デバッガ検知回避および不要なループからの脱出により例外発生マルウェアを実行継続させる動的解析手法

• Item type: Symposium(1)
• 公開日: 2024-10-15
• タイトル / 言語: ja
• タイトル: デバッガ検知回避および不要なループからの脱出により例外発生マルウェアを実行継続させる動的解析手法
• タイトル / 言語: en
• タイトル: Methods for Dynamic Analysis to Keep Exception-raising Malware Running by Avoiding Debugger Detection and Escaping from Unnecessary Loops
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: 動的解析，Windows マルウェア，例外処理，強制実行，サンドボックス
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 名古屋工業大学
• 著者所属: 名古屋工業大学
• 著者所属: 名古屋工業大学
• 著者所属: 名古屋工業大学
• 著者所属(英): en
• 著者所属(英): Nagoya Institute of Technology
• 著者所属(英): en
• 著者所属(英): Nagoya Institute of Technology
• 著者所属(英): en
• 著者所属(英): Nagoya Institute of Technology
• 著者所属(英): en
• 著者所属(英): Nagoya Institute of Technology
• 著者名: 神谷, 直輝; 山根, 一真; 掛井, 将平; 齋藤, 彰一
• 著者名(英): Naoki, Kamiya; Kazuma, Yamane; Shohei, Kakei; Shoichi, Saito
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: マルウェアを動作させ，実際の挙動を解析する動的解析は，マルウェアの攻撃の方法や流れなどを解析者が把握するために行われる．しかし，マルウェア開発者の意図しないバグの混入などにより解析時に例外が生じ，実行が中断するという問題がある．動的解析のこのような状況に対して，大山らはExModを提案した．これは，動的解析ソフトウェアのCuckooSandbox上でマルウェアを実行する際，例外発生命令のスキップや，例外発生に起因する無意味なループからの脱出を行い，例外発生後の実行と解析の継続を実現した．ところが，マルウェアに実装された例外処理の実行の有無で，デバッガを検知する手法が存在する．ExModは先述の動作をマルウェアの例外処理に代わって実行するため，デバッガの誤検知を引き起こし，マルウェアが耐解析用の偽の処理を行う恐れがある．また，不要なループからの脱出操作は，操作内容やタイミングが噛み合わず，ループから脱出できないケースを確認した．そこで本稿ではExModの処理を検討し，例外発生命令の，デバッガ検知を回避したスキップと，不要なループからの脱出を行う新たな手法を提案する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Analysts use dynamic analysis to understand the behavior of malware. However, there is a problem with the analysis being interrupted due to exceptions being raised during execution. To overcome this problem, Oyama et al. proposed ExMod. When executing malware in Cuckoo Sandbox, ExMod skips instructions that raise exceptions and escapes from meaningless loops caused by exceptions to keep the malware running. However, there are methods to detect a debugger based on whether or not the exception handler is executed. The above behavior of ExMod triggers debugger detection because it is executed instead of the malware’s exception handler. In addition, we observed cases in which operations to escape from unnecessary loops could not escape. In this paper, we propose new methods for skipping instructions that raise an exception, avoiding debugger detection, and escaping needless loops.
• 書誌情報: コンピュータセキュリティシンポジウム2024論文集; p. 1164-1171, 発行日 2024-10-15
• 出版者 / 言語: ja
• 出版者: 情報処理学会