公開型マルウェア動的解析システムに対するデコイ挿入攻撃の脅威

概要

論文の詳細を見る
近年,任意のユーザから実行ファイルなどの検体の提出を受け付け,解析環境(サンドボックス)内で実行し,その挙動を解析して結果をユーザに提供する「公開型マルウェア動的解析システム」が人気を集めている.我々はこれまで,特別に設計された検体(デコイ)をシステムに提出することで,サンドボックスの情報を暴露させ,その情報を基にサンドボックスの検知を行う攻撃手法として「デコイ挿入攻撃」を提案し,実証実験により,サンドボックスのIPアドレスを用いた検知が実運用中の15個のシステムに対して有効であることを示している.しかし,IPアドレス以外の情報を用いた検知については未検証だった.当該脆弱性を正確に把握し適切な対策を導出するため,本稿では,まず,IPアドレスを含む16種類のサンドボックス情報に着目し,これらの情報が,取得安定性や個別性といった,サンドボックス検知に有効な性質を有しているかを実証実験により評価する.実験の結果,Windowsプロダクトキー,MACアドレス,OSインストール日時といったサンドボックス情報は,検知対策を行っていると思われる特定の例外を除いて,検知に利用できることが分かった.さらに,ネットワークを介さずに解析レポート経由でサンドボックス情報を暴露する方法も有効であり,我々のこれまでの検討では攻撃対象となりえなかった,隔離型サンドボックスも攻撃対象となりうることが確認された.このことから,公開型マルウェア動的解析システムにおいては,IPアドレス以外のサンドボックス情報による検知への対策や,解析レポート経由による暴露への対策などを含めた,総合的なデコイ挿入攻撃への対策が必要であることが分かった.
2011-09-15

公開型マルウェア動的解析システムに対するデコイ挿入攻撃の脅威

スポンサーリンク

概要

著者

関連論文

スポンサーリンク