スクリプト実行環境に対する動的バイトコード計装機能の自動付与手法

• Item type: Symposium(1)
• 公開日: 2022-10-17
• タイトル: スクリプト実行環境に対する動的バイトコード計装機能の自動付与手法
• タイトル / 言語: en
• タイトル: Automatically Appending Dynamic Bytecode Instrumentation Capability to Vanilla Script Engines
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: 悪性スクリプト，動的バイトコード計装，動的解析，機能拡張
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: NTTセキュリティ・ジャパン株式会社
• 著者所属: NTTセキュリティ・ジャパン株式会社
• 著者所属: NTTセキュリティ・ジャパン株式会社
• 著者所属: NTTセキュリティ・ジャパン株式会社
• 著者所属: 東京大学生産技術研究所
• 著者所属(英): en
• 著者所属(英): NTT Security (Japan) KK
• 著者所属(英): en
• 著者所属(英): NTT Security (Japan) KK
• 著者所属(英): en
• 著者所属(英): NTT Security (Japan) KK
• 著者所属(英): en
• 著者所属(英): NTT Security (Japan) KK
• 著者所属(英): en
• 著者所属(英): Institute of Industrial Science, The University of Tokyo
• 著者名: 碓井, 利宣; 大月, 勇人; 川古谷, 裕平; 岩村, 誠; 松浦, 幹太
• 著者名(英): Toshinori, Usui; Yuto, Otsuki; Yuhei, Kawakoya; Makoto, Iwamura; Kanta, Matsuura
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 悪性スクリプトの動的解析を妨害する手法に，解析環境が特定の条件を満たさない場合に実行を停止するものがある．こうした妨害を迂回する入力を与えるためには，どういった条件式を満たすべきかを解明する必要がある．これを実現する技術に，実行時に解析用の処理をバイトコードの命令列に挿入する動的バイトコード計装がある．しかし，スクリプトのバイトコードを構成する命令の仕様は一般に公開されておらず，手動解析で解明する必要があるため，計装の実現は困難である．この問題を解決するため，本研究では，スクリプトエンジンに動的バイトコード計装機能を自動付与する手法を提案する．提案手法では，命令の仕様を解明するために，テストスクリプトを用いてスクリプトエンジンの仮想機械を動的解析し，主要な命令の操作と入出力を明らかにする．そして，その結果に基づいて，バイトコードの各命令の実行をイベントとして監視し，その命令の入出力を引数に伴って解析用の関数にコールバックすることで，計装の機能を実現する．この手法を Python，Ruby，VBScript のエンジンに適用し，計装を実現して，実際の攻撃の解析妨害を迂回できることを確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Recent malicious scripts widely use evasion that terminates them unless the execution environment fulfills certain conditions. To circumvent it, we need to analyze bytecode instructions to reveal and satisfy the conditional expressions. Dynamic bytecode instrumentation (DBI), which injects analysis code into bytecode during execution, can achieve such instruction-level analysis. However, implementing it for script engines imposes the burdens of manually analyzing them because their specifications are usually closed. To address this problem, we propose a technique that automatically builds DBI engines with vanilla script engines. Our technique dynamically analyzes script engines with test scripts to identify the semantics of instructions and the tap points for their inputs and outputs (I/Os). It then adds the DBI capability by observing each instruction execution and calling back to the corresponding analysis function with the I/Os. Our experiments with Python, Ruby, and VBScript showed that it could achieve DBI and prevent evasion.
• 書誌情報: コンピュータセキュリティシンポジウム2022論文集; p. 1055-1062, 発行日 2022-10-17
• 出版者 / 言語: ja
• 出版者: 情報処理学会