文字コード付きAPIとプロセスの親子関係に着目したランサムウェアの分析と検知

• Item type: Symposium(1)
• 公開日: 2024-10-15
• タイトル / 言語: ja
• タイトル: 文字コード付きAPIとプロセスの親子関係に着目したランサムウェアの分析と検知
• タイトル / 言語: en
• タイトル: Ransomware Detection Using API with Character Code and Parent-Child Relationship
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: ランサムウェア，検知，文字コード付きAPI，親プロセス，子プロセス
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 鳥取大学
• 著者所属: 鳥取大学／鳥取大学クロス情報科学研究センター
• 著者所属: 鳥取大学／鳥取大学クロス情報科学研究センター
• 著者所属: 鳥取大学／鳥取大学クロス情報科学研究センター
• 著者所属(英): en
• 著者所属(英): Tottori University
• 著者所属(英): en
• 著者所属(英): Tottori University / Cross-informatics Research Center, Tottori University
• 著者所属(英): en
• 著者所属(英): Tottori University / Cross-informatics Research Center, Tottori University
• 著者所属(英): en
• 著者所属(英): Tottori University / Cross-informatics Research Center, Tottori University
• 著者名: 松田, 祥希; 高橋, 健一; 東野, 正幸; 川村, 尚生
• 著者名(英): Matsuda, Yoshiki; Takahashi, Kenichi; Higashino, Masayuki; Kawamura, Takao
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: 近年，ランサムウェアによるサイバー攻撃が増加傾向にある．このため，ランサムウェアの検知に向けた研究が多く行われている．しかし，これらの研究ではプロセスの親子関係にはあまり着目されていない．ランサムウェアには暗号処理の高速化やマルウェア解析を逃れるために子プロセスを利用するといった検体が存在している．また，Windows APIにはANSI版とUnicode版を対象としたAPIが存在している．そこで，ランサムウェアを対象にANSI版とUnicode版のレジストリ操作用のAPIに着目した分析を行う．分析により見つかった特徴を利用してランサムウェアの検知を行う．その結果，ANSI版とUnicode版のAPIやプロセスの親子関係情報がランサムウェア検知に利用できることを確認した．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: In recent years, the impact of ransomware attacks has been increasing.Therefore, a lot of researches on ransomware detection are conducted.Existing researches, however, do not focus on parent-child processes relationship.Ransomware often generates multiple child processes to hide malicious behaviors such as file encryption.Additionally, some windows APIs have ANSI and Unicode versions.In this paper, we focus on registry-related APIs with ANSI and Unicode version.As the result of the analysis, we found the characteristic of ransomware in API calls with ANSI and Unicode versions used in parent and child processes, which is difference from benign softwares.Thus, we try to detect ransomware by using their characteristics of parent and child processes, and API pairs of ANSI and Unicode versions.As the result, we confirmed their characteristics have been effective for ransomware detection.
• 書誌情報: コンピュータセキュリティシンポジウム2024論文集; p. 1748-1754, 発行日 2024-10-15
• 出版者 / 言語: ja
• 出版者: 情報処理学会