JP2018081514A5

JP2018081514A5 -

Info

Publication number: JP2018081514A5
Application number: JP2016223692A
Authority: JP
Filing date: 2016-11-17
Publication date: 2019-02-21

Claims

プロセッサとメモリを有する物理計算機上で稼働する仮想計算機でマルウェアを解析するマルウェアの解析方法であって、
前記仮想計算機のゲストＯＳ上で稼働する解析部が、前記マルウェアから前記ゲストＯＳに対する要求を取得する第１のステップと、
前記解析部が、前記マルウェアからの前記要求に仮想化環境に関連する要求が含まれている場合には、当該要求に対して偽装応答を前記マルウェアに対して行う第２のステップと、
を含むことを特徴とするマルウェアの解析方法。
請求項１に記載のマルウェアの解析方法であって、
前記解析部が、前記マルウェアから前記ゲストＯＳに対する要求が通信である場合には、宛先のアドレスを予め設定したダミーアドレスに変更して通信を実施する第３のステップと、
前記解析部が、前記マルウェアに前記通信の完了を応答する第４のステップと、
をさらに含むことを特徴とするマルウェアの解析方法。
請求項１に記載のマルウェアの解析方法であって、
前記第２のステップは、
前記要求に対して仮想化環境が存在しないことを含む偽装応答を前記マルウェアに対して行うことを特徴とするマルウェアの解析方法。
請求項１に記載のマルウェアの解析方法であって、
前記第２のステップは、
前記仮想化環境に関連する要求に対応する偽装応答が予め設定された偽装応答情報を参照し、前記要求に対応する偽装応答を実行することを特徴とするマルウェアの解析方法。
請求項４に記載のマルウェアの解析方法であって、
前記仮想化環境に関連する要求は、前記仮想計算機に固有のリソースに対する要求であることを特徴とするマルウェアの解析方法。
請求項５に記載のマルウェアの解析方法であって、
前記仮想計算機に固有のリソースが、当該仮想計算機に割り当てられた仮想デバイスのドライバであることを特徴とするマルウェアの解析方法。
請求項５に記載のマルウェアの解析方法であって、
前記仮想計算機に固有のリソースが、当該仮想計算機を制御する仮想化部のポートであることを特徴とするマルウェアの解析方法。
請求項１に記載のマルウェアの解析方法であって、
前記第１のステップは、
前記仮想計算機上で稼働するアプリケーションから前記ゲストＯＳに対する要求のうち、予め設定された情報に基づいて前記マルウェアから前記ゲストＯＳに対する要求を選択するステップを含むことを特徴とするマルウェアの解析方法。
請求項１に記載のマルウェアの解析方法であって、
前記解析部が、前記マルウェアから前記ゲストＯＳに対する要求が通信である場合には、当該要求を前記物理計算機上の所定の領域に出力する第３のステップと、
前記解析部が、前記マルウェアに前記通信の完了を応答する第４のステップと、
をさらに含むことを特徴とするマルウェアの解析方法。
プロセッサとメモリを有する計算機を制御するプログラムを格納した記憶媒体であって、
マルウェアからゲストＯＳに対する要求を取得する第１のステップと、
前記マルウェアからの前記要求に仮想化環境に関連する要求が含まれている場合には、当該要求に対して偽装応答を前記マルウェアに対して行う第２のステップと、
を前記計算機に実行させるプログラムを格納した非一時的な計算機読み取り可能な記憶媒体。
請求項１０に記載の記憶媒体であって、
前記マルウェアから前記ゲストＯＳに対する要求が通信である場合には、宛先のアドレスを予め設定したダミーアドレスに変更して通信を実施する第３のステップと、
前記マルウェアに前記通信の完了を応答する第４のステップと、
をさらに含むことを特徴とする記憶媒体。
請求項１０に記載の記憶媒体であって、
前記第２のステップは、
前記要求に対して仮想化環境が存在しないことを含む偽装応答を前記マルウェアに対して行うことを特徴とする記憶媒体。
請求項１０に記載の記憶媒体であって、
前記第２のステップは、
前記仮想化環境に関連する要求に対応する偽装応答が予め設定された偽装応答情報を参照し、前記要求に対応する偽装応答を実行することを特徴とする記憶媒体。
請求項１３に記載の記憶媒体であって、
前記仮想化環境に関連する要求は、仮想計算機に固有のリソースに対する要求であることを特徴とする記憶媒体。
請求項１４に記載の記憶媒体であって、
前記仮想計算機に固有のリソースが、前記仮想計算機に割り当てられた仮想デバイスのドライバであることを特徴とする記憶媒体。
請求項１４に記載の記憶媒体であって、
前記仮想計算機に固有のリソースが、前記仮想計算機を制御する仮想化部のポートであることを特徴とする記憶媒体。
請求項１５に記載の記憶媒体であって、
前記第１のステップは、
前記仮想計算機上で稼働するアプリケーションから前記ゲストＯＳに対する要求のうち、予め設定された情報に基づいて前記マルウェアから前記ゲストＯＳに対する要求を選択するステップを含むことを特徴とする記憶媒体。
請求項１０に記載の記憶媒体であって、
前記マルウェアから前記ゲストＯＳに対する要求が通信である場合には、当該要求を前記物理計算機上の所定の領域に出力する第３のステップと、
前記マルウェアに前記通信の完了を応答する第４のステップと、
をさらに含むことを特徴とする記憶媒体。