡＳＰ１２は、不正通信ユーザ通知装置１０４、オーダ受付装置１０５、ＲＳＴ発信装置１０６、及びユーザ課金装置１０７を含んでいる。不正通信ユーザ通知装置１０４、オーダ受付装置１０５、ＲＳＴ発信装置１０６、及びユーザ課金装置１０７はインターネット１０に接続されている。

不正通信ユーザ通知装置１０４はネットワーク特定手段及び不正通信通知手段を構成し、オーダ受付装置１０５はオーダ受信手段を構成し、ＲＳＴ発信装置１０６はコマンド送信手段を構成する。また、ユーザ課金装置１０７は課金手段を構成する。

不正通信ユーザ通知装置１０４は、ユーザネットワークの管理者に対して、不正通信の検知をメールで通知する。オーダ受付装置１０５はユーザネットワークの管理者からの不正通信の遮断オーダをメール又は特定のＷｅｂページで受け付ける。ＲＳＴ発信装置１０６は、オーダ受付装置１０５がオーダ受付を行うと、通信遮断対象のＣ２サーバとユーザネットワークの端末との各々に対してリセットコマンドであるＲＳＴパケットを発信して通信を遮断する。ユーザ課金装置１０７は遮断オーダを発信した管理者に対して課金を行う。

サンドボックス装置１０１、Ｃ２サーバ検知装置１０３、不正通信ユーザ通知装置１０４、オーダ受付装置１０５、ＲＳＴ発信装置１０６、及びユーザ課金装置１０７各々は、例えば、図２に示すように、ＣＰＵ(Central Processing Unit)２０１、メモリ２０２、補助記憶部２０３、表示部２０４、通信ＩＦ部２０５、及び入力部２０６が共通の内部バス２０７に接続されたコンピュータ装置２００からなる。通信ＩＦ部２０５は上記したインターネット１０等のネットワーク回線に接続される。ＣＰＵ２０１がメモリ２０２又は補助記憶部２０３に記憶されたプログラムを実行することにより、各装置の動作を実行する。また、ユーザは入力部２０６より入力操作を行ってＣＰＵ２０１に対して指令し、また、ＣＰＵ２０１は表示部２０４に動作結果等の情報を表示させる。このような構成により、サンドボックス装置１０１、Ｃ２サーバリストＤＢ装置１０２、Ｃ２サーバ検知装置１０３、不正通信ユーザ通知装置１０４、オーダ受付装置１０５、ＲＳＴ発信装置１０６、及びユーザ課金装置１０７各々は、以下に示す動作を行い、また、それら装置間において通信可能にされている。

次に、かかるマルウェア不正通信対処の通信システムの動作の流れについて図３のフローチャートを用いて説明する。

先ず、サンドボックス装置１０１がＩＸ１１に転送されるファイルを受信する（ステップＳ１００）。これはファイル取込ステップであり、例えば、メールの添付ファイルやＷＥＢデータに含まれているスクリプトファイルである。サンドボックス装置１０１は、このようなファイルを受信すると、予め定められた仮想環境下でその受信ファイルを実行し（ステップＳ１０１）、実行内容である実行中の挙動を分析してファイルがマルウェアか否かを判定する（ステップＳ１０２）。ステップＳ１０１及びＳ１０２はマルウェア判定ステップである。挙動としてはＣ２サーバとの通信挙動が挙げられ、スパムメールやＤＤｏｓ攻撃の発生源となるような遠隔操作のコマンド及び制御をＣ２サーバから受ける通信である。マルウェアと判定した場合には、サンドボックス装置１０１は、仮想環境下でのＣ２サーバとの通信挙動からＣ２サーバのＩＰアドレスを取得し（ステップＳ１０３）、取得したＩＰアドレスをＣ２サーバリストＤＢ装置１０２に供給する（ステップＳ１０４）。サーバアドレス検出ステップであるステップＳ１０３では例えば、遠隔操作を行うＣ２サーバとの通信際においてマルウェアの実行マシンの送信パケットの送信先となるＩＰアドレスがＣ２サーバのＩＰアドレスとして検出される。ステップＳ１０４によりＣ２サーバリストＤＢ装置１０２にはＣ２サーバのＩＰアドレスが蓄積される。

Ｃ２サーバ検知装置１０３は、例えば、予め定められた周期で又はサンドボックス装置１０１からの指令を受けて、Ｃ２サーバリストＤＢ装置１０２にアクセスしてＣ２サーバリストＤＢ装置１０２からＣ２サーバのＩＰアドレスを取り出す（ステップＳ２０１）。その取り出したＩＰアドレスを用いた通信を監視する（ステップＳ２０２）。Ｃ２サーバ検知装置１０３はインターネット１０の本体とＩＳＰ１３、１４、１５との間の通信回線に接続されているので、監視はこの通信回線を転送されるパケットを受信することになり、その受信パケットに含まれる送信先のＩＰアドレスをステップＳ２０１で取り出したＩＰアドレスと比較することにより行われる。監視の結果、Ｃ２サーバの通信を検出すると（ステップＳ２０３）、当該受信パケットに含まれる送信元のＩＰアドレス（Ｃ２サーバの通信相手のＩＰアドレス）を不正通信ユーザ通知装置１０４に送出する（ステップＳ２０４）。ステップＳ２０１〜Ｓ２０４はサーバ通信検出ステップである。

不正通信ユーザ通知装置１０４は、Ｃ２サーバ検知装置１０３から送信元のＩＰアドレスを受信すると、送信元のＩＰアドレスに応じてユーザネットワークを特定する（ステップＳ３０１）。不正通信ユーザ通知装置１０４は、例えば、予めＩＰアドレスとユーザネットワークとの関係をデータテーブルとして保有しており、ＩＰアドレスが分かればデータテーブルを用いてどこのユーザネットワークに割当たられたアドレスであるかを特定することができる。また、不正通信ユーザ通知装置１０４は、各ユーザネットワークの管理者のメールアドレスをデータとして保有しているので、特定されたユーザネットワークの管理者宛にメールで不正通信の検知を通知する（ステップＳ３０２）。当該メールには、例えば、管理者の管理下のユーザネットワークを介した不正通信を検知したこと、その不正通信を遮断する有料サービスを提供していること、及びその有料サービスのオーダ、すなわち不正通信遮断オーダをメール又は特定のＷｅｂページで受け付けることが記載されている。

オーダ受付装置１０５は、例えば、予め定められた周期で又はサンドボックス装置１０１からの指令を受けて、Ｃ２サーバリストＤＢ装置１０２にアクセスしてＣ２サーバリストＤＢ装置１０２からＣ２サーバのＩＰアドレスを取り出す（ステップＳ４０１）。そして、管理者からの不正通信遮断オーダを受信するまで待機する（ステップＳ４０２）。

オーダ受付装置１０５は、不正通信遮断オーダを受信すると（ステップＳ４０３）、ＲＳＴ発信装置１０６に対して、取り出したＩＰアドレスが割り当てられたＣ２サーバとの不正通信の遮断を指令する（ステップＳ４０４）。

ＲＳＴ発信装置１０６は、不正通信遮断指令を受信すると、Ｃ２サーバリストＤＢ装置１０２にアクセスしてＣ２サーバリストＤＢ装置１０２から該当するＣ２サーバのＩＰアドレスを取り出す（ステップＳ５０１）。また、該当Ｃ２サーバと不正通信中の送信元のＩＰアドレス、すなわち不正通信遮断オーダを発した管理者のネットワークに接続されたユーザ端末のＩＰアドレスを得る（ステップＳ５０２）。これはＲＳＴ発信装置１０６が、Ｃ２サーバ検知装置１０３又は不正通信ユーザ通知装置１０４と通信して得ることができる。また、不正通信遮断オーダを受けた不正通信のＣ２サーバ及びユーザ端末各々のＩＰアドレス等の不正通信情報をＡＳＰ１２内の図示しない記憶装置で共有し、その記憶装置にＡＳＰ１２内の装置１０４〜１０７が適宜アクセスして不正通信情報を読み出すことができるようにしても良い。

ＲＳＴ発信装置１０６は、不正通信遮断オーダを受けた不正通信のＣ２サーバ及びユーザ端末各々のＩＰアドレスを得ると、それらのＩＰアドレスを送信先アドレスとしたＲＳＴパケットをインターネット１０に各々送出する（ステップＳ５０３）。ステップＳ５０３はコマンド送信ステップである。一方のＲＳＴパケットは不正通信中のユーザ端末に転送され、他方のＲＳＴパケットは不正通信中のＣ２サーバに転送される。これにより、Ｃ２サーバとユーザ端末との間の不正通信が強制的に遮断される。

ユーザ課金装置１０７は、例えば、オーダ受付装置１０５からは不正通信遮断オーダの受信があったことが通知される。また、ＲＳＴ発信装置１０６がＲＳＴパケットを送信した後、ＲＳＴ発信装置１０６からはＲＳＴパケット送信終了通知を受ける。ＲＳＴパケット送信終了通知に応答してユーザ課金装置１０７は、不正通信遮断オーダを発した管理者に対して課金処理を実行する（ステップＳ６０１）。課金処理は例えば、予め登録された管理者のクレジットカード口座からの自動引き落とし、或いは管理者のメールアドレスに銀行口座振込依頼を記したメールを送信することにより行われる。

図４はユーザ端末１０８とＣ２サーバ１０９との不正通信の開始からそれが強制的に遮断されるまでのシーケンスを示している。図１に示したように、ユーザ端末１０８はユーザネットワーク１７に接続された端末であり、そこではマルウェアが実行されるとする。Ｃ２サーバ１０９は例えば、海外のネットワーク２０に配置され、そのネットワーク２０を介してインターネット１０に接続されている。また、Ｃ２サーバ１０９はユーザ端末１０８に侵入したマルウェア１１０の実行によりユーザ端末１０８との間で不正通信を実行するサーバである。

ユーザ端末１０８がマルウェア１１０の実行を開始すると、先ず、Ｃ２サーバ１０９との間でＴＣＰコネクションの確立要求が行われる。図４に示すように、ユーザ端末１０８はＳＹＮパケットをＣ２サーバ１０９に向けて送信し（ステップＳ７０１）、これに応答してＣ２サーバ１０９はＳＹＮ＋ＡＣＫパケットをユーザ端末１０８に向けて送信する（ステップＳ７０２）。ユーザ端末１０８はＳＹＮ＋ＡＣＫパケットに応答してＡＣＫパケットをＣ２サーバ１０９に向けて送信する（ステップＳ７０３）。これによりＴＣＰコネクションが確立する（ＴＣＰコネクションオープン）。

ＴＣＰコネクションが確立すると、ユーザ端末１０８とＣ２サーバ１０９との間でＨＴＴＰデータ＋ＡＣＫを含むパケットが交互に転送され（例えば、ステップＳ７０４、Ｓ７０５）、これにより図１に示した不正通信１１１が実行される。

この不正通信１１１の実行中に、上記した不正通信対処の通信システムの動作が開始されると、ＲＳＴパケット（図１の１１２、１１３）がユーザ端末１０８及びＣ２サーバ１０９の各々に送信される（ステップＳ７０６、Ｓ７０７）。これは上記したＲＳＴ発信装置１０６のステップＳ５０３の動作に相当する。ユーザ端末１０８及びＣ２サーバ１０９の各々はＲＳＴパケット１１２、１１３を受信すると、ユーザ端末１０８とＣ２サーバ１０９との間の通信を終了してＴＣＰコネクションを強制的に切断する（ＴＣＰコネクションクローズ）。

このように、本発明による不正通信対処の通信システムにおいては、海外ネットワークに存在するＣ２サーバを監視して追跡することなく、ユーザ端末におけるマルウェアの実行による不正通信の検知及び遮断を迅速に実施することが可能となる。

また、ユーザネットワーク内にマルウェアの対策装置を配置することなく、更には、ユーザネットワークを接続するＩＳＰに依存せず、ＡＳＰのサービスとして、マルウェアの不正通信の検知及び遮断が可能となる。

通常、不正通信の遮断はユーザネットワークとインターネットの間に配置されたファイアウォール装置での遮断になるが、本発明による不正通信対処の通信システムにおいては、ＲＳＴパケットの発信による通信遮断により、ファイルウォール装置が不要となり、正常通信の通信品質の劣化を抑制することが可能となる。また、ファイアウォール装置を使用しないで済むことにより、遮断を除外したいユーザ端末があった場合のルール設定など煩雑な作業が不要になる。

なお、上記した実施例においては、インターネット１０に接続されたサンドボックス装置１０１、Ｃ２サーバ検知装置１０３、不正通信ユーザ通知装置１０４、オーダ受付装置１０５、ＲＳＴ発信装置１０６、及びユーザ課金装置１０７によって分散動作が行われているが、これに限らず、適宜の数の装置に分散することができる。また、インターネット１０に接続された、図２に示した如き構成を有する単一のネットワーク監視装置によって全ての動作が実行されても良い。

１０インターネット
１１ＩＸ
１２ＡＳＰ
１３、１４、１５ＩＳＰ
２０海外ネットワーク
１０１サンドボックス装置
１０２Ｃ２サーバリストＤＢ装置
１０３Ｃ２サーバ検知装置
１０４不正通信ユーザ通知装置
１０５オーダ受付装置
１０６ＲＳＴ発信装置
１０７ユーザ課金装置
１０８ユーザ端末
１０９Ｃ２サーバ

Claims

インターネットを介して転送されるファイルを取り込んで当該ファイルを仮想環境下で実行し、当該ファイルが当該実行内容に基づいてマルウェアであると判定すると、当該実行内容からサーバのアドレスを検出する第１処理手段と、
前記サーバのアドレスに基づいて前記インターネットを介した前記サーバとの通信を検出すると、前記サーバの通信相手のアドレスを検出する第２処理手段と、
前記インターネットに中継装置を介して接続されている複数のローカルネットワークのうちから、前記サーバの通信相手のアドレスが割り当てられた第１ローカルネットワークを特定する第３処理手段と、
前記インターネットを介して、前記第１ローカルネットワークの管理者宛に、不正通信遮断オーダをメール又は特定のＷｅｂページで受け付けることが記載されるメールを用いて、不正通信の検知を通知する第４処理手段と、
前記インターネットを介して、前記不正通信遮断オーダを受信する第５処理手段と、
前記サーバのアドレス及び前記通信相手のアドレスの各々に向けて通信強制終了を示すコマンドを前記インターネットに送出する第６処理手段と、
を備えることを特徴とする通信システム。
前記通信強制終了を示すコマンドの送出後、前記管理者に対する課金処理を行う第７処理手段を含むことを特徴とする請求項１記載の通信システム。
前記通信強制終了を示すコマンドはＲＳＴパケットであることを特徴とする請求項１又は２記載の通信システム。
前記ローカルネットワークはインターネットプロバイダ管理下のネットワークであり、前記中継装置はインターネットサービスプロバイダ装置であることを特徴とする請求項１記載の通信システム。
前記サーバはコマンド＆コントロールサーバであることを特徴とする請求項１乃至４のいずれか１記載の通信システム。
前記第１処理手段はサンドボックス装置によって構成され、前記第２処理手段はＣ２サーバ検知装置によって構成され、
前記サンドボックス装置及びＣ２サーバ検知装置はＩＸ（インターネットエックスチェンジ）に含まれることを特徴とする請求項１乃至５のいずれか１記載の通信システム。
前記第３処理手段及び前記第４処理手段は不正通信ユーザ通知装置によって構成され、前記第５処理手段はオーダ受付装置によって構成され、前記第６処理手段はＲＳＴ発信装置によって構成され、前記第７処理手段はユーザ課金装置によって構成され、
前記不正通信ユーザ通知装置、前記オーダ受付装置、前記ＲＳＴ発信装置、及び前記ユーザ課金装置はＡＳＰ（アプリケーションサービスプロバイダ）に含まれることを特徴とする請求項２記載の通信システム。
通信システムにおける通信方法であって、
前記通信システムは、
インターネットを介して転送されるファイルを取り込んで当該ファイルを仮想環境下で実行し、当該ファイルが当該実行内容に基づいてマルウェアであると判定すると、当該実行内容からサーバのアドレスを検出する第１処理ステップと、
前記サーバのアドレスに基づいて前記インターネットを介した前記サーバとの通信を検出すると、前記サーバの通信相手のアドレスを検出する第２処理ステップと、
前記インターネットに中継装置を介して接続されている複数のローカルネットワークのうちから、前記サーバの通信相手のアドレスが割り当てられた第１ローカルネットワークを特定する第３処理ステップと、
前記インターネットを介して、前記第１ローカルネットワークの管理者宛に、不正通信遮断オーダをメール又は特定のＷｅｂページで受け付けることが記載されるメールを用いて、不正通信の検知を通知する第４処理ステップと、
前記インターネットを介して、前記不正通信遮断オーダを受信する第５処理ステップと、
前記サーバのアドレス及び前記通信相手のアドレスの各々に向けて通信強制終了を示すコマンドを前記インターネットに送出する第６処理ステップと、
を有することを特徴とする通信方法。