JP2021005375A - 難読化解除方法および装置 - Google Patents

Abstract

【課題】難読化解除方法および装置を提供する。【解決手段】難読化解除方法は、共通中間言語を利用して実行ファイルを実行するフレームワークが実行可能なネイティブイメージをメモリにロードするために呼び出すロード関数の情報を格納する段階３１０、フレームワークで第１実行ファイルが実行される場合、格納された情報に基づき、フレームワークが第１実行ファイルのコードによって呼び出すロード関数をフッキングする段階３２０およびロード関数のフッキングによって得られるアドレスを利用してメモリで第１実行ファイルに対する実行可能なネイティブイメージを抽出して第１実行ファイルに対する原本実行ファイルを生成する段階３３０を含む。【選択図】図３

Description

以下の説明は、難読化解除方法および装置に関する。

現在は、特殊な技術がなくても悪性コードを隠ぺいできるようにサポートするツールが多く出回っており、攻撃者は、このような強力なツールをいつでも手軽に不正に入手できるようになった。このため、悪性コードを新たに作るためのハードルが下がり、その数は迅速に増加している。長きに渡り、セキュリティソリューションは、悪性コードを探知するために悪性コードのシグニチャをアップデートし続けてきた。例えば、特許文献１は、ストリングとコードシグニチャを利用した悪性コード探知およびパッカー解除方法を開示している。しかし、新たな悪性コードが大量かつ迅速に作られ続けており、アップデートしなければならないシグニチャの量も迅速に増加する点を考慮すると、事後対処でシグニチャをアップデートするシグニチャ基盤探知は効率的であるとは言えない。

このようなシグニチャ基盤探知の弱点を補うために、保安ソリューションは、仮想環境で悪性コードを実行して観察するような、実際のプロセスの行為を分析する方向に発展した。しかし、行為基盤探知も、分析環境が探知されてしまえば、悪性行為が現れないようにする方法によって探知から簡単に逃れることができる。特に、最近では、ＦＵＤ（Ｆｕｌｌｙ ＵｎＤｅｔｅｃｔａｂｌｅ）と呼ばれるツールを利用することで行為基盤探知を回避することができ、同じ悪性コードであっても新たにＦＵＤを適用する場合には、以前の悪性コードとは異なるシグニチャ値を有するようになる。ＦＵＤ ＲｕｎＰＥ技術とは、悪性コード自体を実行ファイル内に暗号化して格納し、実行ファイルの実行時に復号化した後、ディスクを経ずにメモリで直ぐにコードを実行する技法を意味する。これを探知および分析するためには、メモリにロードされたファイルを手作業で生成しなければならないという不便が存在する。したがって、迅速に生成可能でありながら、ＦＵＤのようにメモリ上で直ぐに実行可能である、新たな悪性コードに対処することのできる効率的な方案が必要な状況にある。

韓国登録特許第１０−１９０８５１７号

ＪＶＭ（Ｊａｖａ（登録商標） Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）やドットネット（．ＮＥＴ）フレームワークのような共通中間言語（Ｃｏｍｍｏｎ Ｉｎｔｅｒｍｅｄｉａｔｅ Ｌａｎｇｕａｇｅ）を利用してプラットフォームに関係なくランタイムに実行環境に合うように実行ファイルのコードを実行するフレームワークで前記実行ファイルを実行するときに、前記実行ファイルに対する実行可能なネイティブイメージをメモリにロードするために前記フレームワークが呼び出す関数をフッキングすることにより、前記実行ファイルに対して難読化が解除された原本ファイルを抽出することができる難読化解除方法、前記方法を実行するコンピュータ装置、前記コンピュータ装置と結合して前記方法をコンピュータ装置に実行させるためにコンピュータ読み取り可能な記録媒体に記録されたコンピュータプログラムおよびその記録媒体を提供する。

少なくとも１つのプロセッサを含むコンピュータ装置の難読化解除方法であって、前記少なくとも１つのプロセッサが、共通中間言語（Ｃｏｍｍｏｎ Ｉｎｔｅｒｍｅｄｉａｔｅ Ｌａｎｇｕａｇｅ）を利用して実行ファイルを実行するフレームワークが実行可能なネイティブイメージをメモリにロードするために呼び出すロード関数の情報を格納することと、前記フレームワークで第１実行ファイルが実行される場合、前記少なくとも１つのプロセッサが、前記格納された情報に基づいて前記フレームワークが前記第１実行ファイルのコードを用いて呼び出す前記ロード関数をフッキングすることと、前記少なくとも１つのプロセッサが、前記ロード関数のフッキングによって得られるアドレスを利用して前記メモリで前記第１実行ファイルに対する実行可能なネイティブイメージを抽出して前記第１実行ファイルに対する原本実行ファイルを生成することとを含む、難読化解除方法を提供する。

一側によると、前記ロード関数は、前記フレームワークからパラメータとして伝達される実行ファイルに対する実行可能なネイティブイメージがメモリにロードするように前記フレームワークが呼び出す関数を含むことを特徴としてよい。

他の側面によると、前記原本実行ファイルを生成することは、前記フッキングされたロード関数を用い、前記フレームワークから前記フッキングされたロード関数でパラメータとして伝達される前記第１実行ファイルに対する実行可能なネイティブイメージが前記メモリにロードされるアドレスとサイズを抽出することと、前記第１実行ファイルに対する実行可能なネイティブイメージが前記メモリにロードされるように前記フッキングされたロード関数を実行することと、前記メモリで前記抽出されたアドレスから前記抽出されたサイズのデータを抽出することと、前記抽出されたデータをファイルで格納して前記第１実行ファイルに対する原本実行ファイルを生成することとを含むことを特徴としてよい。

また他の側面によると、前記フレームワークは、ドットネット（．ＮＥＴ）フレームワークを含み、前記ロード関数は、前記ドットネットフレームワークのドットネットローダとして含まれるコアライブラリに含まれ、前記フレームワークからパラメータとして伝達される実行ファイルに対する実行可能なネイティブイメージをメモリにロードするように前記フレームワークが呼び出す関数を含むことを特徴としてよい。

また他の側面によると、前記ロード関数は、同じシステム上で同じアドレスに実行可能なネイティブイメージをロードし、前記難読化解除方法は、前記フレームワークで第２実行ファイルが実行される場合、前記ロード関数のフッキングによって得られたアドレスを利用して前記メモリで前記第２実行ファイルに対する実行可能なネイティブイメージを抽出して前記第２実行ファイルに対する原本実行ファイルを生成することをさらに含むことを特徴としてよい。

さらに他の側面によると、前記実行ファイルは、少なくとも一部の内容に難読化が適用されたファイルを含み、前記実行可能なネイティブイメージは、前記実行ファイルの復元モジュールによって前記難読化に対する復元が進められた原本内容を含むことを特徴としてよい。

前記難読化解除方法をコンピュータ装置に実行させるためのコンピュータプログラムを提供する。

前記方法をコンピュータ装置に実行させるためのプログラムが記録されている、コンピュータ読み取り可能な記録媒体を提供する。

コンピュータ読み取り可能な命令を実行するように実現される少なくとも１つのプロセッサを含み、前記少なくとも１つのプロセッサが、共通中間言語（Ｃｏｍｍｏｎ Ｉｎｔｅｒｍｅｄｉａｔｅ Ｌａｎｇｕａｇｅ）を利用して実行ファイルを実行するフレームワークが実行可能なネイティブイメージをメモリにロードするために呼び出すロード関数の情報を格納し、前記フレームワークで第１実行ファイルが実行される場合、前記格納された情報に基づいて前記フレームワークが前記第１実行ファイルのコードによって呼び出す前記ロード関数をフッキングし、前記ロード関数のフッキングによって得られるアドレスを利用して前記メモリで前記第１実行ファイルに対する実行可能なネイティブイメージを抽出して前記第１実行ファイルに対する原本実行ファイルを生成することを特徴とする、コンピュータ装置を提供する。

ＪＶＭやドットネットフレームワークのような共通中間言語（Ｃｏｍｍｏｎ Ｉｎｔｅｒｍｅｄｉａｔｅ Ｌａｎｇｕａｇｅ）を利用してプラットフォームに関係なくランタイムに実行環境に合うように実行ファイルのコードを実行するフレームワークで前記実行ファイルを実行するときに、前記実行ファイルに対する実行可能なネイティブイメージをメモリにロードするために前記フレームワークが呼び出す関数をフッキングすることにより、前記実行ファイルに対して難読化が解除された原本ファイルを抽出することができる。

本発明の一実施形態における、ネットワーク環境の例を示した図である。 本発明の一実施形態における、コンピュータ装置の例を示したブロック図である。 本発明の一実施形態における、難読化解除方法の例を示したフローチャートである。 本発明の一実施形態における、原本実行ファイルを生成する過程の例を示したフローチャートである。 本発明の一実施形態における、一度抽出されたアドレスを利用して他の実行ファイルに対する実行可能なネイティブイメージを抽出する例を示したフローチャートである。 本発明の一実施形態における、ドットネットフレームワークで実行可能なネイティブイメージをロードするロード関数が定義されたライブラリの例を示した図である。 本発明の一実施形態における、ドットネットフレームワークで実行可能なネイティブイメージをロードするロード関数の例を示した図である。

以下、本発明の実施形態について、添付の図面を参照しながら詳しく説明する。

本発明の実施形態に係る難読化解除方法は、少なくとも１つのコンピュータ装置によって実行されてよい。このとき、コンピュータ装置においては、本発明の一実施形態に係るコンピュータプログラムがインストールされて実行されてよく、コンピュータ装置は、実行されるコンピュータプログラムの制御に従って本発明の実施形態に係る難読化解除方法を実行してよい。上述したコンピュータプログラムは、コンピュータ装置と結合して難読化方法をコンピュータに実行させるためにコンピュータ読み取り可能な記録媒体に記録されてよい。一実施形態として、上述したコンピュータプログラムは、難読化された悪性コードを含む実行ファイルから難読化が解除された原本実行ファイルを得るための保安ソリューションであってよい。この場合、コンピュータ装置は、このような保安ソリューションの制御に従って難読化解除方法を実行して実行ファイルに対する原本実行ファイルを得てよい。

図１は、本発明の一実施形態における、ネットワーク環境の例を示した図である。図１のネットワーク環境は、複数の電子機器１１０、１２０、１３０、１４０、複数のサーバ１５０、１６０、およびネットワーク１７０を含む例を示している。このような図１は、発明の説明のための一例に過ぎず、電子機器の数やサーバの数が図１のように限定されることはない。また、図１のネットワーク環境は、本実施形態に適用可能な環境のうちの一例を説明したものに過ぎず、本実施形態に適用可能な環境が図１のネットワーク環境に限定されることはない。

複数の電子機器１１０、１２０、１３０、１４０は、コンピュータ装置によって実現される固定端末や移動端末であってよい。複数の電子機器１１０、１２０、１３０、１４０の例としては、スマートフォン、携帯電話、ナビゲーション、ＰＣ（ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ）、ノート型ＰＣ、デジタル放送用端末、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ）、ＰＭＰ（Ｐｏｒｔａｂｌｅ Ｍｕｌｔｉｍｅｄｉａ Ｐｌａｙｅｒ）、タブレットなどがある。一例として、図１では、電子機器１１０の例としてスマートフォンを示しているが、本発明の実施形態において、電子機器１１０は、実質的に無線または有線通信方式を利用し、ネットワーク１７０を介して他の電子機器１２０、１３０、１４０および／またはサーバ１５０、１６０と通信することのできる多様な物理的なコンピュータ装置のうちの１つを意味してよい。

通信方式が限定されることはなく、ネットワーク１７０が含むことのできる通信網（一例として、移動通信網、有線インターネット、無線インターネット、放送網）を利用する通信方式だけではなく、機器間の近距離無線通信が含まれてもよい。例えば、ネットワーク１７０は、ＰＡＮ（ｐｅｒｓｏｎａｌ ａｒｅａ ｎｅｔｗｏｒｋ）、ＬＡＮ（ｌｏｃａｌ ａｒｅａ ｎｅｔｗｏｒｋ）、ＣＡＮ（ｃａｍｐｕｓ ａｒｅａ ｎｅｔｗｏｒｋ）、ＭＡＮ（ｍｅｔｒｏｐｏｌｉｔａｎ ａｒｅａ ｎｅｔｗｏｒｋ）、ＷＡＮ（ｗｉｄｅ ａｒｅａ ｎｅｔｗｏｒｋ）、ＢＢＮ（ｂｒｏａｄｂａｎｄ ｎｅｔｗｏｒｋ）、インターネットなどのネットワークのうちの１つ以上の任意のネットワークを含んでよい。さらに、ネットワーク１７０は、バスネットワーク、スターネットワーク、リングネットワーク、メッシュネットワーク、スター−バスネットワーク、ツリーまたは階層的ネットワークなどを含むネットワークトポロジのうちの任意の１つ以上を含んでもよいが、これらに限定されることはない。

サーバ１５０、１６０それぞれは、複数の電子機器１１０、１２０、１３０、１４０とネットワーク１７０を介して通信して命令、コード、ファイル、コンテンツ、サービスなどを提供する１つ以上のコンピュータ装置によって実現されてよい。例えば、サーバ１５０は、ネットワーク１７０を介して接続した複数の電子機器１１０、１２０、１３０、１４０にサービス（一例として、メッセージングサービス、メールサービス、ソーシャルネットワークサービス、地図サービス、翻訳サービス、金融サービス、決済サービス、検索サービス、コンテンツ提供サービス、ゲームサービスなど）を提供するシステムであってよい。

図２は、本発明の一実施形態における、コンピュータ装置の例を示したブロック図である。上述した複数の電子機器１１０、１２０、１３０、１４０それぞれやサーバ１５０、１６０それぞれは、図２に示したコンピュータ装置２００によって実現されてよい。

このようなコンピュータ装置２００は、図２に示すように、メモリ２１０、プロセッサ２２０、通信インタフェース２３０、および入力／出力インタフェース２４０を含んでよい。メモリ２１０は、コンピュータ読み取り可能な記録媒体であって、ＲＡＭ（ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）、ＲＯＭ（ｒｅａｄ ｏｎｌｙ ｍｅｍｏｒｙ）、およびディスクドライブのような永続的大容量記録装置を含んでよい。ここで、ＲＯＭやディスクドライブのような永続的大容量記録装置は、メモリ２１０とは区分される別の永続的記録装置としてコンピュータ装置２００に含まれてもよい。また、メモリ２１０には、オペレーティングシステムと、少なくとも１つのプログラムコードが記録されてよい。このようなソフトウェア構成要素は、メモリ２１０とは別のコンピュータ読み取り可能な記録媒体からメモリ２１０にロードされてよい。このような別のコンピュータ読み取り可能な記録媒体は、フロッピー（登録商標）ドライブ、ディスク、テープ、ＤＶＤ／ＣＤ−ＲＯＭドライブ、メモリカードなどのコンピュータ読み取り可能な記録媒体を含んでよい。他の実施形態において、ソフトウェア構成要素は、コンピュータ読み取り可能な記録媒体ではない通信インタフェース２３０を通じてメモリ２１０にロードされてもよい。例えば、ソフトウェア構成要素は、ネットワーク１７０を介して受信されるファイルによってインストールされるコンピュータプログラムに基づいてコンピュータ装置２００のメモリ２１０にロードされてよい。

プロセッサ２２０は、基本的な算術、ロジック、および入出力演算を実行することにより、コンピュータプログラムの命令を処理するように構成されてよい。命令は、メモリ２１０または通信インタフェース２３０によって、プロセッサ２２０に提供されてよい。例えば、プロセッサ２２０は、メモリ２１０のような記録装置に記録されたプログラムコードに従って受信される命令を実行するように構成されてよい。

通信インタフェース２３０は、ネットワーク１７０を介してコンピュータ装置２００が他の装置（一例として、上述した記録装置）と互いに通信するための機能を提供してよい。一例として、コンピュータ装置２００のプロセッサ２２０がメモリ２１０のような記録装置に記録されたプログラムコードに従って生成した要求や命令、データ、ファイルなどが、通信インタフェース２３０の制御に従ってネットワーク１７０を介して他の装置に伝達されてよい。これとは逆に、他の装置からの信号や命令、データ、ファイルなどが、ネットワーク１７０を経てコンピュータ装置２００の通信インタフェース２３０を通じてコンピュータ装置２００に受信されてよい。通信インタフェース２３０を通じて受信された信号や命令、データなどは、プロセッサ２２０やメモリ２１０に伝達されてよく、ファイルなどは、コンピュータ装置２００がさらに含むことのできる記録媒体（上述した永続的記録装置）に記録されてよい。

入力／出力インタフェース２４０は、入力／出力装置２５０とのインタフェースのための手段であってよい。例えば、入力装置は、マイク、キーボード、またはマウスなどの装置を、出力装置は、ディスプレイやスピーカなどのような装置を含んでよい。他の例として、入力／出力インタフェース２４０は、タッチスクリーンのように入力と出力のための機能が１つに統合された装置とのインタフェースのための手段であってもよい。入力／出力装置２５０は、コンピュータ装置２００と１つの装置で構成されてもよい。

また、他の実施形態において、コンピュータ装置２００は、図２の構成要素よりも少ないか多くの構成要素を含んでもよい。しかし、大部分の従来技術的構成要素を明確に図に示す必要はない。例えば、コンピュータ装置２００は、上述した入力／出力装置２５０のうちの少なくとも一部を含むように実現されてもよいし、トランシーバやデータベースなどのような他の構成要素をさらに含んでもよい。

図３は、本発明の一実施形態における、難読化解除方法の例を示したフローチャートである。本実施形態に係る難読化解除方法は、図２を参照しながら説明したコンピュータ装置２００によって実行されてよい。一例として、コンピュータ装置２００のプロセッサ２２０は、メモリ２１０が含むオペレーティングシステムのコードと、少なくとも１つのコンピュータプログラムのコードとによる制御命令（ｉｎｓｔｒｕｃｔｉｏｎ）を実行するように実現されてよい。ここで、プロセッサ２２０は、コンピュータ装置２００に記録されたコードが提供する制御命令にしたがってコンピュータ装置２００が図３の方法に含まれる段階３１０〜段階３３０を実行するようにコンピュータ装置２００を制御してよい。上述したように、コンピュータプログラムは、難読化された悪性コードを含む実行ファイルから難読化が解除された原本実行ファイルを得るための保安ソリューションであってよい。

段階３１０において、コンピュータ装置２００は、共通中間言語（Ｃｏｍｍｏｎ Ｉｎｔｅｒｍｅｄｉａｔｅ Ｌａｎｇｕａｇｅ）を利用して実行ファイルを実行するフレームワークが実行可能なネイティブイメージをメモリにロードするために呼び出すロード関数の情報を格納してよい。ここで、フレームワークは、ＪＶＭ（Ｊａｖａ Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）やドットネット（．ＮＥＴ）フレームワークのように、共通中間言語（Ｃｏｍｍｏｎ Ｉｎｔｅｒｍｅｄｉａｔｅ Ｌａｎｇｕａｇｅ）を利用してプラットフォームに関係なくランタイムに実行環境に合うように実行ファイルのコードを実行するフレームワークを含んでよい。このようなフレームワークは、実行ファイルの実行のために、実行可能なネイティブイメージをメモリにロードするために呼び出すロード関数が予め定義されている。例えば、ドットネットフレームワークでは、ドットネットローダとして含まれるコアライブラリ（一例として、ｍｓｃｏｒｌｉｂ）にＡｓｓｅｍｂｌｙ．Ｌｏａｄ関数、および／またはＡｐｐＤｏｍａｉｎ．ＣｕｒｒｅｎｔＤｏｍａｉｎ．Ｌｏａｄ関数のようなロード関数が含まれており、ドットネットフレームワークは、このようなロード関数を呼び出して実行可能なネイティブイメージをメモリにロードしてよい。保安ソリューションとしてのコンピュータプログラムは、このようなロード関数の情報を含んでよく、コンピュータ装置２００に保安ソリューションをインストールするときに、このようなロード関数の情報がコンピュータ装置２００に格納されてよい。実行ファイルは、少なくとも一部の内容に難読化が適用されたファイルを含んでよい。例えば、ドットネットフレームワークにおいて、任意の実行ファイルの少なくとも一部の内容は、ベース６４（Ｂａｓｅ６４）、排他的論理和（ｅｘｃｌｕｓｉｖｅ ｏｒ：ＸＯＲ）演算、ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）、ＤＥＳ（Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）などのような多様な方式、または多様な方式の組み合わせを利用して難読化されることがある。このとき、実行可能なネイティブイメージは、実行ファイルの復元モジュールによって難読化に対する復元が進められた原本内容を含んでよい。難読化された状態では実行ファイルの実行が不可能であるため、実行ファイルは、難読化された部分を復元するための復元モジュールを含んでよく、メモリには、難読化に対する復元が進められた原本内容を含む実行可能なネイティブイメージがロードされてよい。

段階３２０において、コンピュータ装置２００は、フレームワークで第１実行ファイルが実行される場合、格納された情報を用い、フレームワークが第１実行ファイルのコードによって呼び出すロード関数をフッキングしてよい。例えば、フレームワークが任意の実行ファイルを実行するためには、実行可能なネイティブイメージがメモリ上にロードされなければならない。実行ファイルの難読化によって実行可能なネイティブイメージをメモリ上にロードすることができなければ実行ファイルを実行することはできず、この場合、悪性コードを含む実行ファイルの場合には、悪性コードがもつ目的を実行することができない。したがって、悪性コードを含む実行ファイルは、実行ファイルの分析を防ぐためにいずれかの方式によって難読化されていたとしても、フレームワークが実行可能なネイティブイメージをメモリ上にロードする瞬間には、該当の実行ファイルに対する実行可能なネイティブイメージを提供しなければならない。例えば、悪性コードが含まれる実行ファイルは、実行ファイルの難読化された部分を復元するためのモジュールを含んでよく、メモリ上で難読化された実行ファイルを復元してパラメータとして実行可能なネイティブイメージを提供しなければならない。このような特徴を利用することで、コンピュータ装置２００は、第１実行ファイル自体を分析するよりも、フレームワークが第１実行ファイルのコードによって呼び出すロード関数をフッキングすることにより、パラメータとしてロード関数で伝達される第１実行ファイルに対する実行可能なネイティブイメージを簡単に得ることができるようになる。

段階３３０において、コンピュータ装置２００は、ロード関数のフッキングによって得られるアドレスを利用してメモリで第１実行ファイルに対する実行可能なネイティブイメージを抽出して、第１実行ファイルに対する原本実行ファイルを生成してよい。上述したように、第１実行ファイルは、難読化された部分を復元した後、実行可能なネイティブイメージをメモリにロードするようにコンピュータ装置２００を制御するためのコードを含んでよい。このような第１実行ファイルのコードは、フレームワークが予め定義されたロード関数を呼び出すようにコンピュータ装置２００を制御することができるため、保安ソリューションは、コンピュータ装置２００がこのようなロード関数をフッキングするように制御してよい。上述したように、ロード関数は、フレームワークからパラメータとして伝達される実行ファイルに対する実行可能なネイティブイメージがメモリにロードするようにフレームワークが呼び出す関数を含んでよい。一方、実行可能なネイティブイメージは、ロード関数に基づいてバイトストリームの形態でメモリにロードされることができるため、コンピュータ装置２００は、ロード関数のフッキングにより、実行可能なネイティブイメージがメモリにロードされるアドレスを得ることができる。この場合、コンピュータ装置２００は、得られたアドレスに基づき、メモリで第１実行ファイルに対する実行可能なネイティブイメージを抽出してよく、得られた実行可能なネイティブイメージに基づき、第１実行ファイルに対して難読化されていない原本実行ファイルを得ることができるようになる。難読化されていない原本実行ファイルは、難読化された第１実行ファイルに比べて実行ファイルを簡単に分析できるということは、容易に理解することができるであろう。例えば、実行ファイルの少なくとも一部に対する難読化は、極めて多様な方式、または多様な方式の組み合わせによってなされるため、難読化された実行ファイルを復元して原本実行ファイルを得る過程は、極めて困難であると言える。この反面、ロード関数のフッキングを利用した実行可能なネイティブイメージの抽出によって原本実行ファイルを得る過程は、難読化された実行ファイルが復元された後になされるため、難読化方式とは関係なく原本実行ファイルを得ることができるようになる。

図４は、本発明の一実施形態における、原本実行ファイルを生成する過程の例を示したフローチャートである。図４の実施形態に係る段階４１０〜段階４４０は、図３を参照しながら説明した段階３３０に含まれ、コンピュータ装置２００によって実行されてよい。

段階４１０において、コンピュータ装置２００は、フッキングされたロード関数を用い、フレームワークからフッキングされたロード関数でパラメータとして伝達される第１実行ファイルに対する実行可能なネイティブイメージがメモリにロードされるアドレスとサイズを抽出してよい。上述したように、ロード関数は、フレームワークからパラメータとして伝達される実行ファイルに対する実行可能なネイティブイメージがメモリにロードするようにフレームワークが呼び出す関数であってよい。言い換えれば、ロード関数により、実行可能なネイティブイメージがメモリのどのアドレスにどのようなサイズでロードされるかを把握することができるようになる。

段階４２０において、コンピュータ装置２００は、第１実行ファイルに対する実行可能なネイティブイメージがメモリにロードされるようにフッキングされたロード関数を実行してよい。ロード関数が実行されることによってメモリに実行可能なネイティブイメージがロードされることができるため、コンピュータ装置２００は、フッキングされたロード関数を実行して実際に実行可能なネイティブイメージがメモリにロードされるようにしてよい。例えば、コンピュータ装置２００は、Ｉｎｖｏｋｅ関数を呼び出してフッキングされたロード関数を実行してよい。

段階４３０において、コンピュータ装置２００は、メモリで抽出されたアドレスから抽出されたサイズのデータを抽出してよい。上述したように、実行可能なネイティブイメージは、バイトストリームの形態でメモリにロードされてよく、コンピュータ装置２００は、このようなバイトストリーム形態のデータを、段階４１０で抽出されたアドレスとサイズを利用して抽出してよい。

段階４４０において、コンピュータ装置２００は、抽出されたデータをファイルで格納して第１実行ファイルに対する原本実行ファイルを生成してよい。第１実行ファイルが、多様な難読化方式のうちのどの難読化方式によって難読化されていたとしても、第１実行ファイルの実行のためには、難読化された部分がすべて復元された実行可能なネイティブイメージがメモリにロードされていなければならない。このとき、メモリで抽出されたデータは、第１実行ファイルに対する実行可能なネイティブイメージに対応してよく、したがって、メモリで抽出されたデータを格納するファイルは、難読化が適用されていない原本実行ファイルとなってよい。

一方、ロード関数は、同じシステム上では同じアドレスに実行可能なネイティブイメージをロードしてよい。この場合、コンピュータ装置２００は、同じロード関数に対して同じアドレスを活用することで、実行ファイルに対する実行可能なネイティブイメージを得ることができるようになる。

図５は、本発明の一実施形態における、一度抽出されたアドレスを利用して他の実行ファイルに対する実行可能なネイティブイメージを抽出する例を示したフローチャートである。図５の段階５１０は、図３の段階３３０以降にコンピュータ装置２００によって実行されてよい。

段階５１０において、コンピュータ装置２００は、フレームワークで第２実行ファイルが実行される場合、ロード関数のフッキングによって得られたアドレスを利用してメモリで第２実行ファイルに対する実行可能なネイティブイメージを抽出して第２実行ファイルに対する原本実行ファイルを生成してよい。上述したように、ロード関数は、同じシステム上では同じアドレスに実行可能なネイティブイメージをロードしてよい。したがって、第１実行ファイルに対する実行可能なネイティブイメージをメモリで抽出するために得られたアドレスが、第２実行ファイルに対する実行可能なネイティブイメージをメモリで抽出するために活用されてよい。

図６は、本発明の一実施形態における、ドットネットフレームワークで実行可能なネイティブイメージをロードするロード関数が定義されたライブラリの例を示した図である。図６において、第１点線枠６１０は、ドットネットフレームワークにドットネットローダとして含まれるコアライブラリとして「ｍｓｃｏｒｌｉｂ」を示しており、第２点線枠６２０は、実行可能なネイティブイメージを１つずつのバイトで読み、インタプリタ言語を機械語に変換して実行するモジュールとして「ｍｓｃｏｒｌｉｂ＿ｎｉ」を示している。このとき、ドットネットフレームワークでは、「ｍｓｃｏｒｌｉｂ＿ｎｉ」モジュールに、上述したロード関数が含まれてよい。

図７は、本発明の一実施形態における、ドットネットフレームワークで実行可能なネイティブイメージをロードするロード関数の例を示した図である。図７において、第１点線枠７１０は、メモリでデータをデコードする例を示している。より具体的に、第１点線枠７１０は、ベース６４によって難読化されたデータを復元する過程の例を示している。デコードされたデータ「ａｓｍＤａｔａ」は、ＣＯＦＦ（Ｃｏｍｍｏｎ Ｏｂｊｅｃｔ Ｆｉｌｅ Ｆｏｒｍａｔ）形式であってよい。第２点線枠７２０は、ロード関数としてＡｓｓｅｍｂｌｙ．Ｌｏａｄ関数を示しており、第３点線枠７３０は、このようなＡｓｓｅｍｂｌｙ．Ｌｏａｄ関数が呼び出し（アドレス０ｘ５２ＡＢ２９Ｅ４）される例を示している。このとき、Ａｓｓｅｍｂｌｙ．Ｌｏａｄ関数としては、パラメータとして、先駆けて復元されたＣＯＦＦ形式のデコードされたデータ「ａｓｍＤａｔａ」が伝達されてよい。この場合、コンピュータ装置２００は、このようなＡｓｓｅｍｂｌｙ．Ｌｏａｄ関数の呼び出しをフッキングしてデコードされたデータ「ａｓｍＤａｔａ」に対するアドレスを得てよく、メモリで「ａｓｍＤａｔａ」を抽出してよい。この後、コンピュータ装置２００は、抽出された「ａｓｍＤａｔａ」を含む原本実行ファイルを生成することができるようになる。

このように、本発明の実施形態によると、ＪＶＭやドットネットフレームワークのような共通中間言語（Ｃｏｍｍｏｎ Ｉｎｔｅｒｍｅｄｉａｔｅ Ｌａｎｇｕａｇｅ）を利用してプラットフォームに関係なくランタイムに実行環境に合うように実行ファイルのコードを実行するフレームワークで前記実行ファイルを実行するときに、前記実行ファイルに対する実行可能なネイティブイメージをメモリにロードするために前記フレームワークが呼び出す関数をフッキングすることにより、前記実行ファイルに対して難読化が解除された原本ファイルを抽出することができる。

上述したシステムまたは装置は、ハードウェア構成要素、またはハードウェア構成要素とソフトウェア構成要素との組み合わせによって実現されてよい。例えば、実施形態で説明された装置および構成要素は、例えば、プロセッサ、コントローラ、ＡＬＵ（ａｒｉｔｈｍｅｔｉｃ ｌｏｇｉｃ ｕｎｉｔ）、デジタル信号プロセッサ、マイクロコンピュータ、ＦＰＧＡ（ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ）、ＰＬＵ（ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ｕｎｉｔ）、マイクロプロセッサ、または命令を実行して応答することができる様々な装置のように、１つ以上の汎用コンピュータまたは特殊目的コンピュータを利用して実現されてよい。処理装置は、オペレーティングシステム（ＯＳ）およびＯＳ上で実行される１つ以上のソフトウェアアプリケーションを実行してよい。また、処理装置は、ソフトウェアの実行に応答し、データにアクセスし、データを記録、操作、処理、および生成してもよい。理解の便宜のために、１つの処理装置が使用されるとして説明される場合もあるが、当業者は、処理装置が複数個の処理要素および／または複数種類の処理要素を含んでもよいことが理解できるであろう。例えば、処理装置は、複数個のプロセッサまたは１つのプロセッサおよび１つのコントローラを含んでよい。また、並列プロセッサのような、他の処理構成も可能である。

ソフトウェアは、コンピュータプログラム、コード、命令、またはこれらのうちの１つ以上の組み合わせを含んでもよく、思うままに動作するように処理装置を構成したり、独立的または集合的に処理装置に命令したりしてよい。ソフトウェアおよび／またはデータは、処理装置に基づいて解釈されたり、処理装置に命令またはデータを提供したりするために、いかなる種類の機械、コンポーネント、物理装置、仮想装置、コンピュータ記録媒体または装置に具現化されてよい。ソフトウェアは、ネットワークによって接続されたコンピュータシステム上に分散され、分散された状態で記録されても実行されてもよい。ソフトウェアおよびデータは、１つ以上のコンピュータ読み取り可能な記録媒体に記録されてよい。

実施形態に係る方法は、多様なコンピュータ手段によって実行可能なプログラム命令の形態で実現されてコンピュータ読み取り可能な媒体に記録されてよい。コンピュータ読み取り可能な媒体は、プログラム命令、データファイル、データ構造などを単独でまたは組み合わせて含んでよい。媒体は、コンピュータ実行可能なプログラムを継続して記録するものであっても、実行またはダウンロードのために一時記録するものであってもよい。また、媒体は、単一または複数のハードウェアが結合した形態の多様な記録手段または格納手段であってよく、あるコンピュータシステムに直接接続する媒体に限定されることはなく、ネットワーク上に分散して存在するものであってもよい。媒体の例としては、ハードディスク、フロッピー（登録商標）ディスク、および磁気テープのような磁気媒体、ＣＤ−ＲＯＭおよびＤＶＤのような光媒体、フロプティカルディスク（ｆｌｏｐｔｉｃａｌ ｄｉｓｋ）のような光磁気媒体、およびＲＯＭ、ＲＡＭ、フラッシュメモリなどを含み、プログラム命令が記録されるように構成されたものであってよい。また、媒体の他の例として、アプリケーションを配布するアプリケーションストアやその他の多様なソフトウェアを供給または配布するサイト、サーバなどで管理する記録媒体または格納媒体が挙げられる。プログラム命令の例には、コンパイラによって生成されるもののような機械語コードだけではなく、インタプリタなどを使用してコンピュータによって実行されることのできる高級言語コードを含む。

以上のように、実施形態を、限定された実施形態および図面に基づいて説明したが、当業者であれば、上述した記載から多様な修正および変形が可能であろう。例えば、説明された技術が、説明された方法とは異なる順序で実行されたり、かつ／あるいは、説明されたシステム、構造、装置、回路などの構成要素が、説明された方法とは異なる形態で結合されたりまたは組み合わされたり、他の構成要素または均等物によって代替されたり置換されたとしても、適切な結果を達成することができる。

したがって、異なる実施形態であっても、特許請求の範囲と均等なものであれば、添付される特許請求の範囲に属する。

１１０、１２０、１３０、１４０：電子機器
１５０、１６０：サーバ
１７０：ネットワーク

Claims (14)

1. 難読化解除方法をコンピュータ装置に実行させるためのコンピュータプログラムであって、
   共通中間言語を利用して実行ファイルを実行するフレームワークが実行可能なネイティブイメージをメモリにロードするために呼び出すロード関数の情報を格納することと、
   前記フレームワークで第１実行ファイルが実行される場合、前記格納された情報に基づき、前記フレームワークが前記第１実行ファイルのコードによって呼び出す前記ロード関数をフッキングすることと、
   前記ロード関数のフッキングによって得られるアドレスを利用して前記メモリで前記第１実行ファイルに対する実行可能なネイティブイメージを抽出して前記第１実行ファイルに対する原本実行ファイルを生成することと、
   を含む、コンピュータプログラム。
2. 前記ロード関数は、前記フレームワークからパラメータとして伝達される実行ファイルに対する実行可能なネイティブイメージがメモリにロードするように前記フレームワークが呼び出す関数を含むことを特徴とする、請求項１に記載のコンピュータプログラム。
3. 前記原本実行ファイルを生成することは、
   前記フッキングされたロード関数を用い、前記フレームワークから前記フッキングされたロード関数でパラメータとして伝達される前記第１実行ファイルに対する実行可能なネイティブイメージが前記メモリにロードされるアドレスとサイズを抽出することと、
   前記第１実行ファイルに対する実行可能なネイティブイメージが前記メモリにロードされるように前記フッキングされたロード関数を実行することと、
   前記メモリで前記抽出されたアドレスから前記抽出されたサイズのデータを抽出することと、
   前記抽出されたデータをファイルで格納して前記第１実行ファイルに対する原本実行ファイルを生成することと
   を含むことを特徴とする、請求項１または２に記載のコンピュータプログラム。
4. 前記フレームワークは、ドットネットフレームワークを含み、
   前記ロード関数は、前記ドットネットフレームワークのドットネットローダとして含まれるコアライブラリに含まれ、前記フレームワークからパラメータとして伝達される実行ファイルに対する実行可能なネイティブイメージをメモリにロードするように前記フレームワークが呼び出す関数を含むことを特徴とする、請求項１乃至３のいずれか一項に記載のコンピュータプログラム。
5. 前記ロード関数は、同じシステム上で同じアドレスに実行可能なネイティブイメージをロードし、
   前記フレームワークで第２実行ファイルが実行される場合、前記ロード関数のフッキングによって得られたアドレスを利用して前記メモリで前記第２実行ファイルに対する実行可能なネイティブイメージを抽出して前記第２実行ファイルに対する原本実行ファイルを生成すること
   をさらに含むことを特徴とする、請求項１乃至４のいずれか一項に記載のコンピュータプログラム。
6. 前記実行ファイルは、少なくとも一部の内容に難読化が適用されたファイルを含み、
   前記実行可能なネイティブイメージは、前記実行ファイルの復元モジュールによって前記難読化に対する復元が進められた原本内容を含むことを特徴とする、請求項１乃至５のいずれか一項に記載のコンピュータプログラム。
7. 少なくとも１つのプロセッサを含むコンピュータ装置の難読化解除方法であって、
   前記少なくとも１つのプロセッサが、共通中間言語を利用して実行ファイルを実行するフレームワークが実行可能なネイティブイメージをメモリにロードするために呼び出すロード関数の情報を格納することと、
   前記フレームワークで第１実行ファイルが実行される場合、前記少なくとも１つのプロセッサが、前記格納された情報に基づき、前記フレームワークが前記第１実行ファイルのコードによって呼び出す前記ロード関数をフッキングすることと、
   前記少なくとも１つのプロセッサが、前記ロード関数のフッキングによって得られるアドレスを利用して前記メモリで前記第１実行ファイルに対する実行可能なネイティブイメージを抽出して前記第１実行ファイルに対する原本実行ファイルを生成することと、
   を含む、難読化解除方法。
8. 前記ロード関数は、前記フレームワークからパラメータとして伝達される実行ファイルに対する実行可能なネイティブイメージがメモリにロードするように前記フレームワークが呼び出す関数を含むことを特徴とする、請求項７に記載の難読化解除方法。
9. 前記原本実行ファイルを生成することは、
   前記フッキングされたロード関数を用い、前記フレームワークから前記フッキングされたロード関数でパラメータとして伝達される前記第１実行ファイルに対する実行可能なネイティブイメージが前記メモリにロードされるアドレスとサイズを抽出することと、
   前記第１実行ファイルに対する実行可能なネイティブイメージが前記メモリにロードされるように前記フッキングされたロード関数を実行することと、
   前記メモリで前記抽出されたアドレスから前記抽出されたサイズのデータを抽出することと、
   前記抽出されたデータをファイルで格納して前記第１実行ファイルに対する原本実行ファイルを生成することと、
   を含むことを特徴とする、請求項７または８に記載の難読化解除方法。
10. 前記ロード関数は、同じシステム上で同じアドレスに実行可能なネイティブイメージをロードし、
    前記フレームワークで第２実行ファイルが実行される場合、前記ロード関数のフッキングによって得られたアドレスを利用して前記メモリで前記第２実行ファイルに対する実行可能なネイティブイメージを抽出して前記第２実行ファイルに対する原本実行ファイルを生成すること
    をさらに含むことを特徴とする、請求項７乃至９のいずれか一項に記載の難読化解除方法。
11. 請求項７乃至１０のうちのいずれか一項に記載の方法をコンピュータ装置に実行させるためのコンピュータプログラムが記録されている、コンピュータ読み取り可能な記録媒体。
12. コンピュータ読み取り可能な命令を実行するように実現される少なくとも１つのプロセッサ
    を含み、
    前記少なくとも１つのプロセッサが、
    共通中間言語を利用して実行ファイルを実行するフレームワークが実行可能なネイティブイメージをメモリにロードするために呼び出すロード関数の情報を格納し、
    前記フレームワークで第１実行ファイルが実行される場合、前記格納された情報に基づき、前記フレームワークが前記第１実行ファイルのコードによって呼び出す前記ロード関数をフッキングし、
    前記ロード関数のフッキングによって得られるアドレスを利用して前記メモリで前記第１実行ファイルに対する実行可能なネイティブイメージを抽出して前記第１実行ファイルに対する原本実行ファイルを生成すること
    を特徴とする、コンピュータ装置。
13. 前記少なくとも１つのプロセッサが、
    前記フッキングされたロード関数を用い、前記フレームワークから前記フッキングされたロード関数でパラメータとして伝達される前記第１実行ファイルに対する実行可能なネイティブイメージが前記メモリにロードされるアドレスとサイズを抽出し、
    前記第１実行ファイルに対する実行可能なネイティブイメージが前記メモリにロードされるように前記フッキングされたロード関数を実行し、
    前記メモリで前記抽出されたアドレスから前記抽出されたサイズのデータを抽出し、
    前記抽出されたデータをファイルで格納して前記第１実行ファイルに対する原本実行ファイルを生成すること
    を特徴とする、請求項１２に記載のコンピュータ装置。
14. 前記ロード関数は、同じシステム上で同じアドレスに実行可能なネイティブイメージをロードし、
    前記少なくとも１つのプロセッサが、
    前記フレームワークで第２実行ファイルが実行される場合、前記ロード関数のフッキングによって得られたアドレスを利用して前記メモリで前記第２実行ファイルに対する実行可能なネイティブイメージを抽出して前記第２実行ファイルに対する原本実行ファイルを生成すること
    を特徴とする、請求項１２または１３に記載のコンピュータ装置。