JP5389734B2

JP5389734B2 - 抽出装置及び抽出方法

Info

Publication number: JP5389734B2
Application number: JP2010117641A
Authority: JP
Inventors: 裕平川古谷; 光恭伊藤
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2010-05-21
Filing date: 2010-05-21
Publication date: 2014-01-15
Anticipated expiration: 2030-05-21
Also published as: JP2011248406A

Description

本発明は、抽出装置及び抽出方法に関する。

従来、コンピュータウィルスやスパイウェア等の悪意のあるプログラムであるマルウェアのプログラムコードは、該マルウェアの動作や機能が解析されることを妨害するために難読化されていることが多い。かかる難読化は、一つの態様として、ＸＯＲエンコードや特定の鍵を利用した暗号化等の可逆なアルゴリズムを利用するものが挙げられる。また、マルウェアのプログラムコードが難読化されることで、本来のプログラムコードであるオリジナルコードが隠蔽されることはパッキングと呼ばれ、該パッキングを実行するツールは総じてパッカーと呼ばれる。

ところで、パッキングされたマルウェアは、難読化されたプログラムコードをデータとして有するとともに、オリジナルコードを復元するための展開コードを有する。詳細には、パッキングされたマルウェアが実行された場合には、展開コードの部分が実行されて難読化されたプログラムコードが解かれ、オリジナルコードがメモリ上に展開される。続いて、オリジナルコードの展開が完了した場合には、展開されたオリジナルコードが実行される。なお、パッカーの中には、オリジナルコードを難読化するだけでなく、デバッガによる解析を妨害するアンチデバッグの機能を展開されるコードに含むものもある。

このようなパッキングされたマルウェアを解析する場合に、解析者は、オリジナルコードを取り出してから逆アセンブルすることでアセンブラコードを復元し、復元されたアセンブラコードを読むことでマルウェアの解析を進める。また、オリジナルコードを取り出す場合に、解析者は、デバッガをマルウェアにアタッチした状態で該マルウェアを実行させる。続いて、解析者は、マルウェアの展開コードが終了してオリジナルコードの先頭（OEP：Original Entry Point）に移る直前又は直後等の近傍でマルウェアの動作を停止させる。その後、解析者は、メモリ上においてマルウェアが利用しているアドレスの範囲のバイナリデータをファイルにダンプすることでオリジナルコードを抽出する。

また、最近では、上記のように解析者がデバッガを利用して手動で解析するものの他に、難読化されたプログラムコードからオリジナルコードを自動的に取り出す技術が考えられている。例えば、オリジナルコードを自動的に取り出す技術では、実行プログラムの書きこみと命令フェッチとのメモリアクセスを監視する。そして、オリジナルコードを自動的に取り出す技術では、実行中のプロセスで書き込まれたメモリアドレス領域が実行されるときのメモリアクセスをＯＥＰとして、メモリ上のデータをファイルにダンプするものがある。

Min Gyung Kang，Pongsin Poosankam，Heng Yin，"Renovo：a hidden code extractor for packed executables"，In Proceedings of the 2007 ACM workshop on Recurring malcode，pages 46‐53，2007

しかしながら、上述した従来技術では、高精度にオリジナルコードを抽出することができないという課題がある。具体的には、解析者によって解析される場合には、実行されるマルウェアのコードを順次追いかけることになるため、相当な数のステップを有するマルウェアであれば非常に手間のかかる作業となってしまう。加えて、解析者によって解析される場合には、展開コードの終端の判断について経験を要することになるため、解析者によって結果が異なるとともに、未熟な解析者では間違いが発生する可能性が大きい。

また、オリジナルコードを自動的に取り出す技術では、マルウェアの難読化が多段階になっている場合に、オリジナルコードの出現前であるにもかかわらず、書き込みのあったアドレス領域を実行してしまうことがあり得る。これにより、オリジナルコードを自動的に取り出す技術では、展開途中のコードをオリジナルコードとして誤って抽出してしまう可能性がある。

そこで、本願に開示する技術は、上記に鑑みてなされたものであって、高精度にオリジナルコードを抽出することが可能である抽出装置及び抽出方法を提供することを目的とする。

上述した課題を解決し、目的を達成するため、本願に開示する抽出装置は、パッキングされたプログラムからオリジナルコードを抽出する抽出装置であって、前記プログラムを実行させ、前記オリジナルコードの候補を抽出する候補抽出手段と、前記プログラムを実行するプロセスによるメモリアクセスに関する情報であって、前記候補抽出手段によって抽出された時点の前後一定期間におけるメモリアクセス情報を取得する取得手段と、前記候補抽出手段によって抽出されたオリジナルコード候補の情報と、前記取得手段によって取得されたメモリアクセス情報とに基づいて、アクセスされたアドレスの範囲の変化量から求められる変化率をメモリアクセスの傾向として抽出する傾向抽出手段と、前記傾向抽出手段によって抽出されたメモリアクセスの傾向について、前記候補抽出手段によって抽出された時点の前後における変化率が所定条件を満たすか否かを判定する判定手段とを有する。

また、本願に開示する抽出方法は、パッキングされたプログラムからオリジナルコードを抽出する抽出方法であって、前記プログラムを実行させ、前記オリジナルコードの候補を抽出する候補抽出工程と、前記プログラムを実行するプロセスによるメモリアクセスに関する情報であって、前記候補抽出工程によって抽出された時点の前後一定期間におけるメモリアクセス情報を取得する取得工程と、前記候補抽出工程によって抽出されたオリジナルコード候補の情報と、前記取得工程によって取得されたメモリアクセス情報とに基づいて、アクセスされたアドレスの範囲の変化量から求められる変化率をメモリアクセスの傾向として抽出する傾向抽出工程と、前記傾向抽出工程によって抽出されたメモリアクセスの傾向について、前記候補抽出工程によって抽出された時点の前後における変化率が所定条件を満たすか否かを判定する判定工程とを含む。

本願に開示する抽出装置及び抽出方法の一つの様態によれば、高精度にオリジナルコードを抽出することができるという効果を奏する。

図１は、本実施例に係る抽出装置の構成例を示す図である。図２は、本実施例に係る抽出装置を含むシステムの全体像の例を示す図である。図３は、本実施例に係る抽出装置による全体処理の流れの例を示すフローチャートである。図４は、本実施例に係るメモリアクセス傾向抽出処理の流れの例を示すフローチャートである。図５は、本実施例に係る判定処理の流れの例を示すフローチャートである。

以下に添付図面を参照して、本願に開示する抽出装置及び抽出方法の実施例を説明する。なお、以下の実施例により本発明が限定されるものではない。

［抽出装置の構成］
図１を用いて、本実施例に係る抽出装置の構成を説明する。図１は、本実施例に係る抽出装置の構成例を示す図である。

例えば、図１に示すように、抽出装置１００は、メモリダンプ抽出部１１１と、メモリアクセス情報取得部１１２と、メモリアクセス傾向抽出部１１３と、判定部１１４とを有する。また、抽出装置１００は、パッキングされたプログラムから本来のプログラムコードであるオリジナルコードを抽出する装置である。

メモリダンプ抽出部１１１は、例えば、パッキングされたプログラムを実行させ、該パッキングされたプログラムが書き込みを行なったメモリ領域を実行する場合に、メモリ上のバイナリデータをファイルとしてダンプする。つまり、このダンプファイルは、パッキングされたプログラムに含まれるオリジナルコードの候補として抽出される。そして、メモリダンプ抽出部１１１は、ダンプファイルの抽出時点等の情報を含むダンプファイル情報をメモリアクセス傾向抽出部１１３に通知する。なお、メモリ領域の実行、すなわちメモリアクセスについては、例えば、メモリに対する読み込み、書き込み及び命令フェッチ等が挙げられる。

メモリアクセス情報取得部１１２は、例えば、メモリダンプ抽出部１１１によってオリジナルコード候補となるダンプファイルが抽出された時点の前後一定期間で、パッキングされたプログラムを実行するプロセスでのメモリに対するメモリアクセス情報を取得する。メモリアクセス情報取得部１１２によって取得されるメモリアクセス情報は、例えば、「メモリアクセスの回数」や「メモリアクセスのアドレス値」等の情報を含む。

メモリアクセス傾向抽出部１１３は、例えば、メモリダンプ抽出部１１１によって通知されたダンプファイル情報と、メモリアクセス情報取得部１１２によって取得されたメモリアクセス情報とに基づいて、メモリアクセスの傾向を抽出する。メモリアクセス傾向抽出部１１３による処理は、例えば、メモリダンプ抽出部１１１とメモリアクセス情報取得部１１２とにおいてある程度の情報が抽出及び取得できた時点で開始されれば良い。詳細には、メモリアクセス傾向抽出部１１３は、オリジナルコード候補の抽出時前後の一定期間それぞれにおける「メモリアクセスの回数：ｎ」と、ある時点「ｉ」での「メモリアクセスのアドレス値：α_ｉ」とから、「ｉ」と「ｉ＋１」とにおける「アドレス値の変化量：ｄ_ｉ」を式（１）により求める。

また、メモリアクセス傾向抽出部１１３は、オリジナルコード候補が抽出された時点の前後での「一定期間における変化量の平均：μ」を式（２）により求める。そして、メモリアクセス傾向抽出部１１３は、オリジナルコード候補が抽出された時点の前後におけるメモリアクセスの傾向の「変化率：ρ」を式（３）により求める。式（３）では、抽出前の平均を「μ_{ｂｅｆｏｒｅ}」として、抽出後の平均値を「μ_{ａｆｔｅｒ}」として示す。

判定部１１４は、例えば、メモリアクセス傾向抽出部１１３によってメモリアクセスの傾向として求められた「変化率：ρ」について、ダンプファイル抽出時点の前後における「変化率：ρ」が所定閾値以上であるか否かを判定する。なお、判定部１１４による判定は上記のものに限られるものではなく、例えば、「変化率：ρ」が最も高いか否かを判定することにしても良い。

また、判定部１１４による判定の結果、所定閾値以上であると判定された場合、或いは、最も高いと判定された場合に、抽出装置１００は、メモリアクセスの傾向に該当する時点でメモリダンプ抽出部１１１によって抽出されたオリジナルコード候補をオリジナルコードとして抽出する。なお、抽出装置１００は、判定部１１４による判定の結果、所定閾値以上であると判定された該当するオリジナルコード候補が複数存在する場合に、複数の時点でのオリジナルコード候補をオリジナルコードとして抽出する。

このように、抽出装置１００は、オリジナルコード候補の抽出前後におけるメモリアクセスの傾向が大きく変化している場合に、該オリジナルコード候補をオリジナルコードとして抽出するので、高精度にオリジナルコードを抽出することができる。換言すると、抽出装置１００は、プログラムコードの目的（役割）が異なればプログラムコードが変化し、該変化に伴ってメモリアクセスの傾向も変化することと、難読化されたプログラムコードの実行において最初に展開コードが実行される特性とを利用し、プログラムコードの目的が大きく変化する時点をオリジナルコードの展開が終わり、実行されはじめたこととしている。要するに、抽出装置１００は、オリジナルコードの展開が終わり、実行されはじめた時点をメモリアクセスの傾向の変化として捉え、諸傾向の変化の大きい時点で抽出したメモリダンプをオリジナルコードとして抽出するので、解析者が解析したり、メモリアクセス時点のコードをオリジナルコードとして抽出したりする従来技術と比較して、高精度にオリジナルコードを抽出することができる。

［システム全体像］
次に、図２を用いて、本実施例に係る抽出装置１００を含むシステムの全体像を説明する。図２は、本実施例に係る抽出装置１００を含むシステムの全体像の例を示す図である。

例えば、図２に示すように、抽出装置１００を含むシステムは、難読化プロセスと、アプリケーションと、ＧＵＥＳＴＯＳ（Operating System）と、ＶＭＭ（Virtual Machine Monitor）と、ＨＯＳＴＯＳと、ＨＷ（hardware）とを有する。なお、難読化プロセスとは、パッキングされたプログラムを指す。

メモリダンプ抽出部１１１とメモリアクセス情報取得部１１２とは、システムにおいてメモリアクセス情報を取得するため、ＯＳに仮想的なハードウェアを提供するソフトウェアである仮想マシンモニタ（ＶＭＭ）を利用する。

ＶＭＭは、ＨＯＳＴＯＳがインストールされているＨＷ上にて動作する。また、ＧＵＥＳＴＯＳは、ＶＭＭ上にて動作させる仮想ＯＳであり、さらに、該ＧＵＥＳＴＯＳの上位にてアプリケーションと、難読化プロセスとが動作する。また、メモリアクセス傾向抽出部１１３と判定部１１４とは、ＨＯＳＴＯＳ側でアプリケーションとして動作する。

また、ＶＭＭによって提供される仮想的なメモリに配置された監視モジュールは、メモリアクセスを監視する。監視モジュールによる監視でメモリアクセスが発生した場合に、メモリアクセス情報取得部１１２は、アクセス先のアドレス値と、該アドレス値に格納されたデータ（書き込みの場合は書き込もうとしたデータ）と、読み込み或いは書き込みのトリガとなった実行命令とをログとして取得する。

また、ＶＭＭは、一度書き込まれた領域を記憶しておく。そして、メモリダンプ抽出部１１１は、領域が実行される場合に、メモリ上のデータをファイルとして抽出する。このとき、メモリアクセス情報取得部１１２は、取得したメモリアクセス情報をメモリアクセス傾向抽出部１１３に出力する。そして、メモリアクセス傾向抽出部１１３は、ＶＭＭ内で動作するメモリダンプ抽出部１１１とメモリアクセス情報取得部１１２とからダンプファイル情報及びメモリアクセス情報を受け取り、メモリアクセスの傾向を算出し、算出結果を判定部１１４に通知する。

［全体処理フロー］
次に、図３を用いて、本実施例に係る抽出装置１００による全体処理の流れを説明する。図３は、本実施例に係る抽出装置１００による全体処理の流れの例を示すフローチャートである。

例えば、図３に示すように、抽出装置１００は、パッキングされたプログラムを実行させ、書き込みのあったメモリ領域を実行する場合に、メモリ上のバイナリデータをファイルとしてダンプすることでオリジナルコード候補を抽出する（ステップＳ１０１）。そして、抽出装置１００は、オリジナルコード候補が抽出された時点の前後一定期間で、パッキングされたプログラムを実行するプロセスでのメモリアクセス情報を取得する（ステップＳ１０２）。

続いて、抽出装置１００は、オリジナルコード候補の抽出時前後の一定期間それぞれにおけるメモリアクセスの回数と、各メモリアクセスの際のアドレス値とに基づきアドレス値の変化量を求め、求められた変化量から該一定期間における変化量の平均を求める。その後、抽出装置１００は、求められた変化量から、オリジナルコード候補が抽出された時点の前後におけるメモリアクセスの傾向の変化率を求めることで、メモリアクセスの傾向を抽出する（ステップＳ１０３）。そして、抽出装置１００は、変化率が所定閾値以上であるか否かを判定し、判定結果を出力する（ステップＳ１０４）。かかる判定については、変化率が最も大きいか否かを判定することにしても良い。

［メモリアクセス傾向抽出処理］
次に、図４を用いて、本実施例に係るメモリアクセス傾向抽出処理の流れを説明する。図４は、本実施例に係るメモリアクセス傾向抽出処理の流れの例を示すフローチャートである。なお、メモリアクセス傾向抽出処理とは、主にメモリアクセス傾向抽出部１１３による処理を指す。

例えば、図４に示すように、メモリアクセス傾向抽出部１１３は、メモリダンプ情報とメモリアクセス情報との数がある程度の量になった場合に、ダンプファイル抽出時点におけるメモリアクセス情報を受け取る（ステップＳ２０１）。かかるメモリアクセス情報は、例えば、各ダンプファイルの抽出時点の前後一定期間における読み込み、書き込み及び命令フェッチ等のメモリアクセスの情報であり、ダンプファイル毎に存在する。

そして、メモリアクセス傾向抽出部１１３は、受け取ったメモリアクセス情報が空であるか否かを判定する（ステップＳ２０２）。このとき、メモリアクセス傾向抽出部１１３は、メモリアクセス情報が空である場合に（ステップＳ２０２肯定）、ダンプファイル抽出時点におけるダンプファイル情報とメモリアクセスのアドレス値の変化量（傾き）とを判定部１１４に通知する（ステップＳ２０３）。

一方、メモリアクセス傾向抽出部１１３は、メモリアクセス情報が空でない場合に（ステップＳ２０２否定）、ダンプファイルの抽出前のメモリアクセス回数が閾値以上であるか否かを判定する（ステップＳ２０４）。このとき、メモリアクセス傾向抽出部１１３は、メモリアクセス回数が閾値以上である場合に（ステップＳ２０４肯定）、ダンプファイルの抽出前におけるメモリアクセスのアドレス値の変化量を算出する（ステップＳ２０５）。なお、メモリアクセス傾向抽出部１１３は、メモリアクセス回数が閾値未満である場合に（ステップＳ２０４否定）、変化量をＵＮＫＮＯＷＮとしてステップＳ２０１の処理を実行する。

そして、メモリアクセス傾向抽出部１１３は、ダンプファイルの抽出後のメモリアクセス回数が閾値以上であるか否かを判定する（ステップＳ２０６）。このとき、メモリアクセス傾向抽出部１１３は、メモリアクセス回数が閾値以上である場合に（ステップＳ２０６肯定）、ダンプファイルの抽出後におけるメモリアクセスのアドレス値の変化量を算出する（ステップＳ２０７）。なお、メモリアクセス傾向抽出部１１３は、メモリアクセス回数が閾値未満である場合に（ステップＳ２０６否定）、同様に変化量をＵＮＫＮＯＷＮとしてステップＳ２０１の処理を実行する。その後、メモリアクセス傾向抽出部１１３は、ダンプファイルの抽出の前後における変化量の差分、すなわち変化率を算出し（ステップＳ２０８）、ステップＳ２０１の処理を実行する。

要するに、メモリアクセス傾向抽出部１１３は、メモリアクセス情報に基づき、ダンプ毎のダンプ時点前後におけるメモリアクセスの回数とアドレス値とから変化量を求め、該ダンプ時点前後での変化量の差分を変化率として求める。そして、メモリアクセス傾向抽出部１１３は、変化率を全てのダンプファイル抽出時点で求めて、求められた変化率の情報を判定部１１４に通知する。

［判定処理］
次に、図５を用いて、本実施例に係る判定処理の流れを説明する。図５は、本実施例に係る判定処理の流れの例を示すフローチャートである。なお、判定処理とは、主に判定部１１４による処理を指す。

例えば、図５に示すように、判定部１１４は、メモリアクセス傾向抽出部１１３によって抽出されたメモリアクセスそれぞれの差分値である変化率やダンプ時点におけるダンプファイル情報等を受け取る（ステップＳ３０１）。かかるメモリアクセスは、例えば、読み込み、書き込み及び命令フェッチ等である。

そして、判定部１１４は、後述する変化量の判定処理が未処理である該当するダンプファイル情報があるか否かを判定する（ステップＳ３０２）。このとき、判定部１１４は、未処理のダンプファイル情報がある場合に（ステップＳ３０２肯定）、変化率が一定値以上であるか否かを判定する（ステップＳ３０３）。なお、判定部１１４は、未処理のダンプファイル情報がない場合に（ステップＳ３０２否定）、処理を終了する。

そして、判定部１１４は、変化率が一定値以上である場合に（ステップＳ３０３肯定）、該当するダンプファイルをオリジナルコードとして決定し（ステップＳ３０４）、ステップＳ３０２の処理を実行する。なお、判定部１１４は、変化率が一定値未満である場合に（ステップＳ３０３否定）、ステップＳ３０２の処理を再度実行する。

要するに、判定部１１４は、メモリアクセス傾向抽出部１１３によって抽出されたダンプファイル抽出の前後におけるメモリアクセスの変化率のうち、ある一定値以上の変化量を有するものを選出して、該当するダンプ時点のコードをオリジナルコードとして決定する。なお、複数のダンプファイル抽出時点が一定値以上の変化率を有する場合には、該一定値以上の変化率を有するもの全ての時点でのダンプファイルをオリジナルコードとして決定する。

［実施例による効果］
上述したように、抽出装置１００は、マルウェアを実行させて得られるオリジナルコード候補を抽出し、抽出された時点の前後一定期間におけるメモリアクセス情報からメモリアクセスの傾向を抽出し、メモリアクセスの傾向が所定閾値以上変化しているものに該当するオリジナルコード候補をオリジナルコードとして抽出するので、高精度にオリジナルコードを抽出することができる。

なお、上記文書中や図面中などで示した処理手順、制御手順、具体的名称、各種のデータやパラメタなどを含む情報（例えば、メモリアクセスの種類等）については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は、機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は、図示のものに限られず、その全部または一部を各種の負担や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合することができる。例えば、メモリアクセス傾向抽出部１１３と判定部１１４とを、メモリアクセスの傾向として変化率を求め、変化率が所定条件を満たすか否かを判定する「メモリアクセス傾向判定部」として統合しても良い。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、或いは、ワイヤードロジックによるハードウェアとして実現され得る。

以上のように、本発明に係る抽出装置及び抽出方法は、パッキングされたプログラムからオリジナルコードを抽出する場合に有用であり、特に、高精度にオリジナルコードを抽出することに適する。

１００抽出装置
１１１メモリダンプ抽出部
１１２メモリアクセス情報取得部
１１３メモリアクセス傾向抽出部
１１４判定部

Claims

パッキングされたプログラムからオリジナルコードを抽出する抽出装置であって、
前記プログラムを実行させ、前記オリジナルコードの候補を抽出する候補抽出手段と、
前記プログラムを実行するプロセスによるメモリアクセスに関する情報であって、前記候補抽出手段によって抽出された時点の前後一定期間におけるメモリアクセス情報を取得する取得手段と、
前記候補抽出手段によって抽出されたオリジナルコード候補の情報と、前記取得手段によって取得されたメモリアクセス情報とに基づいて、アクセスされたアドレスの範囲の変化量から求められる変化率をメモリアクセスの傾向として抽出する傾向抽出手段と、
前記傾向抽出手段によって抽出されたメモリアクセスの傾向について、前記候補抽出手段によって抽出された時点の前後における変化率が所定条件を満たすか否かを判定する判定手段と
を有することを特徴とする抽出装置。
前記判定手段は、前記メモリアクセスの傾向について、前記変化率が所定閾値以上であるか否かを判定することを特徴とする請求項１に記載の抽出装置。
前記判定手段は、前記メモリアクセスの傾向について、前記変化率が最も大きいか否かを判定することを特徴とする請求項１に記載の抽出装置。
前記取得手段は、メモリに対する読み込み、書き込み及び命令フェッチのメモリアクセス情報を取得することを特徴とする請求項１〜３のいずれか一つに記載の抽出装置。
パッキングされたプログラムからオリジナルコードを抽出する抽出方法であって、
前記プログラムを実行させ、前記オリジナルコードの候補を抽出する候補抽出工程と、
前記プログラムを実行するプロセスによるメモリアクセスに関する情報であって、前記候補抽出工程によって抽出された時点の前後一定期間におけるメモリアクセス情報を取得する取得工程と、
前記候補抽出工程によって抽出されたオリジナルコード候補の情報と、前記取得工程によって取得されたメモリアクセス情報とに基づいて、アクセスされたアドレスの範囲の変化量から求められる変化率をメモリアクセスの傾向として抽出する傾向抽出工程と、
前記傾向抽出工程によって抽出されたメモリアクセスの傾向について、前記候補抽出工程によって抽出された時点の前後における変化率が所定条件を満たすか否かを判定する判定工程と
を含んだことを特徴とする抽出方法。