マルウェア感染ホスト検出のためのネットワークスキャン手法と検出用シグネチャの自動生成

概要

論文の詳細を見る
マルウェアには,外部ホストと通信するために,感染時に特定または任意のポートで待ち受け状態を維持するものが存在する.このようなマルウェアに対しては,スキャンによりポート待ち受け状態や起動中のサービスの応答を調べることでネットワーク越しに感染の有無を推定できる可能性がある.そこで本研究では,マルウェア検体を動的解析する際に,解析環境内の感染ホストのポート待ち受け状態やテスト入力に対する特徴的な応答を調査することで,検出用シグネチャを自動生成する方法を提案する.一般にマルウェアの挙動は確定的でないため,同じ検体を繰り返し解析し同一のテスト入力に対する応答を複数取得したうえで,最長共通部分文字列を検出用パターンとして抽出する.評価実験では,ハニーポットで収集した実マルウェア検体のうち,約25%〜30%が実行時にポート待ち受け状態となった.また,提案手法により生成したシグネチャを用いて,実行時にポート待ち受け状態となるすべての検体の感染状態が誤りなく推定できた.提案手法は,検査対象ホストに専用の監視ツールをインストールすることなく,遠隔からマルウェア感染を判断できる点で有用といえる.
2010-09-15