Trusted Design

T1001 - Data Obfuscation

概要

Adversaries may obfuscate command and control traffic to make it more difficult to detect.(Citation: Bitdefender FunnyDream Campaign November 2020) Command and control (C2) communications are hidden (but not necessarily encrypted) in an attempt to make the content more difficult to discover or decipher and to make the communication less conspicuous and hide commands from being seen. This encompasses many methods, such as adding junk data to protocol traffic, using steganography, or impersonating legitimate protocols.

管理者によるコメント

T1001「Data Obfuscation」（データの難読化） は、攻撃者が外部のC2（コマンド＆コントロール）サーバーと通信する際、その通信内容をセキュリティ製品（IDS/IPS、次世代ファイアウォールなど）に検知されないように加工するテクニックです。

1. 概要

この手法の主な目的は「通信の隠蔽（Command and Control）」です。単に暗号化するだけでなく、通信の「見た目」を工夫することで、監視の網をくぐり抜けます。

何を実現できるのか:

2. 攻撃の流れ

攻撃者は、C2サーバーとやり取りするデータ（指示や盗み出した情報）に対して以下の処理を施します。

  1. ジャンクデータの追加 (Junk Data): データの前後や間に、意味のないランダムなデータを挿入し、パケットのサイズやハッシュ値を変化させます。
  2. ステガノグラフィ (Steganography): 画像ファイル（JPGやPNG）などのピクセルデータの中に、秘密裏にデータを埋め込みます。一見するとただの画像に見えます。
  3. カスタムエンコーディング: Base64や独自の手法でデータを変換します。暗号化（T1573）とは異なり、デコードすれば元のデータが分かりますが、一見しただけでは内容が判別不能になります。
  4. プロトコルの偽装: HTTP、DNS、ICMPなどの正規のプロトコルの中に、独自形式のデータを詰め込んで送信します。

3. 防御・対策

データの中身を直接見るのが難しいため、通信の「振る舞い」や「メタデータ」に注目した対策が必要です。

4. 重要ポイント

5. 関連する主なCWE

6. 関連する代表的なCVE

T1001は通信の「加工手法」であるため、特定のCVEを直接突くものではありませんが、以下のような脆弱性の悪用後に併用されます。

調査のヒント:

難読化のサブテクニックには、T1001.001（ジャンクデータの追加）、T1001.002（ステガノグラフィ）、T1001.003（プロトコル偽装） があります。

分析

この攻撃手法を利用する脅威アクター

関連する CVE

攻撃手法 – 脅威アクター Graph

← Technique一覧に戻る ← Tactics一覧に戻る