マルウェア観測のための仮想計算機モニタを用いたシステムコールトレース手法

大月, 勇人, 瀧本, 栄二, 齋藤, 彰一, 毛利, 公一

マルウェア対策には，マルウェアの挙動を調査する必要がある．しかし，次々に新種のマルウェアが出現しているため，個々のマルウェアの調査に時間を費やすことはできない．このような場合，実際にマルウェアを動作させて挙動を調査する動的解析が有効である．従来の解析システムは，処理速度が十分でなかったり，アンチデバッグ機能により解析していることをマルウェアに検出されるなどの課題を有していた．そこで，我々は，それらの課題を解決すべく動的解析システムAlkanetを開発した．Alkanetは，仮想計算機モニタBitVisorをベースとしている．対象とするオペレーティングシステムはWindows XPとし，Windowsの最小の実行単位であるスレッドを単位としてシステムコールをトレースする機能を実現している．また，トレースログをIEEE1394を通じてリアルタイムに転送する機能を有し，トレースログを即座に別のコンピュータ上で処理することが可能である．本論文では，Alkanetの設計と実装について述べた後，Alkanetが，他の動的解析システムと比べて十分な処理速度で解析可能であること，典型的なアンチデバッグ機能に対して高い耐性を持つことなどを示す．

Recently, malware has become a major security threat to computers. Responding to threats from malware requires malware analysis and understanding malware behavior. However, malware analysts cannot spend the time to analyze each instance of malware. The method is to execute the malware and observe its behavior. The major dynamic analysis systems often cannot analyze malware quickly. In addition, recent malware detects the systems by anti-debugging techniques. To solve these problems, We are developing Alkanet, a malware analyzer that uses a virtual machine monitor based on BitVisor. Alkanet executes malware on Windows XP, and traces system calls invoked by threads. Therefore, the system can analyze malware that infects other running processes. Also, the system call trace logs are obtained in real time via a IEEE 1394 interface. In this paper, we describe the design and implementation of Alkanet. We confirmed that Alkanet run faster than other dynamic analysis systems. We also confirmed that most of anti-debugging techniques cannot detect Alkanet.

マルウェア観測のための仮想計算機モニタを用いたシステムコールトレース手法

書誌事項

この論文をさがす

抄録

収録刊行物

キーワード

詳細情報詳細情報について

書き出し

問題の指摘

マルウェア観測のための仮想計算機モニタを用いたシステムコールトレース手法

書誌事項

この論文をさがす

抄録

収録刊行物

キーワード

詳細情報 詳細情報について

書き出し

問題の指摘

参加プロジェクトリスト

詳細情報詳細情報について