WiresharkのDissectorを使った独自プロトコル解析をやさしく解説してみました
本稿では、基本的なDissectorの作り方と、Dissectorを活用したパケット解析方法を紹介します。 WiresharkのDissectorをご存知でしょうか？DissectorはWiresharkのプロトコル解析部分で、バイト列を人が理解できる内容に変換し表示してくれます。 Wiresharkを使った事がある方なら、独自プロトコルのバイト列を人が理解できる表示にできないかなぁと思った経験があると思います。 Dissectorを自作しPluginとして追加すると独自プロトコル解析が容易になります。 なぜ今Dissectorを紹介するの？ 技術部の安井です。 長年、制御システムを開発した経験から、現在は制御システムセキュリティを見ています。 現在、世の中の多くのプロトコルに対応したDissectorがWiresharkに搭載されています。しかし、制御システムやIoT機器など独自プロトコ
angr, AFL, Driller | 一生あとで読んでろ
はじめに 今年のセキュリティ・キャンプでは，うっかり「なぜマルウェア解析は自動化できないのか」という題の講義を行ってしまったが，それだけセキュリティの世界には自動化の波が来ている．本稿では，脆弱性分析の自動化をめざして開発されているangr, AFL, Drillerをざっくり紹介する． angr angrはUCSBの研究チームにしてCTFチームShellphishを中心に開発されているバイナリ解析フレームワーク．論文[PDF]はIEEE S&P 2016に採択されている．手法の新規性というよりは実装力でゴリ押しするタイプ．評価には，アメリカ国防高等研究計画局が5,500万ドル（約56億円）の資金を投じてまで開催した脆弱性分析・修正の自動化コンペ，DARPA Cyber Grand Challenge (CGC) のデータセットが用いられている．CGCの決勝戦に進出したチームには75万ドル
IoTセキュリティ対策 診断・解析入門 | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
本投稿記事は、当社の内定者である黒林檎氏にIoTの解析について調査してもらいました。IoTのセキュリティはまだまだ課題が山積みですが、解析入門ということで調査結果を公開いたします。 はじめに 日本でもIoTのハッキングが注目視されてきました。 IoTが"Internet of Things"の略称であり"モノのインターネット"というのは既知かと思います。 様々な"もの"がインターネットに接続され、情報交換することにより相互に制御する仕組みであり、スマートウォッチなどが想像されがちですがそれはIoTにおけるほんの一部であり、実際はインターネットなどにより通信する仕組みを備えた家電製品などもIoTの一種になります。 本稿では、今後重要性を増すIoT機器のセキュリティ診断・解析について具体的な解析手法にも触れながら入門編を寄稿いたします。 IoTのハッキング(診断)とは？ 大まかにIoTの診断を
Fileless Malware – A Behavioural Analysis Of Kovter Persistence - Airbus D&S CyberSecurity blog
Fileless Malware – A Behavioural Analysis Of Kovter Persistence By Andrew Dove on 2016/03/23, 14:53 - Reverse engineering - Permalink Behavioural Analysis Fileless Malware Kovter Background During a recent talk by a representative of MalwareBytes, it was discussed that several modern malware families, notable Poweliks, Phase Bot and Kovter are moving away from the file system and are instead estab
Unicorn – The Ultimate CPU emulator
Unicorn is a lightweight multi-platform, multi-architecture CPU emulator framework. Highlight features: Multi-architectures: ARM, ARM64 (ARMv8), m68k, MIPS, PowerPC, RISC-V, S390x (SystemZ), SPARC, TriCore & x86 (include x86_64). Clean/simple/lightweight/intuitive architecture-neutral API. Implemented in pure C language, with bindings for Pharo, Crystal, Clojure, Visual Basic, Perl, Rust, Haskell,
シンボリック実行に入門しようとした | 一生あとで読んでろ
はじめにシンボリック実行(symbolic execution)という用語をセキュリティ系の論文でよく見かけるようになった．ここでは，シンボリック実行の基礎となる理論を辿る．筆者はソフトウェアテストの研究には疎く，おそらく本稿には若干以上の誤謬と誤解が含まれているだろう．ぜひ識者の教示を乞いたい． 発祥シンボリック実行は主にソフトウェアテストの領域で古くから研究されてきたトピックである．シンボリック実行という用語の初出は遡ること38年前，James C. KingらによるSymbolic Execution and Program Testing [PDF]という論文だ．Dijkstraがgoto文の濫用による大域脱出を批判したのが1968年であり，Guarded Command Languageを提案したのが1975年のことである．この論文が発表された1976年当時はまさに構造化プログラ
Swimming in the Sea of ELF - AV Tokyo 2015 Workshop #MalwareMustDie
The future of SEO is trending toward a more human-first and user-centric approach, powered by AI intelligence and collaboration. Are you ready? Watch as we explore which SEO trends to prioritize to achieve sustainable growth and deliver reliable results. We’ll dive into best practices to adapt your strategy around industry-wide disruptions like SGE, how to navigate the top challenges SEO professio
Reverse Engineering
Reverse engineering and security for fun since 2007. Enjoy browsing around! I apologize if this information is already known, but I couldn’t find any references about it and I wanted to understand what was going on and share with you because I think there is some value doing it. In case this wasn’t known, I apologize to the Go team for not talking to them first and jumping the full disclosure gun
Deobfuscating Shifu
Oct 9, 2015 Many Trojans employ anti-analysis techniques. Some of these, such as VM detection, can be cleanly defeated with our automated countermeasures. Others require a little elbow grease. Among the latter is the use of obfuscated strings, as seen in the recently discovered banking Trojan “Shifu”. In this post, we will follow a particular sample (MD5 371cdeb618d2170419f02fc3d644ef43) and shed
Emdiviについて - Twitterに書ききれないこと
Emdiviついて、解析の参考になりそうなことをネットで調べた。 観測された挙動・通信などの報告のまとめ。 概要 日本年金機構からの情報漏洩事件で有名になったRAT。 基本的には、今までのRATと同等の機能を備えている。 JPCERTによると2015年4-6月期（6/30現在）で、感染が確認されている組織は66組織。うち44組織がEmdiviとなっている。*1 2014年の標的型攻撃に最も使用されたRATは、この年に登場したEmdiviファミリーで全体の35%占めている。 昨年全体の23%とトップだったPoison Ivyは8%と大きく減少している。Plig Xは昨年の21%から32%と増加している。 これは、標的環境がWindows7を採用しているためだと考えられる。*2 またEmdiviは、特に日本を狙う標的型攻撃での使用が確認されているRATである。 以上から今、最も解析が求められて
エフセキュアブログ : トップガンを越えてゆけ
トップガンを越えてゆけ 2015年09月21日08:00 ツイート daiki_fukumori オフィシャルコメント by：福森 大喜 NHKのプロフェッショナルというテレビ番組の中で、"サイバーセキュリティー技術者の中でも最高の技術を持つトップガン"ということで「あの」名和さんが登場しました。 名和利男（2015年9月14日放送）| これまでの放送 | ＮＨＫ プロフェッショナル 仕事の流儀 特にマルウェア解析シーンでは突っ込みどころがたくさんありますが、テレビということで大目に見てもらうとして、技術者が誤解したままではマズイと思うことを一点だけ。 終盤でのマルウェア解析の際に、VirusTotalでの検索結果で「b1ef92??」という文字列が出てきたことから、IPアドレスが「177.239.146.???」だと判断してメキシコのサーバを経由した攻撃である可能性がある、という話にな
エフセキュアブログ : Tinba：もう1つの対サンドボックス手段
Tinba：もう1つの対サンドボックス手段 2015年05月06日15:46 ツイート fsecure_corporation ヘルシンキ発 マルウェア作者がサンドボックスを検出する新たな手段を発明したのなら、当然のことながらそこで一服したりしない。サンドボックスは非常に便利なシステムで、昨今では数百万のサンプルを自動的に分析する。Seculert は最近、Dyre/Dyrezaマルウェアで採用している、前例のないサンドボックス検出方法を明らかにした。我々は、これと類似する対サンドボックス手段が悪評高いバンキング型トロイの木馬Tinbaで使われていることを確認した。サンドボックス技術の向上の一助となることを期して、この発見について論じたいと思う。Joe Securityも同社のサンプルの1つから、Tinbaで見られたものと同じ回避手段を見つけ出している。 ユーザインタラクションを組み合わせ
マルウェア解析奮闘記 ～難読化JScriptを解析せよ～ | セキュリティ研究センターブログ
先日、あるマルウェアを入手しました。フィッシングメールの添付ファイルとして配送されていたもので、拡張子「.js」のJScriptファイルでした。中身は難読化処理が施されておりました。その解読手法および解析した結果を記します。 ■JScriptとは JScriptはスクリプト言語であり、ファイルをダブルクリックした場合はWindows Script Hostがその実行エンジンとなります。そのため、Windows環境は標準でJScriptファイルを実行する事ができます。厳密にはJavaScriptと異なるのですが、JavaScriptが読める方であれば、何をしているかはきっと理解できます。 アイコンは以下の通りです。 図１、JScriptのアイコン ■検体の調査 検体をテキストエディタで開くと以下の通りとなっておりました。 図２、検体のソースコードの一部 一見すると解析を諦めたくなるような綺麗
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - avast/retdec: RetDec is a retargetable machine-code decompiler based on LLVM.
なぜマルウェア解析は自動化できないのか
解析基盤技術を用いた効率的なソフトウェアテスト
Google Code Archive - Long-term storage for Google Code Project Hosting.
ida-x86emu Home Page
パスワード認証
Anti-analysis techniques