ユーザ環境観測によるRIG Exploit Kit の長期観測と時間変化に対して頑強な攻撃検知

摘要

現在，Webサイトを閲覧することによってマルウェアに感染させるDrive-by Download(DBD)攻撃が深刻な問題となっている.この攻撃は，ExploitKit(EK)と呼ばれる攻撃基盤の上で行われることが多く，なかでもRIGEKが近年もっとも大きな被'害をケえた.RIGEKは，攻撃の特徴であるIndicators of Compromise (IOC)によって検知されるが, 踏み台サイトの取り締まりや攻撃検知の冋避のためにIOCが変化してしまうため，攻撃を継続的に観測することが困難であるという課題があった.本研究では，あるセキュリティツールの7ヶ月間の長期ログを分析することによって，RIGEKの長期活動を明らかにする.このなかで，変化するIOCに対して，自動的に導出する検知方式を提案する.提案方式を評価した結果，RIGEKドメイン名を平均98%の再現率(recall),50%の適合率(precision)で検知できることを確認した.また，期間中のIOCの変化に追従して，新しいIOCを導出できることが明らかになった.