xltrace: クロスアーキテクチャに対応したライブラリ関数のトレース手法

• Item type: Symposium(1)
• 公開日: 2022-10-17
• タイトル: xltrace: クロスアーキテクチャに対応したライブラリ関数のトレース手法
• タイトル / 言語: en
• タイトル: xltrace: Cross-architecture Tracing for Library Functions
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: ライブラリ関数トレース，クロスアーキテクチャ，動的解析，IoT マルウェア解析
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 神奈川工科大学
• 著者所属: NTTセキュリティ・ジャパン株式会社
• 著者所属: NTTセキュリティ・ジャパン株式会社
• 著者所属: 神奈川工科大学
• 著者所属(英): en
• 著者所属(英): Kanagawa Institute of Technology
• 著者所属(英): en
• 著者所属(英): NTT Security (Japan) KK
• 著者所属(英): en
• 著者所属(英): NTT Security (Japan) KK
• 著者所属(英): en
• 著者所属(英): Kanagawa Institute of Technology
• 著者名: 赤羽, 秀; 川古谷, 裕平; 岩村, 誠; 岡本, 剛
• 著者名(英): Shu, Akabane; Yuhei, Kawakoya; Makoto, Iwamura; Takeshi, Okamoto
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: IoT 機器の普及に伴い，Linux 環境を標的としたマルウェアが増加している．Linux で動作するプログラムの効率的な動的解析を行うためのツールとして，動的結合されたライブラリ関数の呼び出しをトレースする ltrace がある．しかし，過去の研究からほとんどの IoT マルウェアは静的結合されていることがわかっているため，ltrace では一部の IoT マルウェアしか解析できない．また，IoT 機器では様々なアーキテクチャが使用されているため，アーキテクチャに依存せずにマルウェアを解析できる技術が求められている．本研究では，IoT マルウェアの解析支援を行うために，静的結合されたライブラリ関数をアーキテクチャに依存せずにトレースする手法として xltrace を提案する．xltrace は，静的結合されたライブラリ関数の呼び出しをトレースする機能を QEMU の中間表現層で実装することによって，特定のアーキテクチャに依存しないライブラリ関数のトレースを実現することを目指す．提案手法の評価を行った結果， SPARC と SPARC64 を除く 10 種類のアーキテクチャの IoT マルウェアについて，xltrace が静的結合されたライブラリ関数をトレースできることを確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: As IoT devices become more popular, malware targeting the Linux environment is increasing. One tool for efficient dynamic analysis of programs running on Linux is ltrace, which traces dynamically linked library functions. However, past studies have shown that most IoT malware is statically linked, so ltrace can only analyze a small fraction of IoT malware. In addition, since IoT devices use a variety of architectures, there is a need for a technique that can analyze malware independent of architecture. In this study, we propose a cross-architecture method, xltrace, to obtain traces of statically linked library functions to support analysis of IoT malware. xltrace aims to enable tracing of library functions across architectures by implementing the ability to trace calls to statically linked library functions in the intermediate representation layer of QEMU. Our experiments showed that xltrace can trace statically linked library functions for IoT malware on 10 architectures except SPARC and SPARC64.
• 書誌情報: コンピュータセキュリティシンポジウム2022論文集; p. 168-175, 発行日 2022-10-17
• 出版者 / 言語: ja
• 出版者: 情報処理学会