シンボリック実行を活用したマルウェア解析環境検知機能の回避条件自動抽出の研究

• Item type: Symposium(1)
• 公開日: 2018-10-15
• タイトル: シンボリック実行を活用したマルウェア解析環境検知機能の回避条件自動抽出の研究
• タイトル / 言語: en
• タイトル: Automatic Extraction of Conditions for Bypassing Malware Anti-Analysis Techniques by Using Symbolic Execution
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: シンボリック実行，マルウェア解析，解析環境検知機能
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 情報セキュリティ大学院大学／現在，警察庁
• 著者所属: 情報セキュリティ大学院大学
• 著者所属(英): en
• 著者所属(英): Institute of Information Security / National Police Agency of Japan
• 著者所属(英): en
• 著者所属(英): Institute of Information Security
• 著者名: 窪, 優司; 大久保, 隆夫
• 著者名(英): Yuji, Kubo; Takao, Okubo
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 最近のマルウェアは解析環境で実行されていないか確認した上で本来意図した動作を行うことが多いため，マルウェアに組み込まれた解析環境を検知する機能を回避することがマルウェア解析において重要である.本論文では，解析環境の検知を回避する条件を自動的に抽出するためにシンボリック実行を活用した手法を提案する．提案手法ではシンボリック実行の経路探索を開始するアドレス，到達すべきアドレスおよび回避するアドレスの 3 つのアドレスを指定することで実行経路上の分岐条件を自動的に抽出する．提案手法を 55 種類の解析環境検知機能を実装したプログラムに適用して，解析環境検知機能の回避条件の自動抽出を行って評価する．本提案手法を用いることで，機械的に正確な結果を短時間で抽出できることを示す．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: It is important in malware analysis to bypass the anti-analysis techniques implemented in malware, since recent malware often performs the intended actions after checking the analysis environment. In this paper, we propose a method that utilizes symbolic execution to automatically extract the conditions for bypassing malware anti-analysis techniques. We propose the method to automatically extract the branch conditions along the execution path by specifying three addresses: the address at which the path exploration starts, the address at which it targets and the address at which it avoids. We evaluate our method by applying it to the program that implements 55 kinds of anti-analysis techniques to obtain the conditions for bypassing them. We demonstrate our method can automatically extract accurate results in a short time.
• 書誌レコードID / 識別子タイプ: NCID
• 書誌レコードID / 関連識別子: ISSN 1882-0840
• 書誌情報: コンピュータセキュリティシンポジウム2018論文集; 巻 2018, 号 2, p. 770-777
• 出版者 / 言語: ja
• 出版者: 情報処理学会