マルウェア作成者のコーディング癖の収集例：メモリのゼロクリアの観点から

• Item type: Symposium(1)
• 公開日: 2022-10-17
• タイトル: マルウェア作成者のコーディング癖の収集例：メモリのゼロクリアの観点から
• タイトル / 言語: en
• タイトル: An example of collecting malware coding fingerprints: Viewpoint of clearing memory to zero
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: ディープマルウェア解析，脅威インテリジェンス
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 静岡大学創造科学技術大学院／東京電機大学サイバーセキュリティ研究所／株式会社CyCraft Japan
• 著者所属: 静岡大学創造科学技術大学院
• 著者所属(英): en
• 著者所属(英): Graduate School of Science and Technology, Shizuoka University / Cyber Security Lab, Tokyo Denki University / CyCraft Japan Corporation
• 著者所属(英): en
• 著者所属(英): Graduate School of Science and Technology, Shizuoka University
• 著者名: 村上, 弘和; 西垣, 正勝
• 著者名(英): Hirokazu, Murakami; Masakatsu, Nishigaki
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: サイバー攻撃者のインテリジェンス収集のためのディープマルウェア解析のために，マルウェア作成者のコーディング癖の収集法の提案を行っている．マルウェア作成者のコーディング癖のうち，多くのソフトウェアで一般的に行われる処理からの収集は大きな役割を占める．本論文では，一般的に行われる処理からのコーディング癖の抽出の事例の一つとして，メモリの領域を特定の値で埋める「memset」を利用したメモリのゼロクリアの実装状況を複数のマルウェアから抽出し，比較検討した．その結果，比較的単純かつ一般的に用いられることが多い処理でも，実装に違いが出ていることを確認することができた．この結果から，一般的に行われる処理のうち，同一目的の処理を複数のマルウェアで比較することが可能であり，多くの処理に対してこの方法を適用することで，類似性を判定し得るのではないかと考えられる．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: For deep malware analysis for cyber attacker intelligence collection, we are proposing a method for collecting coding fingerprints of malware authors. Among the coding fingerprints of malware authors, collection from common processes in many software plays a large role. In this paper, as an example of extracting coding fingerprints from commonly performed processing, we extract and compared the implementation status of memory zero clearing using "memset", which fills a memory area with a specific value, from several malware. As a result, it was confirmed that even relatively simple and commonly used processes show differences in implementation. From these results, it is considered that it is possible to compare the same purpose in common processes for multiple malware, and that similarity can be determined by applying this method to a large number of processes.
• 書誌情報: コンピュータセキュリティシンポジウム2022論文集; p. 944-951, 発行日 2022-10-17
• 出版者 / 言語: ja
• 出版者: 情報処理学会