Bag-of-wordsを用いた悪性マクロの検知手法の提案

• Item type: SIG Technical Reports(1)
• 公開日: 2018-02-26
• タイトル: Bag-of-wordsを用いた悪性マクロの検知手法の提案
• タイトル / 言語: en
• タイトル: Detecting Malicious Macros with Bag-of-words
• 言語: jpn
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 防衛大学校理工学研究科
• 著者所属: 防衛大学校理工学研究科
• 著者所属: 防衛大学校理工学研究科
• 著者所属(英): en
• 著者所属(英): National Defense Academy
• 著者所属(英): en
• 著者所属(英): National Defense Academy
• 著者所属(英): en
• 著者所属(英): National Defense Academy
• 著者名: 三浦, 紘弥; 三村, 守; 田中, 秀磨
• 著者名(英): Hiroya, Miura; Mamoru, Mimura; Hidema, Tanaka
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 近年，悪性マクロを用いた標的型メール攻撃が増加している．これまでに，様々な悪性文書ファイルの検知手法が提案されているが，悪性マクロそのものを検知する手法は知り得る限りには存在しない．そこで本稿では，マクロのソースコードに注目し，特定の語彙の出現頻度から未知の悪性マクロを検知する手法を提案する．悪性マクロのほとんどは難読化されており，ASCII コードの 16 進数，ランダムな変数名，文字列を操作する関数が使用される．提案手法では，ランダムな変数等の同一の特徴を示す語彙は同一の語彙に置換してコーパスを作成し，Bag-of-words を用いて特徴ベクトルを作成する．その後，作成した特徴ベクトルとラベルをサポートベクターマシンに入力し，悪性マクロと良性マクロを分類する．検証実験では，提案手法を Virus Total から取得した検体に適用し，未知の悪性マクロに対して効果があることを確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: In recent years, targeted e-mail attacks using malicious macros are increasing. Previously, detection methods for malicious document files have been proposed. However, to the best of our knowledge, there is no method to detect malicious macros. In this paper, we focus on the source code and propose a method to detect malicious macros from the frequency of the specific vocabulary. Most malicious macros are obfuscated by the functions that convert a character string to hexadecimal numbers of ASCII codes and replace function names with random names. In our method, the vocabularies with the same features are replaced with a vocabulary to create a corpus. Thereafter, Bag-of-words represents the feature vectors. This paper inputs the feature vectors and labels into Support Vector Machine and classifies unseen macros into malicious macros and benign macros. In the verification experiment, we applied the proposed method to the specimen downloaded from Virus Total. As a result, our method is efficient to detect unseen malicious macros.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AA11235941
• 書誌情報: 研究報告コンピュータセキュリティ（CSEC）; 巻 2018-CSEC-80, 号 32, p. 1-8, 発行日 2018-02-26
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8655
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会