実行命令系列の分類に基づいた汎用的なオリジナルエントリポイント特定手法の提案

• Item type: Symposium(1)
• 公開日: 2014-10-15
• タイトル: 実行命令系列の分類に基づいた汎用的なオリジナルエントリポイント特定手法の提案
• タイトル / 言語: en
• タイトル: Original Entry Point Detection by Classifying Dynamically Generated Instructions
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: マルウェア，難読化，パッカー，コード解析，静的解析
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 神戸大学大学院工学研究科
• 著者所属: 神戸大学大学院工学研究科
• 著者所属: 神戸大学大学院工学研究科
• 著者所属: 独立行政法人情報通信研究機構
• 著者所属: 独立行政法人情報通信研究機構
• 著者所属: 独立行政法人情報通信研究機構
• 著者所属(英): en
• 著者所属(英): Graduate School of Engineering, Kobe University
• 著者所属(英): en
• 著者所属(英): Graduate School of Engineering, Kobe University
• 著者所属(英): en
• 著者所属(英): Graduate School of Engineering, Kobe University
• 著者所属(英): en
• 著者所属(英): National Institute of Information and Communications Technology
• 著者所属(英): en
• 著者所属(英): National Institute of Information and Communications Technology
• 著者所属(英): en
• 著者所属(英): National Institute of Information and Communications Technology
• 著者名: 岸部, 功太郎; 中村, 徳昭; 森井, 昌克; 伊沢, 亮一; 井上, 大介; 中尾, 康二
• 著者名(英): Kotaro, Kishibe; Noriaki, Nakamura; Masakatu, Morii; Ryoichi, Isawa; Daisuke, Inoue; Koji, Nakao
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: マルウェアの多くはパッキング（圧縮/暗号化）が施されており，コード解析の障害となっている．本論文では解析支援を目的として，パッキングのアルゴリズムに依存しない精度の高いオリジナルエントリポイント（OEP）特定手法を提案する．提案手法は主に２つの特徴がある．１つ目は検体の実行命令系列をメモリ上のアドレス距離によりグルーピングする点にある．オリジナルコードとパッキング時に付加されたコード（復号ルーチン）は離れた位置に配置されることが基本であり，それらを分離する．２つ目は各グループがオリジナルコードか否かを機械学習で判定する点にある．オリジナルコードのうち最初に実行された地点をOEPとして出力する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Most malware programs are packed (compressed and/or encrypted) by packers to hamper code analyses. In order to help extract original binaries efficiently, this paper presents an accurate original-entry-point detection method featuring two mechanisms. First, it classifies dynamically generated instructions by memory address. Because instructions of the original binary and the unpacking routine will be placed away from each other, our method can divide them into different clusters. Second, it identifies if each class is composed of part of the original binary by using the k-nearest-neighbor method, and the first executed point in original-binary clusters will be the original entry point.
• 書誌情報: コンピュータセキュリティシンポジウム2014論文集; 巻 2014, 号 2, p. 1148-1155, 発行日 2014-10-15
• 出版者 / 言語: ja
• 出版者: 情報処理学会