IoTマルウェア駆除のためのキルコマンド等の自動抽出

• Item type: Symposium(1)
• 公開日: 2019-10-14
• タイトル: IoTマルウェア駆除のためのキルコマンド等の自動抽出
• タイトル / 言語: en
• タイトル: Automated Extraction of Kill Commands for Disabling IoT Malware
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: IoT，マルウェア，駆除，Bashlite
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 株式会社セキュアブレイン
• 著者所属: 株式会社セキュアブレイン
• 著者所属: 株式会社セキュアブレイン
• 著者所属: 横浜国立大学大学院環境情報研究院／先端科学高等研究院
• 著者所属(英): en
• 著者所属(英): Securebrain Corporation
• 著者所属(英): en
• 著者所属(英): Securebrain Corporation
• 著者所属(英): en
• 著者所属(英): Securebrain Corporation
• 著者所属(英): en
• 著者所属(英): Graduate School of Environment and Information Sciences / Institute of Advanced Sciences, Yokohama National University
• 著者名: 三須, 剛史; 岩本, 一樹; 高田, 一樹; 吉岡, 克成
• 著者名(英): Takeshi, Misu; Kazuki, Iwamoto; Kazuki, Takada; Katsunari, Yoshioka
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: IoT機器を狙ったIoTマルウェアの感染が深刻化している．IoTマルウェアの多くはC&Cサーバから指令を受信し動作する．我々は，マルウェアに感染したIoT機器に対して，プロセスの終了を促す駆除情報（キルコマンド等）を擬似C&Cサーバから送信することで，マルウェアのプロセスを終了する（駆除）手法を提案した．駆除情報の抽出には静的解析を行っているが，手動で行うには多くの時間と専門的な知識が求められるため，自動で駆除情報を抽出する必要がある．本稿ではBashliteを対象として，駆除情報の自動抽出手法を検討した．本手法では，Bashliteの駆除情報であるキルコマンドがexit関数の近傍に存在することに着目し抽出を試みる．実験では，検体の種類を把握するために動的解析を行い，検体からC&Cサーバへ送信する特徴的な通信をシグネチャとして分類を行った．次に，関数名が判明している検体から，キルコマンドを抽出するために必要な関数の命令パターンを保持し，その命令パターンを用いてキルコマンドの抽出を行った．最後に，駆除実験を行った結果，抽出したキルコマンドを用いて検体を駆除できることを明らかにした．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Malware Infection of IoT devices are becoming serious problem. We have proposed a method to disable IoT malware remotely by sending kill commands from a dummy C&C server. A drawback of the method is that we need to manually extract the kill commands from malware binaries. In this paper, we consider automatic extraction of kill commands from Bashlite, one of the IoT malware. First, we identify Bashlite binaries from our IoT malware dataset by detecting its characteristic C&C communication using dynamic analysis. Then, we statically extract kill commands from the binaries by focusing on the fact that kill commands appear near exit function in the binaries. Finally, we evaluate the extraction method and show its effectiveness by actually sending the commands to the malware executed in sandbox.
• 書誌レコードID / 識別子タイプ: NCID
• 書誌レコードID / 関連識別子: ISSN 1882-0840
• 書誌情報: コンピュータセキュリティシンポジウム2019論文集; 巻 2019, p. 1321-1328, 発行日 2019-10-14
• 出版者 / 言語: ja
• 出版者: 情報処理学会