Industroyerは電力系統に対する攻撃に特化した史上初のマルウェアである。このユニークで非常に危険なマルウェアフレームワークは、2016年12月にウクライナで停電を引き起こした。
BlackEnergy (a.k.a. SandWorm) などの重要インフラを攻撃対象にした他のマルウェアとIndustroyerの違いは、4種類の産業用通信プロトコルを使用して直接コントロールスイッチやブレーカーを操作する能力にある。

本講演では、Industroyerが悪名高いStuxnetワーム以来産業制御システムに対する最大の脅威であると考えられる理由の解説に加え、2016年の停電を近年のウクライナの重要インフラに対する他の多くのサイバー攻撃と比較して解説する。

Industroyerが攻撃するプロトコルやハードウェアはウクライナに限らず世界的に電力系統や交通網、そして水道やガスといった重要なインフラにおいて使われているため、このマルウェアは他国の重要なサービスへの攻撃にも転用することができる。この発見は、このような重要なシステムのセキュリティを担う者達に警鐘を鳴らすはずだ。

本講演では昨年発見したAndroidカーネルに存在する特異なUse-after-freeバグを2つ取り上げる。さらに、今回発見したバグへのエクスプロイトに利用した、100パーセント確実に成功させる信頼性を誇る新たな手法について紹介する。

1つ目のバグはCVE-2017-0403である。このバグではバージョン3.10よりも古いLinuxカーネルを搭載した昨年出荷されたほぼすべてのデバイスで管理者権限を得ることができる。これまでのところ1400万を超えるユーザーがこのエクスプロイトを用いてroot化に成功している。この脆弱性では、攻撃者はオブジェクト自身を指すポインタを用いて、固定のオフセット上の解放済みオブジェクトのみの上書きが可能である。このバグを用いてカーネルコード実行を成功させることはとても困難なことである。この問題を解決するために、解放済みオブジェクトをiovecで再度満たし、カーネル内のパイプサブシステムを悪用する新たな手法を提案する。この手法によりこの特異なメモリ破壊を任意のカーネルメモリ書き換えに転換することができる。

2つ目のバグはCVE-2016-6787である。このバグは競合状態に起因するUse-after-freeであり、重要なカーネルの構造体が破壊されるだけではなくスケジューラーがコンテキストを攻撃者のプロセスに切り替える際にカーネルの破壊を引き起こす可能性がある。よって、Use-after-free発生直後に攻撃者のプロセスを凍結して、カーネルの破壊を防ぐ新手法を導入し、エクスプロイトに信頼性を持たせる。

本講演では総括として、Androidカーネルに発見したUse-after-freeバグをエクスプロイトする新手法を提供する。エクスプロイト手法の概念はとても新鮮であり、バグの詳細は今までに議論されたものではない。

NFC（近距離無線通信）技術はセキュリティ、銀行、決済や、個人情報交換の分野でとても幅広く使われている。それに応じてNFCに対する攻撃手段も延々と出現している。もし私たちが誰かのEMV対応のQuickPass、VisaPay銀行カードを、その財布から"取る"ことなく"盗みたい"としたら？ この問題を解決するために、私たちはハードウェアツールを作成しそれを"UniProxy"と名付けた。このツールには自ら改造した高周波カードリーダーが2つ、無線送信機が2つがあり、マスター・スレーブの関係にある。マスター側では、カードの種類にかかわらず、ほとんどすべてのISO 14443Aタイプのカード、銀行カード、IDカード、パスポート、アクセスカード、などカードが使用するセキュリティプロトコルに関係なく読み出す。一方でスレーブ側では読み出したデータを ISO 14443Aの規格を満たしながら、合法的なカードリーダーに再生し、"悪意ある"目標を達成する。このマスターとスレーブは無線送信機でやり取りをし、50〜200m離しても大丈夫だ。

組込み機器ではホストPCと接続してリモートでプログラムのデバッグを行うために、スタブと呼ばれる独立した制御プログラムを内蔵し、メイン・プログラムを制御することでデバッガによるデバッグを可能にしている。スタブはレジスタ値やメモリの読み書きなどの単純な制御のみを行うことで簡略化されており、解析などの複雑な処理はホストPC上でデバッガが行う。
ホストPC上のデバッガと組込み機器上のスタブとの通信はリモート・シリアル・プロトコル（RSP）と呼ばれるプロトコルにより、シリアル通信やTCP/IP通信により行われる。この通信が奪われた場合、スタブの任意の操作が可能となり、その場合の攻撃の可能性としては、プログラム・カウンタの値を変更しながらステップ実行を繰り返すことで機械語コードの断片を組み合わせて任意コードを実行する Step-Oriented Programming（SOP）が考えられる。これはDEPによるデータ領域の実行防止やフラッシュROM上の機械語コードしか実行できないなどの理由で、注入された機械語コードの実行が不可能であったとしても、既存の機械語コードから任意コードを組み立てての実行が可能である。
SOPによる攻撃の原理と実際に検証コードを組み立てて検証した結果について、デモを含めて説明する。

2017年の春、あるIT資産管理ソフトウェアの脆弱性が海外からのサイバー攻撃に悪用されているとの報道がTVや全国紙などで取り上げられた。IT資産管理ソフトウェアとは、従業員による社内情報の持ち出し防止などを目的として、IT管理者が各従業員の端末に導入するものである。こうしたソフトウェア製品の中には、各社員の端末上でIT管理者による任意のプログラム実行や、端末の遠隔操作を可能とするものも多い。報道されたサイバー攻撃の事例では、攻撃者がIT管理者からの通信をなりすまし、端末上で不正なプログラムを実行していたとされる。攻撃に悪用されたソフトウェア以外にも、国内には著名なIT資産管理ソフトウェアが複数存在する。中には、数千社への導入実績に裏打ちされた安全性を謳い文句にするものもある。ーー他のIT資産管理ソフトウェアは果たして本当に安全なのだろうか？ーーこうした疑問から、シェアの高い国産のIT資産管理ソフトウェア4種に対する脆弱性検査を実施した。この結果、従業員の端末を誰でも遠隔操作できる脆弱性やIT管理者のサーバから任意の情報を持ち出せる脆弱性、サイバー攻撃に悪用されたものと同種の脆弱性をはじめとする複数の脆弱性が見つかった。本発表では、見つかった脆弱性の技術詳細に加え、IT資産管理ソフトウェアの脆弱性を探す際に共通する攻撃手法を述べる。

わたし達は、SSRF（サーバーサイドリクエストフォージェリ）プロテクションを回避することでまったく新しい攻撃の局面をもたらす新しい攻撃手法を提示する。これは、Python、PHP、Perl、Ruby、Java、JavaScript、Wget、cURLなど、広く一般的に使用されているプログラミング言語のビルトインライブラリ内のゼロデイを多く見つけるために自作のファジングツールと組み合わせた、とても幅広く適用できる攻撃アプローチだ。この問題の根本的原因は、URLパーサーとURLリクエスターの矛盾にある。

ビルトインライブラリに存在する非常に根本的な問題であるため、WordPress（Webの27％）、vBulletin、MyBB、GitHubなどの洗練されたWebアプリケーションも影響を受ける場合があり、この攻撃手法でこれらからゼロデイ脆弱性が見つかっている。また、この一般的な手法は、さまざまなコードのコンテキストに適応し、プロトコルのスマグリングやSSRF回避へとつなげることができる。私たちはGitHubエンタープライズに対して、SSRFプロテクションを回避してRCE（遠隔コード実行）を行うためにURLパーサーがどのように攻撃されるかを解説するため、複数シナリオのデモを行う予定だ。

この技術の基本を理解することで、この技術を通して前述の有名なプログラミング言語やWebアプリケーションにて20を越す脆弱性が見つかっていると知っても聴衆の皆さまは驚かなくなるだろう。

HTTP/2はHTTPプロトコルの2番目のメジャーバージョンである。HTTP/2では、平文の通信とは異なり、TCPコネクションやストリームからフレームに至るまで、完全にバイナリ化されたプロトコルを導入することにより、「有線で」伝達されていたHTTPの方式を変えた。HTTP/1.x系からHTTP/2へのこのような根本的な変更は、クライアントサイドとサーバーサイドの実装においてHTTP/2の新しい機能をサポートするために、完全に新しいコードを組み込まなければならないことを意味している。プロトコルの実装における微妙な差違は、ウェブクライアントの受動的な特定に用いることができる可能性を含んでいる。

我々の研究は、1000万以上のHTTP/2接続の情報から抽出した、何百もの実装の4万を超えるユニークなユーザーエージェントのフィンガープリントに基いている。

本講演では、以下のことについて取り上げる予定である。

・HTTP/2の概要
-プロトコルの基礎的な要素の紹介
-フィンガープリントの構成のために選択された異なるコンポーネントの解説（選択されなかったものの議論も行う）
-提示されたフィンガープリントの潜在的な活用手法
-利用統計 - AkamaiのプラットフォームにおけるHTTP/2の利用方法の傾向

・一般的なHTTP/2の実装例と研究の過程で得られたクライアントのフィンガープリント
・一般的なウェブセキュリティツール（Burp Suite、sqlmapなど）におけるHTTP/2のサポート（またはHTTP/2への未対応）
・Akamaiのプラットフォームにより観測されたHTTP/2を用いた攻撃の解説

Androidは、プログラムにてその先「使われない」機密オブジェクトからメモリを開放する明確なAPIを提供していない。"java.security.*"ライブラリならば、機密データを保持したり（例：KeyStore.PasswordProtection）機密コンテンツを削除するAPI（例:destroy()）のクラスを提供している。しかし、それらのAPIを使う責任は開発者に任されている。開発者はコードのかなり遅い段階でそれらのAPIを呼ぶこともあるし、呼ぶこと自体忘れてしまっていることもある。
本講演では、わたし達はすべてのプログラム文において、アプリケーションがどのセキュリティ上重要なオブジェクトを将来使わなくなるかを見つけ出すための新しいアプローチを提案する。わたし達の「データフロー分析」の結果を使うことで、セキュリティ上重要なオブジェクトが最後に使われた直後にそれらを削除でき、その結果セキュリティ上重要な情報をダンプしようとする攻撃者を阻むことができる。この方法で、アプリは徹底的な防御を提供できる。
わたし達は、存在するすべてのスコープ（instance field、static field、local）内でオブジェクトを追跡する機能を、自作のAndrosiaというツールに組み込んでいる。Androsiaは静的コード分析を使って、サマリベースのプロシージャー間データフロー分析を行い、セキュリティ上の機密オブジェクトが最後に使われたプログラムのポイントを特定する。それからAndrosiaはアプリのバイトコード変換を行い、オブジェクトに初期値を再設定することで機密データを削除する。

ホワイトボックス暗号は、攻撃者が実行環境を完璧に制御でき、ソフトウェアに実装された暗号アルゴリズムも操作可能な場合であっても、暗号アルゴリズムおよび暗号キーを保護することを目指している。これは暗号アルゴリズムの数学的な変形と難読化手法を結合しているため、実際にはデータ/コードレベルでの難読化ではなくアルゴリズム難読化である。
ホワイトボックス実装では暗号アルゴリズムは数学的に変換されるため、暗号アルゴリズムの実行中にも暗号鍵は平文で演算されない。このようなセキュリティを使用することで、攻撃者による暗号キーの探索、修正、抽出がとても困難になる。現在まですべてのアカデミックなホワイトボックス実装はtable-decomposition、power analysis attack、fault injection attackを含めた多彩な攻撃により脆弱性が発見されたが、商用のホワイトボックス実装について攻撃が成功したレポートはない。多様な攻撃に対して脆弱性が存在するかどうかを確認するためにいくつかの商用ホワイトボックス実装に対するセキュリティアセスメントを行ったが、商用のホワイトボックス実装では攻撃が通じなかった。しかし私はサイドチャネル攻撃を改善して商用ホワイトボックスの暗号実装で保護された暗号キーを復元することに成功した。私が知っている限りでは、これは商用ホワイトボックス実装で保護された暗号キーを復元するのに成功した最初のレポートである。この発表では商用のホワイトボックス実装で保護された暗号キーを復元する方法を共有し、サービスにホワイトボックス暗号をより安全に適用するセキュリティガイドを提示したいと考えている。

近年、スマートアプライアンス、スマートグリッド、スマートカーなどさまざまなIoTデバイスが開発されている。IoTデバイスはユーザー情報を収集し、よりパーソナライズされたサービスや利便性を提供している。それに伴って、IoTデバイスのフォレンジックの必要性が増加している。
スマートTVは、私たちの家庭において、最も一般的で普及しているIoTデバイスのひとつである。元々、犯罪調査を目的としたデータの収集は、(PCや携帯電話等の）コンピューター・フォレンジックを通じて行われてきた。近年ではスマートTVもユーザーの行動を調査するのに有益な情報を多く有しており、スマートTVに残されたデータも犯罪の証拠として採用されている。実際、『フォーブス』によると、2015年にGlobal Media社は児童性犯罪者を起訴する証拠としてサムスン電子のスマートTVの動画検索記録を使用した。
スマートTVのフォレンジックに関する最初の実験的研究は、2014年、サムスン電子のスマートTV（モデル：UN46ES8000）について行われた。この研究は韓国のKIISC（韓国情報保護学会）で行われ、ウェブブラウザーの脆弱性を通じてストレージにあるデータを取得し、ユーザーの行動を追跡可能な様々なデータを明らかにした。その後、2015年には別バージョンのサムスン電子製スマートTVのフォレンジック分析についての研究が同じ分析手順で行われた。しかし、スマートTVは製造元によって異なるOSやアプリケーションを使用しており、提供する機能が基本的に異なるため、メーカーごとにフォレンジック研究が必要である。LG webOS 2.0 スマートTVに関する2つのフォレンジック研究が行われたが、いずれもフォレンジックデータを取得することは難しいという結論だった。そのため、私たちはLG webOS 3.0 スマートTVの研究を実施し、スマートTVで収集することができる重要な情報を明らかにした。
本講演では、サムスン電子のスマートTVのフォレンジック研究結果とLG社のスマートTVとの比較研究結果についても発表する。

近年のサイバー犯罪においてPowerShellが頻繁に悪用されていることに対し、MicrosoftはAnti-Malware Scan Interface (AMSI)と呼ばれる機能をWindows 10に追加した。AMSIは、Microsoftやその他のベンダーが、PowerShell等のスクリプトエンジンの動作をより詳細に監視することを可能にするAPIであり、Windows 10のリリース以降、複数の研究者によりその有効性と制限が研究、報告されてきた。

このような流れのなか、AMSIがWindows 10でのみ有効であることなどを理由に、多くのセキュリティ・ソフトウェアベンダーがいまだAMSIの利用を見合わせている。その一方で、攻撃者は素早くAMSIの制限を理解し、回避手法を攻撃に組み込むなどの動きを見せており、PowerShellを用いた攻撃の検出と防御はますます困難になっているのが現状である。

このような高度な攻撃の脅威を防ぐために、本講演では、.NETプログラムのネイティブコードをフック（改竄）する技法を用いて、どのようにPowerShellの実行に対する可視性を高めるかを説明する。この技法の現実的な適用シナリオとして、本講演では、AMSIの機能を拡張し、かつ既知の制限を排除する方法を、.NET FrameworkおよびPowerShellエンジンの内部動作の解析結果を交えながら紹介し、その有効性を実演する。

標的型攻撃で侵入されたネットワークでは、侵入後に他のホストやサーバーに感染が広がる事例が多い。インシデント調査では、この侵入拡大フェーズの調査が重要である。侵入拡大フェーズの調査手法として、感染ホストのログ調査や、ディスクイメージのフォレンジック調査などが挙げられる。しかし、調査に有効なログが感染ホスト上に残らず、攻撃者の行動を十分に追跡できないことも多い。そのため、攻撃者がネットワーク内でどのように感染拡大を行うか把握できないことが多い。
そこで、攻撃者の行動を把握するために、実際の攻撃に使用された攻撃者のサーバー（C2サーバー）やマルウェアを調査した。C2サーバー内のログやマルウェアが行った通信をデコードすることで、ネットワーク侵入後の攻撃者の行動を把握することが可能となった。その結果、侵入拡大の手口にはよく見られる共通のパターンが存在することを確認した。また、異なるマルウェアや攻撃キャンペーンの場合でも、使用されるツールは多くの場合において同様であることがわかった。
同様のツールが多く使用されることから、それらツールの利用を追跡することが横断的侵害を把握する上で有効な手法のひとつとなる。攻撃の主な対象となるWindowsでは、一定の監査機能がインストール時点から動作している。しかし、攻撃者が典型的に使用するツールを分析・検証したところ、Windowsの初期設定では多くのツール実行を記録するには不十分であり、有用な情報を記録するには追加の設定が必要であることが確認された。
本講演では、初めに調査結果から分かった横断的侵害（Lateral Movement）でよく見られる攻撃パターンと利用されることが多いツールについて説明する。そして、このようなツールが利用されたインシデントを調査または検知する方法について解説する。

Trueseeingとは筆者たちが開発した、Androidアプリケーションを対象とした脆弱性自動診断ツールである。
TrueseeingにはDalvikバイトコードに対して逆コンパイラを介在させずに直接データフロー解析を行う特徴がある。この特徴によりTrueseeingは基本的な難読化ツールの影響を受けず、DEF CON 23でLinkedIn社により発表されたQARKやMobSFを含む既存の脆弱性自動診断ツールとは一線を画するものとしている。またTrueseeingは脆弱性を発見するだけでなく、一部の脆弱性に対しては直接バイナリパッチを当てて改修できる。現在Trueseeingが検出できる脆弱性はOWASP Mobile Top 10（2015）のほとんどをカバーする。2017年7月のDEF CON 25 Demo Labsにおいて発表し、難読化されたAndroidアプリケーションに対する解析力のデモンストレーションを大々的に行なった。コードは https://github.com/monolithworks/trueseeing で公開している（GPL-3）。

近年、モバイルプラットフォーム向けのデバイスドライバーの脆弱性が次々に発見されている。AndroidまたはCodeAuroraのセキュリティアドバイザリーを開けば、あふれるデバイスドライバーの脆弱性情報の海に溺れることは簡単だ。現在、AndroidデバイスドライバーとLinuxカーネルの両方に脆弱性を見つけることのできるファジングツールは数多くあるが、スマートさ (より少ないファジングデータでより多くのコードをカバーする性能) と 速さ (高速に命令をトレースする性能) の両方を兼ね備える物はごく一部だ。本講演では、ARM64ハードウェアトレース技術とハイブリッド実行技術 (Angrによるシンボリック実行とトレースの併用) によりスマートさと速度の両方を実現した実用的なファジングツールを紹介する。

アルファベイ・マーケットは、2017年7月4日に管理者であるAlpha02がFBIにより押収され逮捕されるまで、世界中のサイバー犯罪や漏洩した個人情報の売買に関連する事案において最も大きく活発な市場であった。Torによって形成された市場が麻薬売買や銃火器や盗品の売買では最も有名だった一方で、アルファベイのフォーラムは英語圏のサイバー犯罪コミュニティの中心的な立場でもあった。このコミュニティは、日本の経済サービス区域を含む世界中の政府やビジネスを標的とする基盤としてアルファベイを使っていた。アルファベイは犯罪市場を先導する立場であった期間に、戦術におけるインテリジェンス、各種の専門的な分野を標的とするサイバー犯罪者集団の手法や活動、そしてセキュアで匿名な市場を通じて売られている窃取された情報といった膨大な量の情報をもたらした。市場は現在オフラインであるが、これらの集団はいまだに活動を継続しており、同様の攻撃技術を用いている。
本講演では、地下市場の経済において支配的な立ち位置を獲得し市場を支えたアルファベイの歴史や特有の性質に触れつつ、iDefenseでアルファベイを研究した結果を明らかにする。我々の調査結果は、大規模な暗号通貨操作を取り入れた独自の先端金融モデルによる証拠に基づいている。アルファベイの深層はロシアのサイバー犯罪コミュニティと深く結びついており、サイバー犯罪者たちが利益を得る機会を一度見つけると専門グループを構成するための足場として利用されている。本講演では、アルファベイにて押収されたものを追うことで犯罪者市場の将来像についても考察し、どういった特性が次の市場で頂点に上り詰めるために求められるかということについて取り上げる。

JPCERT/CCは 日本国内で確認したAPT攻撃に関して、被害組織への対応協力、攻撃に使用されたC2サーバーの調査などを行い、APT攻撃キャンペーンについてさまざまな対応を行っている。
これらの日本国内で確認しているAPT攻撃の全体像を把握するため、対応したAPT攻撃インシデントの情報をSTIX形式で表現し、データベース化するシステムの開発を進めている。なお、本システムはオープンソースソフトウェアとしてGitHubで公開予定である。
本システムでは、攻撃キャンペーン、攻撃グループ、マルウェア、侵入手口、組織内拡大手口などの攻撃手法や攻撃対象組織の属性で分析し、タイムラインとして可視化することを実現している。
今回の講演では、本システムを使用して、日本を標的とするAPT攻撃キャンペーンの全体像をタイムラインで表現し、攻撃手口を網羅的に解説することによって、その系譜を紹介する。その上で、攻撃キャンペーンごとに攻撃対象組織の属性を分類し、攻撃者の目的を考察する。 また、本システムの技術ポイントを解説し、さまざまなインシデントをSTIX2.0形式で記述した経験から得たノウハウなどを紹介する。

昨今の社会を形成するあらゆる分野におけるインターネットと技術の普及の高水準化は、我々の社会、サービスの提供と管理、そして情報の入手に関するあらゆる側面において、質と量の両面で多大な変化をもたらした。前述の要素と国民やさまざまな事柄の間の関係性に関しても同様であり、極めて限られた時間の中で変化がもたらされた。この視点から、官民連携では主に2つの要素によって、サイバーセキュリティへの機能的な要求が増加しているように見える。1つは重要な社会基盤が個人によって所有され管理されているということ、もう1つはそういったシステムでのICT技術の利用が幅広く普及していることであり、それらの相互接続の度合いは極めて高い。本研究では、主要な欧米の国家が講じているサイバーセキュリティでの官民連携に対する戦略的な手法を解析している。その強みと弱みを取り上げ、効果的で効率的な連携を設計し構築するために重要な要求事項についても言及する。

本講演では、最近公開された脆弱性を用いたiOSカーネルをジェイルブレイクするためのいくつかの攻撃手法の考え方について議論する。直近ではIan Beerによって以下の注目すべき脆弱性が発見されている。
CVE-2016-7637: iOS/MacOSのカーネル machポート名「uref」ハンドリングの破壊により他のプロセスの特権ポート名の置換が引き起こされ得る脆弱性
CVE-2016-7644: set_dp_control_portにおけるロックの不備によるXNUカーネルのUse-after-freeの脆弱性
CVE-2016-7661: MacOS/iOSのpowerdにおける任意のポート置換の脆弱性
しかし、これらの脆弱性を注意深く組み合わせても、昨今のiOSのバージョンに実装された対策を容易には突破できない。昨今のiOSでは、カーネル・パッチ防御機構やサンドボックス機構をはじめとして、AMFI（Apple Mobile File Integrity）や MAC（Mandatory Access Control）ポリシーや KASLR（Kernel ASLR）のような、カーネルレベルでの防御機構が実装されている。本講演ではこれらの防御機構に関しても簡潔に解説する。

脆弱性情報を取り扱う上で常に法的リスク等を考慮する必要があるが、判例も少なくその基準は曖昧であることが多い。そこで、単に学説や判例の結論を紹介するだけではなく法解釈・法適用の論理的構成を具体的事例を用いて検討する。
まず、脆弱性情報の公表の自由がどのような場合に認められるか。表現の自由や知る権利、公序良俗違反等の点で問題となる。また、営業妨害や名誉棄損・信用棄損の点での民事上・刑事上の責任についても考える。脆弱性情報を知る重要性と悪用時の損害の重大性からその法的性質を慎重に検討する。
さらに、脆弱性情報を管理する制度も運用しているIPAは独立行政法人である為、情報公開法が適用されるかどうか問題となる。報告・管理されている脆弱性情報が一定の非開示情報に当たるか検討する。
加えて、脆弱性を発見する過程においての不正アクセス禁止法違反にあたる行為の基準、リバースエンジニアリングを禁止する契約の有効性、そして脆弱性の検証研究目的での免責の可否を検討する。