【コラム】ITセキュリティのアライ出し (30) ボットネットの観測方法をさらに詳しく分析する(1) - Obfuscationの実際 | エンタープライズ | マイコミジャーナル

前回に引き続き、今回もKrakenボットネットについてDVLabsが行った調査(http://dvlabs.tippingpoint.com/blog/2008/04/28/owning-kraken-zombies)を紹介する。ただし、今回は観測によって得られたデータではなく、どのような事前調査を行うことでボットネットの観測を可能にしたのか、といった技術的な分析手法に主眼を置くことに注意されたい。 バイナリのObfuscation(難読化) DVLabsによると、まずKrakenの検体をOffensive Computingから入手し、分析を行ったのだという。その結果、KrakenはUDP 447番ポートを使用した暗号化プロトコルを通じて指令(C&C)サーバと通信を行うことが判明した。通信先のC&Cサーバは、ダイナミックDNSプロバイダ(DDNS事業者)によるサービスが使用され、サブドメ