マルウェア観測のための仮想計算機モニタを用いたシステムコールトレース手法

• Item type: Journal(1)
• 公開日: 2014-09-15
• タイトル: マルウェア観測のための仮想計算機モニタを用いたシステムコールトレース手法
• タイトル / 言語: en
• タイトル: System Call Tracer based on Virtual Machine Monitor for Malware Analysis
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: [特集：新しいリスクに対応するコンピュータセキュリティ技術(特選論文)] マルウェア，動的解析，仮想計算機モニタ，システムコールトレース
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_6501
• 資源タイプ: journal article
• 著者所属: 立命館大学
• 著者所属: 立命館大学
• 著者所属: 名古屋工業大学
• 著者所属: 立命館大学
• 著者所属(英): en
• 著者所属(英): Ritsumeikan University
• 著者所属(英): en
• 著者所属(英): Ritsumeikan University
• 著者所属(英): en
• 著者所属(英): Nagoya Institute of Technology
• 著者所属(英): en
• 著者所属(英): Ritsumeikan University
• 著者名: 大月, 勇人; 瀧本, 栄二; 齋藤, 彰一; 毛利, 公一
• 著者名(英): Yuto, Otsuki; Eiji, Takimoto; Shoichi, Saito; Koichi, Mouri
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: マルウェア対策には，マルウェアの挙動を調査する必要がある．しかし，次々に新種のマルウェアが出現しているため，個々のマルウェアの調査に時間を費やすことはできない．このような場合，実際にマルウェアを動作させて挙動を調査する動的解析が有効である．従来の解析システムは，処理速度が十分でなかったり，アンチデバッグ機能により解析していることをマルウェアに検出されるなどの課題を有していた．そこで，我々は，それらの課題を解決すべく動的解析システムAlkanetを開発した．Alkanetは，仮想計算機モニタBitVisorをベースとしている．対象とするオペレーティングシステムはWindows XPとし，Windowsの最小の実行単位であるスレッドを単位としてシステムコールをトレースする機能を実現している．また，トレースログをIEEE1394を通じてリアルタイムに転送する機能を有し，トレースログを即座に別のコンピュータ上で処理することが可能である．本論文では，Alkanetの設計と実装について述べた後，Alkanetが，他の動的解析システムと比べて十分な処理速度で解析可能であること，典型的なアンチデバッグ機能に対して高い耐性を持つことなどを示す．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Recently, malware has become a major security threat to computers. Responding to threats from malware requires malware analysis and understanding malware behavior. However, malware analysts cannot spend the time to analyze each instance of malware. The method is to execute the malware and observe its behavior. The major dynamic analysis systems often cannot analyze malware quickly. In addition, recent malware detects the systems by anti-debugging techniques. To solve these problems, We are developing Alkanet, a malware analyzer that uses a virtual machine monitor based on BitVisor. Alkanet executes malware on Windows XP, and traces system calls invoked by threads. Therefore, the system can analyze malware that infects other running processes. Also, the system call trace logs are obtained in real time via a IEEE 1394 interface. In this paper, we describe the design and implementation of Alkanet. We confirmed that Alkanet run faster than other dynamic analysis systems. We also confirmed that most of anti-debugging techniques cannot detect Alkanet.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AN00116647
• 書誌情報: 情報処理学会論文誌; 巻 55, 号 9, p. 2034-2046, 発行日 2014-09-15
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 1882-7764