OEP自動検出によるマルウェアアンパック手法(マルウェア対策,インターネットセキュリティ,一般)

概要

論文の詳細を見る
多くのマルウェアは逆アセンブラやデバッガによる解析を妨害する目的で、自身のコードに難読化を施している。このため、マルウェアの解析を行う場合は初めにマルウェアのオリジナルコードを取り出す必要がある。このオリジナルコードの抽出を自動で行うため、マルウェアを隔離環境にて実行させ、メモリへの書き込みアクセスと実行が行われた個所をオリジナルエントリポイントとし、当該プロセスのメモリダンプを生成する手法が提案されている。しかし、多くの難読化ツールの場合、この手法では複数のオリジナルコード候補が生成され、一意にオリジナルコードを特定することができない。そこで本論文では、メモリアクセス傾向の変化に基づきオリジナルコードを特定する手法を提案する。メモリアクセス傾向が最も変化した時点をオリジナルエントリポイント実行時点と定義し、その時点で生成されたメモリダンプを、複数あるオリジナルコード候補から本来のオリジナルコードとする。本提案手法を既存の5種の難読化ツールで難読化したマルウェアで実験したところ、全てのマルウェアのオリジナルコードの抽出に成功し、4種のマルウェアにおいてオリジナルエントリポイントを正確に検出することに成功した。
2010-06-10

OEP自動検出によるマルウェアアンパック手法(マルウェア対策,インターネットセキュリティ,一般)

スポンサーリンク

概要

著者

関連論文

スポンサーリンク