JP6333763B2 - マルウェア解析装置およびマルウェア解析方法 - Google Patents

Description

本発明は、マルウェア解析装置およびマルウェア解析方法に関する。

近年、民間企業や、防衛関連企業、衆参両院を狙ったサイバー攻撃が顕在化しており、個人、企業、国家の利益や安全性を損なうリスクが高まっている。また、攻撃手法も益々巧妙化しており、標的型攻撃、特にＡＰＴ（Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ）攻撃は、秘密裏に、そして執拗に長期間攻撃を続ける点で従来の脅威とは性質が異なっている。この脅威に対抗するためには、マルウェアを安全に実行できる解析環境において、マルウェアを実際に実行し、その挙動を観測することで、マルウェアの活動内容を明らかにすることが重要となる。

しかし、マルウェアによっては、外部サイトへの疎通確認ができなければ、動きを止めてしまうものや、実行する環境によって挙動を変えるもの、マルウェアの動作に必要となる前提ファイルがないと動きを止めてしまうものが存在する。このようなマルウェアを受信した企業が、マルウェアの解析を行う場合、マルウェアが動く環境で解析をしないと、マルウェアが意図した動作をせず、マルウェアの活動内容を明らかにすることができない。以上のような背景から、マルウェアの挙動全貌を明らかにするために、マルウェアが稼働する条件を特定しマルウェア解析を行う技術が求められている。

例えば、非特許文献１には、環境調査を行うＡＰＩ（Ａｐｐｌｉｃａｔｉｏｎ Ｐｒｏｇｒａｍｍｉｎｇ Ｉｎｔｅｒｆａｃｅ）を監視し、次回解析時に様々な値を返すことで、環境依存型のマルウェアを効率よく解析するシステムが開示されている。

Xu, Zhaoyan, et al. "GOLDENEYE: Efficiently and Effectively Unveiling Malware's Targeted Environment." Research in Attacks, Intrusions and Defenses. Springer International Publishing, 2014. 22-45.

従来技術においては、ＡＰＩが返す値を変えることで、マルウェアに攻撃対象の環境だと錯覚させてマルウェア解析を行っている。しかし、ある特定のアプリケーションの脆弱性をつくマルウェアや、前提ファイルがないと稼働しないマルウェアの解析を行うことができない。

そこで本発明の目的は、確実なマルウェア解析を可能とする技術を提供することを目的とする。

上記課題を解決する本発明のマルウェア解析装置は、マルウェアが実行された実行環境から、前記マルウェアの実行に係るログを受信する受信処理と、受信した前記ログに基づいて前記マルウェアが活動した度合いを示す活性度を判断する活性度判定処理と、前記活性度に応じて前記実行環境を再構築する環境構築処理を実行する演算装置を備えることを特徴とする。

また、本発明のマルウェア解析方法は、コンピュータ装置が、マルウェアが実行された実行環境から、前記マルウェアの実行に係るログを受信する受信処理と、受信した前記ログに基づいて前記マルウェアが活動した度合いを示す活性度を判断する活性度判定処理と、前記活性度に応じて前記実行環境を再構築する環境構築処理と、を実行することを特徴とする。

本発明によれば、確実なマルウェア解析が可能となる。

本発明の実施形態に係るマルウェア解析装置の構成例を示す図である。 本発明の実施形態に係る解析環境データの一例を示す図である。 本発明の実施形態に係るファイルデータの一例を示す図である。 本発明の実施形態に係る解析結果データの一例を示す図である。 本発明の実施形態に係る活動ログの一例を示す図ある。 本発明の実施形態に係る判定ルールデータの一例を示す図ある。 本発明の実施形態に係る構築ルールデータの一例を示す図ある。 本発明の実施形態に係るマルウェア解析処理を示すフロー図である。 本発明の実施形態に係る活性度算出処理を示すフロー図である。 本発明の実施形態に係る稼働条件特定処理を示すフロー図である。 本発明の実施形態に係る解析環境構築処理を示すフロー図である。 本発明の実施形態に係る稼働条件表示画面の一例を示す図である。

−−−概念−−−

マルウェアの挙動を解析するためには、マルウェアを解析環境上で稼働させ、どのような通信をおこなうのか、また、解析環境の内部資源にどのような影響を与えるのかを記録する。マルウェアによっては、インターネットへの接続が確認できないと、稼働を停止してしまうものもあり、このようなマルウェアの解析を行う場合には、解析環境をインターネットと接続させてマルウェア解析を行わなければならない。また、マルウェアが稼働するために必要となる前提ファイルが存在しなければ活動を停止するマルウェアも存在する。

そこで本実施形態では、マルウェアを解析環境で実行したときの解析ログを基にマルウェアが稼働する条件を明らかにし、当該条件を満たす解析環境を構築し、マルウェアを再解析する。以下、この点に着目し、マルウェアの活性度算出処理、稼働条件特定処理、解析環境構築処理について説明するものとする。
−−−構成−−−

図１は、本発明の実施例１に係るマルウェア解析装置１０１の構成例を示す図である。実施形態に係るマルウェア解析装置１０１には、マルウェアを実行する解析環境１１８と、ダミーサーバ１１９と、がネットワーク１２０を介して接続される。また、ネットワーク１２０にはインターネット１２１が接続される。

マルウェア解析装置１０１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１０３と、ＣＰＵ１０３が処理を実行するために必要なデータを格納するためのメインメモリ１０４と、大量のデータを記憶する容量を持つハードディスクやフラッシュメモリなどの記憶装置１０５と、他装置と通信を行なうためのＩＦ（インタフェース）１０２と、キーボード、ディスプレイなどの入出力を行うための入出力装置１０６と、これら
の各装置を接続する通信路１０７と、を備えたコンピュータである。なお、通信路１０７は、例えば、バスやケーブルなどの情報伝達媒体である。

ＣＰＵ１０３は、メインメモリ１０４に格納された解析プログラム１０８を実行することにより、マルウェアの解析を行い、活性度判定プログラム１０９を実行することにより、マルウェアの活動状態の判定を行い、条件特定プログラム１１０を実行することにより、マルウェアの稼働を阻害する阻害要因を特定し、環境構築プログラム１１１を実行することにより、阻害要因を取り除いた解析環境１１８を構築し、結果表示プログラム１１２を実行することにより、マルウェアの解析結果を表示する。なお、活性度とは、マルウェアがどの程度活発に活動したかを表す指標である。また、以下の説明では、プログラムを実行することにより実現される機能もプログラムと表記する。

解析プログラム１０８は、ネットワーク１２０ｂを介して、解析環境１１８にマルウェア解析命令を送信する。環境構築プログラム１１１は、ネットワーク１２０ｂを介して、解析環境１１８または、ダミーサーバ１１９に環境構築命令を送信する。

記憶装置１０５には、解析環境１１８の構成を示す解析環境データ１１３、解析環境１１８または、インターネットから取得したファイルを示すファイルデータ１１４、マルウェアの解析結果を示す解析結果データ１１５、稼働条件を特定するルールを示す判定ルールデータ１１６、解析環境１１８を構築する手順を示す構築ルールデータ１１７が格納されている。

上記の各プログラムやデータは、あらかじめメモリ１０４または記憶装置１０５に格納されていてもよいし、必要な時に、入出力装置１０６からまたは、ＩＦ１０２を介して他の装置から、インストール（ロード）されても良い。

解析環境１１８は、ＣＰＵと、ＣＰＵが処理を実行するために必要なデータを格納するためのメインメモリと、大量のデータを記憶する容量を持つハードディスクやフラッシュメモリなどの記憶装置と、他装置と通信を行うためのＩＦと、キーボード、ディスプレイなどの入出力を行うための入出力装置と、これらの各装置を接続する通信路と、を備えたコンピュータである。なお、解析環境１１８のハードウェア構成はマルウェア解析装置１０１と同様であるため図１では省略している。さらに、解析環境１１８には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）や、文書閲覧ソフト、文書作成ソフト、ブラウザなどのソフトウェアがインストールされている。解析環境１１８がどのようなＯＳやソフトウェアで構成されているかは、解析環境データ１１３で管理する。解析環境１１８で実行されるマルウェアは、ネットワーク１２０ｃを介して通信を行う。

解析環境１１８のメインメモリには、マルウェア解析プログラムと、環境構築プログラムが格納される。解析環境１１８がマルウェア解析装置１０１からマルウェア解析命令を受信すると、マルウェア解析プログラムがＣＰＵにより実行され、マルウェアの解析を実行する。マルウェアの実行が終了すると、マルウェア解析プログラムは、マルウェアの実行に関するログ（活動ログ）を、ネットワーク１２０ｂを介して、マルウェア解析装置に送信する。また、マルウェア解析装置１０１から環境構築命令を受信すると、環境構築プログラムが、解析環境１１８の再構築を行う。なお、解析環境１１８の再構築は、管理者が必要に応じて行っても良い。

ダミーサーバ１１９は、ＣＰＵと、ＣＰＵが処理を実行するために必要なデータを格納するためのメインメモリと、大量のデータを記録する容量を持つハードディスクやフラッシュメモリなどの記憶装置と、他装置と通信を行うためのＩＦと、キーボード、ディスプレイなどの入出力を行うための入力装置と、これらの各装置を接続する通信路と、を備え
たコンピュータである。なお、ダミーサーバ１１９のハードウェア構成もマルウェア解析装置１０１と同様であるため図１では省略している。ダミーサーバ１１９のメインメモリには、ある特定のプロトコル（例えば、ＨＴＴＰ（Ｈｙｐｅｒｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、ＩＭＡＰ（Ｉｎｔｅｒｎｅｔ Ｍｅｓｓａｇｅ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）、ＩＲＣ（Ｉｎｔｅｒｎｅｔ Ｒｅｌａｙ Ｃｈａｔ）、ＳＭＴＰ（Ｓｉｍｐｌｅ Ｍａｉｌ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、Ｔｅｌｎｅｔ、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）、ＰＯＰ（Ｐｏｓｔ Ｏｆｆｉｃｅ Ｐｔｏｒｏｃｏｌ）、ＬＤＡＰ（Ｌｉｇｈｔｗｅｉｇｈｔ Ｄｉｒｅｃｔｏｒｙ Ａｃｃｅｓｓ Ｐｒｏｔｏｃｏｌ）、ＣＩＦＳ（Ｃｏｍｍｏｎ Ｉｎｔｅｒｎｅｔ Ｆｉｌｅ Ｓｙｓｔｅｍ）など）に対して疑似的な応答を返すダミーサーバプログラムが格納されている。例えば、解析環境１１８からのＨＴＴＰ通信要求が行われた場合、ダミーサーバプログラムは当該要求に対する応答を返す。また、ダミーサーバ１１９のメインメモリには、環境構築プログラムが格納されており、マルウェア解析装置１０１から環境構築命令を受信すると、当該環境構築プログラムがダミーサーバ１１９の再構築を行う。なお、ダミーサーバ１１９の再構築は、管理者が必要に応じて行ってもよい。
−−−データ構成−−−

図２は、解析環境データ１１３の一例を示す図である。図２に示すように、解析環境データ１１３は、解析環境ＩＤ２０１と、環境２０２と、ＯＳ２０３と、ＣＰＵ２０４と、言語２０５と、アプリ２０６と、設定２０７と、ファイル２０８と、を含んで構成される。なお、アプリ２０６、設定２０７、ファイル２０８は、必要に応じて複数の列から構成されても良い。

解析環境ＩＤ２０１は、解析環境を一意に識別できる情報を表す。なお、解析環境ＩＤ２０１は、後述する、ファイルデータ１１４の取得環境及び、解析結果データ１１５の解析環境に格納される情報を表している。

環境２０２は、解析環境の環境を表す。例えば、環境２０２が「仮想」の場合は、解析環境が、仮想マシンで構築されていることを、環境が「物理」の場合は、解析環境が、物理端末上に構築されていることを表す。

ＯＳ２０３は、解析環境にインストールされているＯＳを表し、ＣＰＵ２０４は、解析環境のＣＰＵアーキテクチャを、言語２０５は、インストールされているＯＳの言語を表す。アプリ２０６は、解析環境にインストールされているアプリケーションを、設定２０７は、解析環境の設定を、ファイル２０８は解析環境に設置されているファイルを表す。

図２の例では、解析環境ＩＤ２０１が「解析環境１」、環境２０２が「物理」、ＯＳ２０３が「ＯＳＡ」、ＣＰＵ２０４が「３２ｂｉｔ」、言語２０５が「日本語」、アプリ１２０６ａが「文書作成ソフトＡ」、アプリ２２０６ｂが「ＷＥＢブラウザＡ」、設定１２０７ａが「ｕｓｅｒ＝ｇｕｅｓｔ」、設定２２０７ｂが「ＰＣ＝ｄｅｖＰＣ」の解析環境データは、解析環境１が、物理マシン上に構築されており、そのＯＳはＯＳＡ、ＣＰＵアーキテクチャは３２ｂｉｔ、ＯＳの言語環境は日本語で、文書作成ソフトＡ、ＷＥＢブラウザＡがインストールされており、ｕｓｅｒ名はｇｕｅｓｔ、ＰＣ名はｄｅｖＰＣであることを示す。

図３は、ファイルデータ１１４の一例を示す図である。図３に示すように、ファイルデータ１１４は、ファイルＩＤ３０１と、ファイル名３０２と、ハッシュ値３０３と、取得日時３０４と、取得環境３０５と、を含んで構成される。

ファイルＩＤ３０１は、ファイルを一意に識別できる情報を表し、ファイル名３０２はファイル名を表す。

ハッシュ値３０３は、ファイルから算出する識別子であり、例えば、ＭＤ５（Ｍｅｓｓａｇｅ Ｄｉｇｅｓｔ Ａｌｇｏｒｉｔｈｍ ５）などにより算出された値を表す。

取得日時３０４は、ファイルを取得した日時であり、取得環境３０５は、ファイルを取得した環境を表す。なお、取得環境３０５には、解析環境１１８で生成されたファイルの情報を格納する場合は、解析環境１１８の解析環境ＩＤ２０１が格納され、インターネットから取得した場合は、取得してきたＷＥＢサイトの情報（例えば「ＷＥＢサイトＡ」）が格納される。

図３の例では、ファイルＩＤ３０１が「１」、ファイル名３０２が「ＦｉｌｅＡ．ｅｘｅ」、ハッシュ値３０３が「０００００００００１」、取得日時３０４が「２０１５／０１／０１ ００：００：００」、取得環境３０４が「解析環境１」のファイルデータは、ファイル名ＦｉｌｅＡ．ｅｘｅ（ハッシュ値が０００００００００１）のファイルが、２０１５／０１／０１ ００：００：００に、解析環境１から取得されたことを表す。なお、ファイル自体は、記憶装置１０５に格納されている。

図４は、解析結果データ１１５の一例を示す図である。図４に示すように、解析結果データ１１５は、解析結果ＩＤ４０１と、解析日時４０２と、解析環境４０３と、活動ログ４０４と、通信ログ４０５と、画像ログ４０６と、を含んで構成される。

解析結果ＩＤ４０１は、解析結果データを一意に識別できる情報を表す。

解析日時４０２は、解析環境１１８でマルウェアを解析した日時を、解析環境４０３は、マルウェアを解析した時の解析環境１１８の環境（解析環境ＩＤ２０１）を表す。

活動ログ４０４は、解析環境１１８でマルウェアを解析した際に取得された活動ログを格納したファイル名を、通信ログ４０５は、マルウェアを解析した際に取得された通信ログを格納したファイル名を、画像ログ４０６は、マルウェアを解析した際の解析環境１１８の画面取得ログを格納したファイル名を表す。なお、上記ファイルはそれぞれ記憶装置１０５に格納されている。画像ログは、例えば、解析画面をある一定の間隔（例えば５秒）で取得したものである。なお、活動ログ４０４は、図５を用いて後述する。

図４の例では、解析結果ＩＤ４０１が「１」、解析日時４０２が「２０１５／０１／０１ ００：００：００」、解析環境４０３が「解析環境１」、活動ログ４０４が「１．ｔｘｔ」、通信ログ４０５が「１．ｐｃａｐ」、画像ログ４０６が「１＿１．ｊｐｇ〜１＿５．ｊｐｇ」の解析結果データは、２０１５／０１／０１ ００：００：００に、解析環境１でマルウェア解析を行った際に取得した活動ログを、１．ｔｘｔというファイル名で、通信ログを１．ｐｃａｐというファイル名で、画像ログを１＿１．ｊｐｇ〜１＿５．ｊｐｇというファイル名で記憶装置１０５に格納していることを表す。

図５は、活動ログ４０４の一例を示す図である。図５に示すように、活動ログ４０４は、日時５０１と、タイプ５０２と、動作５０３と、対象５０４と、動作結果５０５と、を含んで構成される。

日時５０１は、ログが記録された日時を表し、タイプ５０２はログのタイプ（Ｐｒｏｃｅｓｓ、Ｆｉｌｅ、Ｒｅｇｉｓｔｒｙ、Ｎｅｔｗｏｒｋ等）を表す。操作５０３はタイプ５０２に関する動作（Ｓｔａｒｔ、Ｔｅｒｍｉｎａｔｅ、Ｃｒｅａｔｅ、Ｒｅａｄ、Ｗｒ
ｉｔｅ、Ｄｅｌｅｔｅ、Ｓｅｔ、Ａｃｃｅｓｓ等）を表し、対象５０４は、操作５０３の対象を表す。さらに、動作結果５０５は、動作５０３の結果（Ｓｕｃｃｅｓｓ、Ｆａｉｌｕｒｅ等）を表す。

図５の例では、「２０１５／０１／０１ ００：００：００ Ｐｒｏｃｅｓｓ Ｓｔａｒｔ ｘｘｘ．ｅｘｅ Ｓｕｃｃｅｓｓ」の活動ログは、２０１５／０１／０１ ００：００：００に、ｘｘｘ．ｅｘｅのプロセスが正常に開始したことを表し、「２０１５／０１／０１ ００：００：１０ Ｆｉｌｅ Ｃｒｅａｔｅ ＦｉｌｅＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」の活動ログは、２０１５／０１／０１ ００：００：１０に、ＦｉｌｅＡ．ｅｘｅが正常に作成されたことを表す。また、「２０１５／０１／０１ ００：００：１１ Ｒｅｇｉｓｔｒｙ Ｓｅｔ ＨＫＬＭ￥ＳＯＦＴＷＡＲＥ￥ｘｘｘ￥Ｒｕｎ ＦｉｌｅＡ．ｅｘｅ Ｓｕｃｃｅｓｓ」の活動ログは、２０１５／０１／０１ ００：００：１１に、レジストリＨＫＬＭ￥ＳＯＦＴＷＡＲＥ￥ｘｘｘ￥Ｒｕｎに、ＦｉｌｅＡ．ｅｘｅが正常に設定されたことを表し、「２０１５／０１／０１ ００：００：１２ Ｎｅｔｗｏｒｋ ｈｔｔｐ：／／ｍａｌｗａｒｅ．ｃｏｍ Ｓｕｃｃｅｓｓ」の活動ログは、２０１５／０１／０１ ００：００：１２に、ｈｔｔｐ：／／ｍａｌｗａｒｅ．ｃｏｍへのネットワークアクセスに成功したことを表す。「２０１５／０１／０１ ００：００：１３ Ｐｒｏｃｅｓｓ Ｓｔａｒｔ ＦｉｌｅＢ．ｅｘｅ Ｆａｉｌｕｒｅ」の活動ログは、２０１５／０１／０１ ００：００：１３に、ＦｉｌｅＢ．ｅｘｅのプロセス開始に失敗したことを表す。

図６は、判定ルールデータ１１６の一例を示す図である。図６に示すように、判定ルールデータ１１６は、判定ルールＩＤ６０１と、種別６０２と、データ６０３と、を含んで構成される。

判定ルールＩＤ６０１は、判定ルールを一意に識別できる情報を表す。

種別６０２は、判定ルールが判定を行う際に利用するマルウェア解析結果データの種類を表している。例えば、種別６０２が「ホスト」であれば、ネットワークアクセスを行ったホストを判定ルールとして利用することを表し、種別６０２が「ウインドウ」であれば、解析環境１１８で起動されたウインドウの名前を判定ルールとして利用することを表し、種別６０２が「レジストリ」であれば、レジストリの操作ログを判定ルールとして利用することを表す。

データ６０３は、マルウェア解析結果データのログと比較する情報を表す。例えば、「ｈｔｔｐ：／／ｍａｌｗａｒｅ．ｃｏｍ」のデータ６０３であれば、マルウェアの活動ログの情報を、ｈｔｔｐ：／／ｍａｌｗａｒｅ．ｃｏｍと比較する。

図６の例では、判定ルールＩＤ６０１が「１」、種別６０２が「ホスト」、データ６０３が「ｈｔｔｐ：／／ｍａｌｗａｒｅ．ｃｏｍ」の判定ルールは、マルウェア活動ログ４０４にｈｔｔｐ：／／ｍａｌｗａｒｅ．ｃｏｍへのネットワークアクセスがあった場合に、当該マルウェアが稼動したと判定するルールである。なお、マルウェア活動ログ４０４の代わりに、通信ログ４０５や、画像ログ４０６のログをもとに稼動判定してもよい。

例えば、判定ルールＩＤが「４」、種別６０２が「プロセス」、データ６０３が「Ｃ：￥ＰｒｏｇｒａｍＦｉｌｅｓ￥文書作成ソフトＡ．ｅｘｅ」の判定ルールは、マルウェア活動ログ４０４に、Ｃ：￥ＰｒｏｇｒａｍＦｉｌｅｓ￥文書作成ソフトＡ．ｅｘｅのプロセス情報があった場合に、当該マルウェアが稼動したと判定する。

判定ルールデータ１１６は、マルウェアが稼動したかどうかを判定するためのものであ
り、例えば、自動起動設定へのレジストリアクセスや、スリーププロセスの起動、システムディレクトリへの実行ファイル書き込みや、ネットワークアクセス等、マルウェアが行う動作に関するルールを格納しておく。

なお、判定ルールデータ１１６の各情報は、管理者が必要に応じて、入力または更新しても良い。

判定ルールデータ１１６は、ＣＰＵ１０３により実行される活性度判定プログラム１０９が、マルウェアが稼動したかどうかを判定するための活性度を算出する際に利用される。活性度判定プログラム１０９の具体的な処理については、図９を用いて後述する。

図７は、構築ルールデータ１１７の一例を示す図である。図７に示すように、構築ルールデータ１１７は、構築ルールＩＤ７０１と、種別７０２と、データ７０３と、ルール７０４と、を含んで構成される。

構築ルールＩＤ７０１は、構築ルールを一意に識別できる情報を表す。

種別７０２は、構築を行う際に利用するマルウェア解析結果データの種類を表している。例えば、種別７０２が「ファイル」であれば、解析結果データのファイルログに関する情報をもとに新たな解析環境１１８を構築することを表し、種別７０２が「ホスト」であれば、解析結果データのネットワークアクセスに関する情報をもとに新たな解析環境１１８を構築することを表す。

データ７０３は、マルウェア解析結果データのログと比較する情報を表す。例えば、データ７０３が「Ｃ：￥ＰｒｏｇｒａｍＦｉｌｅｓ￥文書作成ソフトＡ．ｅｘｅ」であれば、マルウェアの活動ログの情報を、Ｃ：￥ＰｒｏｇｒａｍＦｉｌｅｓ￥文書作成ソフトＡ．ｅｘｅと比較する。

ルール７０４は、解析環境１１８を再構築するための具体的な手順（再構築ルール）を表す。例えば、ルール７０４が「文書作成ソフトＡインストール」であれば、解析環境１１８に、文書作成ソフトＡをインストールすることを表す。

図７の例では、構築ルールＩＤ７０１が「１」、種別７０２が「ファイル」、データ７０３が「Ｃ：￥ＰｒｏｇｒａｍＦｉｌｅｓ￥文書作成ソフトＡ．ｅｘｅ」、ルール７０４が「文書作成ソフトＡインストール」の構築ルールは、マルウェア活動ログ４０４に、Ｃ：￥ＰｒｏｇｒａｍＦｉｌｅｓ￥文書作成ソフトＡ．ｅｘｅに関するファイル操作の結果が「Ｆａｉｌｕｒｅ」と記録されていた場合に、文書作成ソフトＡをインストールした解析環境１１８を構築することを表す。これは、文書作成ソフトＡがインストールされていないことが、マルウェアの活動を阻害する要因であることを表す。

また、構築ルールＩＤ７０１が「２」、種別７０２が「ファイル」、データ７０３が「Ｃ：￥Ｓｙｓｔｅｍ３２￥ＯＳＢ．ｄｌｌ」、ルール７０４が「ＯＳＢ構築」の構築ルールは、マルウェア活動ログ４０４に、Ｃ：￥Ｓｙｓｔｅｍ３２￥ＯＳＢ．ｄｌｌに関するファイル操作の結果が「Ｆａｉｌｕｒｅ」と記録されていた場合に、ＯＳＢ．ｄｌｌをインストールした解析環境１１８を構築することを表す。ＯＳＢ．ｄｌｌがＯＳＢにしか存在しないファイルである場合、マルウェアがＯＳＢ．ｄｌｌに関するファイル操作をしようとしていることより、当該マルウェアはＯＳＢで動くマルウェアである可能性が高いと言える。換言すれば、ＯＳＢがインストールされていないことが、マルウェアの活動を阻害する要因であることを表す。

例えば、構築ルールＩＤ７０１が「５」、種別７０２が「レジストリ」、データ７０３が「ＨＫＬＭ￥ＳＯＦＴＷＡＲＥ￥Ｃｌａｓｓｅｓ￥．ｐｄｆ」、ルール７０４が「文書閲覧ソフトＡインストール」である構築ルールは、マルウェア活動ログ４０４に、ＨＫＬＭ￥ＳＯＦＴＷＡＲＥ￥Ｃｌａｓｓｅｓ￥．ｐｄｆに関するレジストリ操作が「Ｆａｉｌｌｕｒｅ」と記録されていた場合に、文書閲覧ソフトＡをインストールした解析環境１１８を構築することを表す。これは、拡張子がｐｄｆのファイルに関連付けられたアプリケーションを取得することに失敗していることを表しており、これより、マルウェアが稼動するためには、拡張子がｐｄｆであるファイルを操作するために必要となるアプリケーション（例えば、文書閲覧ソフトＡまたは、文書閲覧ソフトＢ）が必要となることを表す。換言すれば、アプリケーションがインストールされていないことが、マルウェアの活動を阻害する要因であることを表す。

例えば、構築ルールＩＤ７０１が「９」、種別７０２が「レジストリ」、データ７０３が「ＨＫＬＭ￥ＶｉｒｔｕａｌＭａｃｈｉｎｅ￥Ｐａｒａｍｅｔｅｒｓ」、ルール７０４が「仮想環境構築」である構築ルールは、マルウェア活動ログ４０４に、ＨＫＬＭ￥ＶｉｒｔｕａｌＭａｃｈｉｎｅ￥Ｐａｒａｍｅｔｅｒｓに関するレジストリ操作が「Ｆａｉｌｌｕｒｅ」と記録されていた場合に、仮想環境の解析環境１１８を構築することを表す。これは、マルウェアが、仮想環境に関する情報の収集に失敗していることを表しており、これより、マルウェアが稼動するためには、仮想環境が必要となることを表す。換言すれば、仮想環境でないことが、マルウェアの活動を阻害する要因であることを表す。

例えば、構築ルールＩＤ７０１が「１０」、種別７０２が「レジストリ」、データ７０３が「ＨＫＬＭ￥ＳＹＳＴＥＭ￥Ｅｎｖｉｒｏｎｍｅｎｔ￥ＡＲＣＨＩＴＥＣＴＵＲＥ￥ｘ８６」、ルール７０４が「３２ｂｉｔ環境構築」である構築ルールは、マルウェア活動ログ４０４に、ＨＫＬＭ￥ＳＹＳＴＥＭ￥Ｅｎｖｉｒｏｎｍｅｎｔ￥ＡＲＣＨＩＴＥＣＴＵＲＥ￥ｘ８６に関するレジストリ操作が「Ｆａｉｌｌｕｒｅ」と記録されていた場合に、３２ｂｉｔ環境の解析環境１１８を構築することを表す。これは、マルウェアが、３２ｂｉｔのＣＰＵに関する情報の収集に失敗していることを表しており、これより、マルウェアが稼動するためには、３２ｂｉｔ環境が必要となることを表す。換言すれば、３２ｂｉｔ環境でないことが、マルウェアの活動を阻害する要因であることを表す。

なお、構築ルールデータ１１７の各情報は、管理者が必要に応じて、入力または更新しても良い。

構築ルールデータ１１７は、ＣＰＵ１０３により実行される環境構築プログラム１１１が、解析環境１１８の環境構築命令を送信する際に利用される。環境構築プログラム１１１の具体的な処理については、図１１を用いて後述する。
−−−処理フローの例１−−−

続いて、マルウェア解析装置１０１の解析プログラム１０８が、解析環境１１８に対してマルウェアの解析命令を送信し、解析環境１１８より受信した解析結果データに対して、活性度判定プログラム１０９がマルウェアの活性状態を判定し、条件特定プログラム１１０がマルウェアの阻害要因を特定し、環境構築プログラム１１１が阻害要因を除外した解析環境を構築し、結果表示プログラム１１２がマルウェアの解析結果を表示する処理について説明する。

図８は、マルウェア解析装置１０１の解析プログラム１０８の処理を示すフローチャートである。図８に示すように、マルウェアの解析を行なう解析プログラム１０８は、ＣＰＵ１０３により実行され、解析環境１１８に対してマルウェアの解析命令を、ＩＦ１０２aを介してネットワーク１２０ｂに送信する（ステップ８０１）。解析環境１１８は、マ
ルウェア解析装置１０１からのマルウェア解析命令を受信すると、マルウェアの解析を行い、その解析結果と、マルウェア解析中に解析環境１１８で生成されたファイルとを、ネットワーク１２０ｂを介してマルウェア解析装置１０１に送信する。

解析プログラム１０８は、解析環境１１８から受信したマルウェアの解析結果を解析結果データ１１５に格納する（ステップ８０２）。

解析プログラム１０８は、解析環境１１８から受信した、解析環境１１８で生成されたファイルを、ファイルデータ１１４に格納する（ステップ８０３）。

解析プログラム１０８は、活性度判定プログラム１０９を起動し、解析環境１１８のマルウェア活性度を判定する（ステップ８０４）。この時、解析プログラム１０８は、ステップ８０２で受信したマルウェアの解析結果を活性度判定プログラム１０９に送信する。なお、マルウェアの活性状態を判定する活性度判定プログラム１０９の処理については、図９を用いて後述する。

解析プログラム１０８は、活性度判定プログラム１０９が算出した活性度がある閾値（例えば０．８）以上であればステップ８０８に進み、ある閾値より小さければステップ８０６に進む（ステップ８０５）。

解析プログラム１０８は、条件特定プログラム１１０を起動し、マルウェアの稼動を阻害する阻害要因の特定を行う（ステップ８０６）。この時、解析プログラム１０８は、ステップ８０２で受信したマルウェアの解析結果を条件特定プログラム１１０に送信する。なお、阻害要因の特定を行う、条件特定プログラム１１０の処理については、図１０を用いて後述する。

解析プログラム１０８は、環境構築プログラム１１１を起動し、阻害要因を取り除いた解析環境１１８の構築を行う（ステップ８０７）。なお、環境構築プログラム１１１の処理については、図１１を用いて後述する。

解析プログラム１０８は、結果表示プログラム１１２を起動し、マルウェアの解析結果の表示を行い（ステップ８０８）、処理を終了する。なお、結果表示プログラム１１２による解析結果の表示については、図１２を用いて後述する。

なお、ステップ８０５において、活性度が閾値以上の場合に解析結果を表示して処理を終了するが、繰り返し回数がある一定値を超えた場合に、解析結果を表示して処理を終了してもよい。
−−−処理フローの例２−−−

図９は、解析環境１１８で実行されたマルウェアの活性状態を判定する、活性度判定プログラム１０９の処理を示すフローチャートである。図９に示すように、活性度判定プログラム１０９は、ＣＰＵ１０３により実行され、マルウェアの解析結果を解析プログラム１０８より受信すると、活性度を０として初期化した後、活性度の算出処理を開始する（ステップ９０１）。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４のネットワークアクセス回数を算出し、ある閾値（例えば１）以上であればステップ９０３に進み、ある閾値よりも少なければ、ステップ９０４に進む（ステップ９０２）。

活性度判定プログラム１０９は、活性度に０．１を加算する（ステップ９０３）。

活性度判定プログラム１０９は、画像ログ４０６の画像変化回数を算出し、ある閾値（例えば２）以上であればステップ９０５に進み、ある閾値より少なければ、ステップ９０６に進む（ステップ９０４）。なお、例えば、ある閾値以上の変化（画像の８０％以上画素で変化が起きた場合等）が起きた場合に画像が変化したとして検出する。

活性度判定プログラム１０９は、活性度に０．１を加算する（ステップ９０５）。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４のプロセス操作回数を算出し、ある閾値（例えば２）以上であればステップ９０７に進み、ある閾値よりも少なければ、ステップ９０８に進む（ステップ９０６）。

活性度判定プログラム１０９は、活性度に０．１を加算する（ステップ９０７）。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４のレジストリ操作回数を算出し、ある閾値（例えば２）以上であればステップ９０９に進み、ある閾値よりも少なければ、ステップ９１０に進む（ステップ９０８）。

活性度判定プログラム１０９は、活性度に０．１を加算する（ステップ９０９）。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４のファイル操作回数を算出し、ある閾値（例えば２）以上であればステップ９１１に進み、ある閾値よりも少なければ、ステップ９１２に進む（ステップ９１０）。

活性度判定プログラム１０９は、活性度に０．１を加算する（ステップ９１１）。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４からネットワークアクセス先のホストを取得し、判定ルールデータ１１６の種別６０２が「ホスト」であるデータ６０３に、該当するホストが記載されていないか比較を行う。データ６０３に該当するホストが、記載されている場合は、ステップ９１３に進み、記載されていない場合は、ステップ９１４に進む（ステップ９１２）。

活性度判定プログラム１０９は、活性度に０．１を加算する（ステップ９１３）。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４から生成されたウインドウのタイトルを取得し、判定ルールデータ１１６の種別６０２が「ウインドウ」であるデータ６０３に、該当するウインドウ名が記載されていないか比較を行う。データ６０３に該当するウインドウ名が、記載されている場合は、ステップ９１５に進み、記載されていない場合は、ステップ９１６に進む（ステップ９１４）。

活性度判定プログラム１０９は、活性度に０．１を加算する（ステップ９１５）。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４から操作されたプロセス名を取得し、判定ルールデータ１１６の種別６０２が「プロセス」であるデータ６０３に、該当するプロセス名が記載されていないか比較を行う。データ６０３に該当するプロセス名が、記載されている場合は、ステップ９１７に進み、記載されていない場合は、ステップ９１８に進む（ステップ９１６）。

活性度判定プログラム１０９は、活性度に０．１を加算する（ステップ９１７）。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４から操作されたレジストリ名を取得し、判定ルールデータ１１６の種別６０２が「レジストリ」であるデータ６０３に、該当するレジストリ名が記載されていないか比較を行う。データ６０３に該当するレジストリ名が、記載されている場合は、ステップ９１９に進み、記載されていない場合は、ステップ９２０に進む（ステップ９１８）。

活性度判定プログラム１０９は、活性度に０．１を加算する（ステップ９１９）。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４から操作されたファイル名を取得し、判定ルールデータ１１６の種別６０２が「ファイル」であるデータ６０３に、該当するファイル名が記載されていないか比較を行う。データ６０３に該当するファイル名が、記載されている場合は、ステップ９２１に進み、記載されていない場合は処理を終了する（ステップ９２０）。

活性度判定プログラム１０９は、活性度に０．１を加算し、処理を終了する（ステップ９２１）。

なお、本実施形態では、活性度に０．１を加算する場合を説明したが、処理ごとで加算する活性度の値を変更してもよい。

また、本実施形態では、操作結果が「Ｓｕｃｃｅｓｓ」でも「Ｆａｉｌｕｒｅ」でも操作回数として算出したが、例えば、操作結果が「Ｓｕｃｃｅｓｓ」の操作だけを操作回数としてもよい。
−−−処理フローの例３−−−

図１０は、マルウェアの稼動を阻害する阻害要因を特定する、条件特定プログラム１１０の処理を示すフローチャートである。図１０に示すように、条件特定プログラム１１０は、ＣＰＵ１０３により実行され、マルウェアの解析結果を解析プログラム１０８より受信すると、判定処理を開始する（ステップ１００１）。

条件特定プログラム１１０は、マルウェアの活動ログ４０４を調査し、ファイル操作の操作結果が「Ｆａｉｌｕｒｅ」であった場合に、ステップ１００３に進み、ファイル操作でない、或いは、ファイル操作の結果が「Ｓｕｃｃｅｓｓ」の場合にステップ１００４に進む（ステップ１００２）。

条件特定プログラム１１０は、ステップ１００２で該当したファイル名を環境条件に追加する（ステップ１００３）。

条件特定プログラム１１０は、マルウェアの活動ログ４０４を調査し、プロセス操作の操作結果が「Ｆａｉｌｕｒｅ」であった場合に、ステップ１００５に進み、プロセス操作でない、或いは、プロセス操作の結果が「Ｓｕｃｃｅｓｓ」の場合にステップ１００６に進む（ステップ１００４）。

条件特定プログラム１１０は、ステップ１００４で該当したプロセス名を環境条件に追加する（ステップ１００５）。

条件特定プログラム１１０は、マルウェアの活動ログ４０４を調査し、レジストリ操作の操作結果が「Ｆａｉｌｕｒｅ」であった場合に、ステップ１００７に進み、レジストリ操作でない、或いは、レジストリ操作の結果が「Ｓｕｃｃｅｓｓ」の場合にステップ１００８に進む（ステップ１００６）。

条件特定プログラム１１０は、ステップ１００６で該当したレジストリ名を環境条件に追加する（ステップ１００７）。

条件特定プログラム１１０は、マルウェアの活動ログ４０４を調査し、ネットワーク操作の操作結果が「Ｆａｉｌｕｒｅ」であった場合に、ステップ１００９に進み、ネットワーク操作でない、或いは、ネットワーク操作の結果が「Ｓｕｃｃｅｓｓ」の場合にステップ１０１０に進む（ステップ１００８）。

条件特定プログラム１１０は、ステップ１００８で該当したネットワークアクセス先のホスト名を環境条件に追加する（ステップ１００９）。

条件特定プログラム１１０は、すべての活動ログを処理した場合は、処理を終了し、取得していない活動ログがある場合にステップ１００１に進む（ステップ１０１０）。

なお、本実施形態では、活動ログ４０４を一行ずつ処理する場合について記載したが、複数行の活動ログを一括で処理を行ってもよい。
−−−処理フローの例４−−−

図１１は、マルウェアの稼動を阻害する阻害要因を除外した解析環境１１８を構築する、環境構築プログラム１１１の処理を示すフローチャートである。図１１に示すように、環境構築プログラム１１１は、ＣＰＵ１０３により実行され、環境条件を条件特定プログラム１１０より受信すると、環境構築処理を開始する（ステップ１１０１）。

環境構築プログラム１１１は、ステップ１１０１で取得した環境条件の種別がファイル名または、プロセス名であれば、ステップ１１０３に進み、そうでない場合はステップ１１０８に進む（ステップ１１０２）。

環境構築プログラム１１１は、ステップ１１０１で取得した環境条件のファイル名またはプロセス名と、ファイルデータ１１４に格納されたファイル名３０２とを比較し、該当するファイル名３０２が存在すれば、ステップ１１０５に進み、該当するファイル名３０２が存在しなければ、ステップ１１０４に進む（ステップ１１０３）。

環境構築プログラム１１１は、ネットワーク１２０ｂを介してインターネット１２１ａに接続し、ステップ１１０１で取得した環境条件に含まれる、ファイル名またはプロセス名と一致するファイルの検索を行い、該当するファイルが存在する場合は、ファイルデータ１１４に当該ファイルを格納し、ステップ１１０５に進み、該当するファイルが存在しない場合は、ステップ１１０６に進む（ステップ１１０４）。

環境構築プログラム１１１は、ファイルデータ１１４より、当該ファイルを取得し、解析環境１１８に対して、当該ファイルを配置した解析環境の構築命令を送信する。また、環境構築プログラム１１１は、当該ファイル名または、プロセス名と、構築ルールデータ１１７のデータ７０３と、を比較し、該当する構築ルールが存在する場合には、解析環境１１８に対して、当該構築ルールのルール７０４の構築命令を送信する（ステップ１１０５）。

なお、構築命令を受信した解析環境１１８は、当該構築命令に従って新たな解析環境を構築するが、この時、既存の環境を再構築してもよいし、既存の環境を残したまま、新たな解析環境を構築してもよい。

環境構築プログラム１１１は、ネットワーク１２０ｂを介してインターネット１２１ａに接続し、ステップ１１０１で取得した環境条件に含まれる、ファイル名または、プロセス名に関するマルウェア解析の結果の検索を行う。当該ファイル名または、プロセス名に該当するマルウェア解析結果が存在した場合は、ステップ１１０７に進み、存在しない場合は、ステップ１１０８に進む（ステップ１１０６）。

環境構築プログラム１１１は、ステップ１１０６で取得したマルウェア解析結果を、解析結果データ１１５に格納する（ステップ１１０７）。

環境構築プログラム１１１は、ステップ１１０１で取得した環境条件の種別がレジストリであればステップ１１０９に進み、レジストリでなければステップ１１１０に進む（ステップ１１０８）。

環境構築プログラム１１１は、解析環境１１８に対して、当該レジストリ名を作成した解析環境の構築命令を送信する。また、環境構築プログラム１１１は、当該レジストリ名と、構築ルールデータ１１７のデータ７０３と、を比較し、該当する構築ルールが存在する場合には、解析環境１１８に対して、当該構築ルールのルール７０４の構築命令を送信する（ステップ１１０９）。

環境構築プログラム１１１は、ステップ１１０１で取得した環境条件の種別がホストであればステップ１１１１に進み、ホストでなければステップ１１１２に進む（ステップ１１１０）。

環境構築プログラム１１１は、ダミーサーバ１１９に対して、当該ホストに対して擬似応答を返すような解析環境の構築命令を送信する。また、環境構築プログラム１１１は、当該ホスト名と、構築ルールデータ１１７のデータ７０３と、を比較し、該当する構築ルールが存在する場合には、解析環境１１８または、ダミーサーバ１１９に対して、当該構築ルールのルール７０４の構築命令を送信する（ステップ１１１１）。

環境構築プログラム１１１は、すべての環境条件を処理した場合は、処理を終了し、取得していない環境条件がある場合にステップ１１０１に進む（ステップ１１１２）。

なお、本実施形態では、環境条件を一行ずつ処理する場合について記載したが、複数行の環境条件を一括で処理を行ってもよい。また、環境条件を追加する処理（ステップ１００３、ステップ１００５、ステップ１００７、ステップ１００９）に変えて、環境構築プログラム１１２を開始してもよい。これにより、すべての活動ログ４０４を処理する前に環境構築を始めることが可能となる。

図１２は、マルウェア解析結果を表示する表示画面の一例である。図１２に示すように、マルウェア解析結果の表示画面は、マルウェアの解析環境ごとの活性度（図中１２０１）と、マルウェアの活動状況（図中１２０２）との内容を含んで構成される。なお、活動状況の表示画面では、解析結果データ１１５に含まれる複数の解析結果を併せて表示する。

活性度の表示では、マルウェアを解析した解析環境１１８の情報と、当該解析環境で取得された解析結果より、活性度判定プログラム１０９で算出した活性度と、を併せて表示する。なお、解析環境１１８の情報は、一部の情報に限って表示しても良い。

マルウェアの活動状況の表示では、マルウェアが生成したファイルや、ネットワーク接続先に関して表示する。なお、「解析環境２」での解析結果より、「検体Ａ」がホスト「
ｍａｌｗａｒｅ．ｃｏｍ」にアクセスし、「検体Ａ」が「ファイルＢ」を生成し、生成された「ファイルＢ」が「ファイルＣ」を生成し、生成された「ファイルＣ」がホスト「ｗｗｗ．ｘｘｘ．ｃｏｍ」にアクセスしていることが分かり、さらに、「外部サイトＡ」での「ファイルＣ」解析結果より、「ファイルＣ」がホスト「ｗｗｗ．ｙｙｙ．ｃｏｍ」にアクセスしていることが分かった場合を、図１２に例示している。

なお、表示画面には、活性度の高い、解析環境のみを表示してもよい。また、図１２では、ファイルの生成と、ネットワークアクセスに関して活動状況を例示したが、プロセス操作や、レジストリ操作に関しても活動状況に記載してもよい。また、過去に解析したマルウェアの解析結果を併せて表示してもよい。

ステップ９０１からステップ９２１及び、ステップ１００１からステップ１０１０、ステップ１１０１からステップ１１１２を含めたステップ８０１からステップ８０８までの処理の流れを、具体例を用いて説明する。例えば、ある不審ファイル（以下マルウェア）を解析するとする。また、解析環境１１８の環境は、解析環境データ１１８の解析環境ＩＤが「解析環境１」の環境であるとする。

解析プログラム１０８は、解析対象のマルウェアを解析環境１１８に送信すると同時に、マルウェアの解析命令を解析環境１１８に送信し、動的解析を開始する（ステップ８０１）。

解析プログラム１０８は、解析環境１１８からマルウェアの解析結果を受信すると、解析結果を解析結果データ１１５に格納する（ステップ８０２）。具体的には、解析環境１１８から、解析結果「１．ｔｘｔ」、通信ログ「１．ｐｃａｐ」、画像ログ「１＿１．ｊｐｇ〜１＿５．ｊｐｇ」を受信した場合、解析結果ＩＤ４０１に「１」を、解析日時４０２に「２０１５／０１／０１ ００：００：００」を、解析環境４０３に「解析環境１」を、活動ログ４０４に「１．ｔｘｔ」を、通信ログに「１．ｐｃａｐ」を、画像ログ４０６に「１＿１．ｊｐｇ〜１＿５．ｊｐｇ」を格納する。なお、各ファイルの本体は、記憶装置１０５に格納する。

解析プログラム１０８は、解析環境１１８から、マルウェア解析中に生成されたファイルを受信すると、受信したファイルをファイルデータ１１４に格納する（ステップ８０３）。具体的には、解析環境１１８で、ＦｉｌｅＡ．ｅｘｅ及びＦｉｌｅＢ．ｅｘｅが生成された場合、ファイルデータ１１４に、ファイルＩＤ３０１に「１」を、ファイル名３０２に「ＦｉｌｅＡ．ｅｘｅ」を、ハッシュ値３０３に「０００００００００１」を、取得日時３０４に、「２０１５／０１／０１ ００：００：００」を、取得環境３０５に「取得環境１」を格納する。なお、ＦｉｌｅＢに関しても同様にファイルデータ１１４にファイルの情報を格納する。この時、取得したファイルの本体は、記憶装置１０５に格納する。

解析プログラム１０８は、解析結果データの情報を活性度判定プログラム１０９に送信し、活性度の算出を行う（ステップ８０４）。具体的には、活動ログ４０４「１．ｔｘｔ」、通信ログ４０５「１．ｐｃａｐ」、画像ログ４０６「１＿１．ｊｐｇ〜１＿５．ｊｐｇ」の情報を、活性度判定プログラム１０９に送信する。

活性度判定プログラム１０９は、解析結果データを受信すると、活性度を０に初期化して、活性度判定処理を開始する（ステップ９０１）。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４のネットワークアクセス回数を算出し、ある閾値（例えば１）以上であればステップ９０３に進み、ある閾値より
も少なければステップ９０４に進む（ステップ９０２）。具体的には、活動ログ「１．ｔｘｔ」に含まれるネットワークアクセス回数は「１」であるため、ステップ９０３に進み、活性度は「０．１」となる。

活性度判定プログラム１０９は、画像ログ４０６の画像変化回数を算出し、ある閾値（例えば２）以上であればステップ９０５に進み、ある閾値より少なければステップ９０６に進む（ステップ９０４）。具体的には、画像ログ「１＿１．ｊｐｇ〜１＿５．ｊｐｇ」の変化回数を算出する。ここでは、説明を省略するが、画像変化回数が「０」だったとする。この時、活性度は「０．１」のままとなる。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４のプロセス操作回数を算出し、ある閾値（例えば２）以上であればステップ９０７に進み、ある閾値よりも少なければステップ９０８に進む（ステップ９０６）。具体的には、活動ログ「１．ｔｘｔ」に含まれるプロセス操作回数は「３」であるため、ステップ９０７に進み、活性度は「０．２」となる。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４のレジストリ操作回数を算出し、ある閾値（例えば２）以上であればステップ９０９に進み、ある閾値よりも少なければステップ９１０に進む（ステップ９０８）。具体的には、活動ログ「１．ｔｘｔ」に含まれるレジストリ操作回数は「１」であるため、活性度は「０．２」のままとなる。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４のファイル操作回数を算出し、ある閾値（例えば２）以上であればステップ９１１に進み、ある閾値よりも少なければステップ９１２に進む（ステップ９１０）。具体的には、活動ログ「１．ｔｘｔ」に含まれるファイル操作回数は「２」であるため、ステップ９１１に進み、活性度は「０．３」となる。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４からネットワークアクセス先のホストを取得し、判定ルールデータ１１６の種別６０２が「ホスト」であるデータ６０３に、該当するホストが記載されていないか比較を行う。データ６０３に該当するホストが、記載されている場合はステップ９１３に進み、記載されていない場合はステップ９１４に進む（ステップ９１２）。具体的には、活動ログ「１．ｔｘｔ」に含まれるネットワークアクセス先は「ｈｔｔｐ：／／ｍａｌｗａｒｅ．ｃｏｍ」であり、判定ルールデータ１１６に該当するホストが存在するため、ステップ９１３に進み、活性度は「０．４」となる。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４から生成されたウインドウのタイトルを取得し、判定ルールデータ１１６の種別６０２が「ウインドウ」であるデータ６０３に、該当するウインドウ名が記載されていないか比較を行う。データ６０３に該当するウインドウ名が、記載されている場合はステップ９１５に進み、記載されていない場合はステップ９１６に進む（ステップ９１４）。具体的には、活動ログ「１．ｔｘｔ」に含まれるウインドウを取得する。ここでは、ウインドウを表示するプロセスが存在していないため、活性度は「０．４」のままとなる。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４から操作されたプロセス名を取得し、判定ルールデータ１１６の種別６０２が「プロセス」であるデータ６０３に、該当するプロセス名が記載されていないか比較を行う。データ６０３に該当するプロセス名が、記載されている場合はステップ９１７に進み、記載されていない場合はステップ９１８に進む（ステップ９１６）。具体的には、活動ログ「１．ｔｘｔ」に含まれるプロセス名は「ｘｘｘ．ｅｘｅ、ＦｉｌｅＡ．ｅｘｅ、ＦｉｌｅＢ．ｅｘｅ」であり、判定ル
ールデータ１１６に該当するプロセスが存在しないため、活性度は「０．４」のままとなる。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４から操作されたレジストリ名を取得し、判定ルールデータ１１６の種別６０２が「レジストリ」であるデータ６０３に、該当するレジストリ名が記載されていないか比較を行う。データ６０３に該当するレジストリ名が、記載されている場合は、ステップ９１９に進み、記載されていない場合は、ステップ９２０に進む（ステップ９１８）。具体的には、活動ログ「１．ｔｘｔ」に含まれるレジストリ名は「ＨＫＬＭ￥ＳＯＦＴＷＡＲＥ￥ｘｘｘ￥Ｒｕｎ」であり、判定ルールデータ１１６に該当するレジストリが存在するため、ステップ９１９に進み、活性度は「０．５」となる。

活性度判定プログラム１０９は、マルウェアの活動ログ４０４から操作されたファイル名を取得し、判定ルールデータ１１６の種別６０２が「ファイル」であるデータ６０３に、該当するファイル名が記載されていないか比較を行う。データ６０３に該当するファイル名が、記載されている場合は、ステップ９２１に進み、記載されていない場合は処理を終了する（ステップ９２０）。具体的には、活動ログ「１．ｔｘｔ」に含まれるファイル名は「ＦｉｌｅＡ．ｅｘｅ、ＦｉｌｅＢ．ｅｘｅ」であり、判定ルールデータ１１６に該当するファイル名が存在しないため、活性度は「０．５」のままとなる。

解析プログラム１０８は、活性度判定プログラム１０９が算出した活性度がある閾値（例えば０．８）以上であればステップ８０８に進み、ある閾値より小さければステップ８０６に進む（ステップ８０５）。具体的には、活性度判定プログラム１０９が算出した活性度が「０．５」であるため、ステップ８０６に進む。

解析プログラム１０８は、条件特定プログラム１１０を起動し、マルウェアの稼動を阻害する阻害要因の特定を行う（ステップ８０６）。この時、解析プログラム１０８は、ステップ８０２で受信したマルウェアの解析結果を条件特定プログラム１１０に送信する。具体的には、活動ログ「１．ｔｘｔ」を条件特定プログラム１１０に送信する。

条件特定プログラム１１０は、解析結果を受信すると、条件特定処理を開始する（ステップ１００１）。具体的には、活動ログ「１．ｔｘｔ」に含まれる「２０１５／０１／０１ ００：００：００ Ｐｒｏｃｅｓｓ Ｓｔａｒｔ ｘｘｘ．ｅｘｅ Ｓｕｃｃｅｓｓ」をもとに条件特定処理を行う。

条件特定プログラム１１０は、マルウェアの活動ログ４０４を調査し、ファイル操作の操作結果が「Ｆａｉｌｕｒｅ」であった場合に、ステップ１００３に進み、ファイル操作でない、或いは、ファイル操作の結果が「Ｓｕｃｃｅｓｓ」の場合にステップ１００４に進む（ステップ１００２）。具体的には、ファイル操作でないため、ステップ１００４に進む。

条件特定プログラム１１０は、マルウェアの活動ログ４０４を調査し、プロセス操作の操作結果が「Ｆａｉｌｕｒｅ」であった場合に、ステップ１００５に進み、プロセス操作でない、或いは、プロセス操作の結果が「Ｓｕｃｃｅｓｓ」の場合にステップ１００６に進む（ステップ１００４）。具体的には、プロセス操作の結果が「Ｓｕｃｃｅｓｓ」であるため、ステップ１００６に進む。

条件特定プログラム１１０は、マルウェアの活動ログ４０４を調査し、レジストリ操作の操作結果が「Ｆａｉｌｕｒｅ」であった場合に、ステップ１００７に進み、レジストリ操作でない、或いは、レジストリ操作の結果が「Ｓｕｃｃｅｓｓ」の場合にステップ１０
０８に進む（ステップ１００６）。具体的には、レジストリ操作でないため、ステップ１００８に進む。

条件特定プログラム１１０は、マルウェアの活動ログ４０４を調査し、ネットワーク操作の操作結果が「Ｆａｉｌｕｒｅ」であった場合に、ステップ１００９に進み、ネットワーク操作でない、或いは、ネットワーク操作の結果が「Ｓｕｃｃｅｓｓ」の場合にステップ１０１０に進む（ステップ１００８）。具体的には、ネットワーク操作でないため、ステップ１０１０に進む。

条件特定プログラム１１０は、すべての活動ログを処理した場合は、処理を終了し、取得していない活動ログがある場合にステップ１００１に進む（ステップ１０１０）。具体的には、処理していない活動ログがあるため、ステップ１００１に進む。以下同様に活動ログから条件特定処理を行う。

例えば、図５に示された活動ログから算出される環境条件は、活動ログ「２０１５／０１／０１ ００：００：１３ Ｐｒｏｃｅｓｓ Ｓｔａｒｔ ＦｉｌｅＢ．ｅｘｅ Ｆａｉｌｕｒｅ」を処理した時に算出されるもので、この時、環境条件は、「種別：プロセス名、プロセス名：ＦｉｌｅＢ．ｅｘｅ」となる。

解析プログラム１０８は、環境構築プログラム１１１を起動し、阻害要因を取り除いた解析環境１１８の構築を行う（ステップ８０７）。

環境構築プログラム１１１は、ＣＰＵ１０３により実行され、環境条件を条件特プログラム１１０より受信すると、環境構築処理を開始する（ステップ１１０１）。具体的には、環境条件「種別：プロセス名、プロセス名：ＦｉｌｅＢ．ｅｘｅ」を受信し、環境構築処理を開始する。

環境構築プログラム１１１は、ステップ１１０１で取得した環境条件の種別がファイル名または、プロセス名であれば、ステップ１１０３に進み、そうでない場合はステップ１１０８に進む（ステップ１１０２）。具体的には、取得した環境条件の種別がプロセス名であるため、ステップ１１０３に進む。

環境構築プログラム１１１は、ステップ１１０１で取得した環境条件のファイル名またはプロセス名と、ファイルデータ１１４に格納されたファイル名３０２とを比較し、該当するファイル名３０２が存在すれば、ステップ１１０５に進み、該当するファイル名３０２が存在しなければ、ステップ１１０４に進む（ステップ１１０３）。具体的には、取得した環境条件のプロセス名「ＦｉｌｅＢ．ｅｘｅ」と、ファイルデータ１１４に格納されたファイル名３０２とを比較する。この時、「ＦｉｌｅＢ．ｅｘｅ」に該当するファイル名３０２が存在するため、ステップ１１０５に進む。

環境構築プログラム１１１は、ファイルデータ１１４より、当該ファイルを取得し、解析環境１１８に対して、当該ファイルを配置した解析環境の構築命令を送信する。また、環境構築プログラム１１１は、当該ファイル名または、プロセス名と、構築ルールデータ１１７のデータ７０３と、を比較し、該当する構築ルールが存在する場合には、解析環境１１８に対して、当該構築ルールのルール７０４の構築命令を送信する（ステップ１１０５）。具体的には、ファイルデータ１１４に存在する「ＦｉｌｅＢ．ｅｘｅ」を配置した解析環境の構築命令を送信する。この時、解析環境データ１１３に、新たな解析環境の環境データを格納する。具体的には、解析環境ＩＤ２０１に「解析環境２」、環境２０２に「物理」、ＯＳ２０３に「ＯＳＡ」、ＣＰＵ２０４に「３２ｂｉｔ」、言語２０５に「日本語」、アプリ１２０６ａに「文書作成ソフトＡ」、アプリ２２０６ｂに「ＷＥＢブラウ
ザＡ」、設定１２０７ａに「ｕｓｅｒ＝ｇｕｅｓｔ」、設定２２０７ｂに「ＰＣ＝ｄｅｖＰＣ」、ファイル２０８ａに「Ｃ：￥ＦｉｌｅＢ．ｅｘｅ」を格納する。

なお、構築ルールデータ１１７には、「ＦｉｌｅＢ．ｅｘｅ」に該当する構築ルールが存在しないため、構築ルールデータ１１７に関する構築命令は送信されない。

環境構築プログラム１１１は、ネットワーク１２０ｂを介してインターネット１２１ａに接続し、ステップ１１０１で取得した環境条件に含まれる、ファイル名または、プロセス名に関するマルウェア解析の結果の検索を行う。当該ファイル名または、プロセス名に該当するマルウェア解析結果が存在した場合は、ステップ１１０７に進み、存在しない場合は、ステップ１１０８に進む（ステップ１１０６）。この時、「ＦｉｌｅＢ．ｅｘｅ」に関するマルウェア解析結果は取得できなかったとする。

環境構築プログラム１１１は、ステップ１１０１で取得した環境条件の種別がレジストリであればステップ１１０９に進み、レジストリでなければステップ１１１０に進む（ステップ１１０８）。具体的には、環境条件の種別がレジストリでないため、ステップ１１１０に進む。

環境構築プログラム１１１は、ステップ１１０１で取得した環境条件の種別がホストであればステップ１１１１に進み、ホストでなければステップ１１１２に進む（ステップ１１１０）。具体的には、環境条件の種別がホストでないため、ステップ１１１２に進む。

環境構築プログラム１１１は、すべての環境条件を処理した場合は、処理を終了し、取得していない環境条件がある場合にステップ１１０１に進む（ステップ１１１２）。具体的にはすべての環境条件を処理したため、処理を終了する。

解析プログラム１０８は、新たに構築した解析環境ＩＤが「解析環境２」の解析環境１１８でマルウェアの再解析を行う。以下同様の処理を行うため、説明を省略する。

このように、本実施形態では、解析環境１１８で実行させたマルウェアがどれくらい活動したかを示す活性度を測定し、活性度に応じて解析環境１１８を再構築したうえで再度マルウェアを実行させて解析することができる。したがって、マルウェアが活動するような環境を整えることが可能となる。これにより、マルウェアの活動状況を確実に解析することができる。

また、本実施形態では、マルウェアが実行に失敗した処理を特定し、この処理が成功するように解析環境１１８を再構築している。すなわち、マルウェアの活動を阻害する阻害要因を取り除いて解析環境を再構築してマルウェアを実行させることができる。このようにして起動したマルウェアの解析を行うことで、マルウェアの活動状況を明らかにすることが可能となる。

また、本実施形態では、マルウェアによるファイルの操作数が閾値以上であるか否か（図９のステップ９１０）、および、マルウェアが特定のファイルに対して操作したか否か（図９のステップ９２０）に応じて活性度を判定している。したがって、ファイルの入出力を前提とするマルウェアの挙動を確実に把握することができる。また、この活性度が低い場合には、当該ファイル名が環境条件に追加され（図１０のステップ１００３）、これにより当該ファイルが作成されるように解析環境１１８が再構築される。したがって、マルウェアの活動の前提となるファイルが作成されるようになり、マルウェアの挙動を確実に解析することができる。

また、本実施形態では、マルウェアが操作したファイルのファイル名あるいはマルウェアのプロセス名に関して、インターネット上で解析結果の検索を行い、この検索結果を、マルウェアの解析結果に追加している。したがって、解析者はインターネット上に提供されている解析結果をも参照することが可能となり、解析プログラム１０８では解析を行わなかった挙動や、解析環境１１８では再現しなかった挙動についての知見をも得ることができる。

また、本実施形態では、解析プログラム１０８によるマルウェアの解析結果が画面に表示されるので、これを参照することでマルウェアの挙動を容易に把握することができる。

なお、本実施形態の一部を変更して、次のように実施しても良い。マルウェア解析装置と、ダミーサーバを一つの装置で実現してもよい。これにより、ハードウェアを複数用意する必要がなくなり、設置面積を節約することが可能となる。

また、本実施形態では、ファイル名やプロセス名をファイルデータ１１４やインターネットから取得して、新たな解析環境を構築したが、当該ファイル名やプロセス名が存在しない場合は、ある適当なファイルのファイル名を、当該ファイル名に変更し、解析環境に配置してもよい。これにより、ファイルの存在を確認しているだけのマルウェアの解析を行うことが可能となる。

また、本実施形態では、解析環境１１８をひとつだけ利用しているが、複数の解析環境を用いて、同一マルウェアを解析しても良い。このとき、複数の解析環境で、環境やＯＳ、ＣＰＵやアプリ、設定等が異なる環境を用いて解析するとよい。これにより、より多くのマルウェア解析結果を得ることが可能となる。また、この時、活性度のもっとも高い解析環境において、環境やＯＳ、ＣＰＵや言語、アプリ、設定等を一部変更した解析環境を新たに構築し、再解析を行ってもよい。これにより、解析ログ４０４に表れない阻害要因にも対応ができる。

活性度の判定方法として、新規のホストに接続した場合、或いは、通信データの内容が変化した場合、ポート番号が変化した場合や、通信パターン（通信の間隔等）が変化した場合に活性度を増やしてもよい。さらに、活性度を重み付けしてもよい。これにより、柔軟なマルウェア活性度の判定が可能となる。

また、本実施形態では、操作結果が「Ｆａｉｌｕｒｅ」だった場合に環境条件へ追加したが、操作結果が「Ｓｕｃｃｅｓｓ」だった場合に環境条件へ追加しても良い。これにより、ある特定の環境の場合にマルウェアの稼動が阻害される場合（例えばウイルス対策ソフトのインストールや、ＦｉｒｅＷａｌｌの設定等）にも対応が可能となる。

また、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせても良い。

１０１ マルウェア解析装置
１０２ ＩＦ
１０３ ＣＰＵ（演算装置）
１０４ メインメモリ
１０５ 記憶装置
１０８ 解析プログラム
１０９ 活性度判定プログラム
１１０ 条件特定プログラム
１１１ 環境構築プログラム
１１２ 結果表示プログラム
１１３ 解析環境データ
１１４ ファイルデータ
１１５ 解析結果データ
１１６ 判定ルールデータ
１１７ 構築ルールデータ
１１８ 解析環境
１１９ ダミーサーバ

Claims (12)

1. マルウェアが実行された実行環境から、前記マルウェアの実行に係るログを受信する受信処理と、受信した前記ログに基づいて前記マルウェアが活動した度合いを示す活性度を判断する活性度判定処理と、前記活性度に応じて前記実行環境を再構築する環境構築処理を実行する演算装置を備えることを特徴とするマルウェア解析装置。
2. 前記演算装置は、
   前記ログから前記マルウェアの実行中に失敗した処理を特定する条件特定処理を更に実行するものであり、
   前記環境構築処理に際し、前記処理が失敗しないように前記実行環境を再構築するものである、
   ことを特徴とする請求項１に記載のマルウェア解析装置。
3. 前記演算装置は、
   前記実行環境において実行された前記マルウェアが操作したファイルを取得する取得処理を更に実行するものであり、
   前記活性度判定処理に際し、前記ファイルが所定のファイルであるか否か、及び、前記マルウェアが操作した前記ファイルの数の少なくともいずれかに応じて前記活性度を判断するものである、
   ことを特徴とする請求項１に記載のマルウェア解析装置。
4. 前記演算装置は、
   前記実行環境において実行された前記マルウェアが生成したファイルを取得する取得処理を更に実行するものであり、
   前記環境構築処理に際し、取得した前記ファイルが設置されるように前記実行環境を再構築するものである、
   ことを特徴とする請求項１に記載のマルウェア解析装置。
5. 前記演算装置は、
   前記ログから前記マルウェアの実行に必要となるファイルを特定する条件特定処理を更に実行するものであり、
   前記環境構築処理に際し、前記ファイルをインターネットから検索し、検索に成功した場合にのみ、当該ファイルが設置されるように前記実行環境を再構築するものである、
   ことを特徴とする請求項１に記載のマルウェア解析装置。
6. 前記演算装置は、
   前記実行環境において実行された前記マルウェアが生成したファイルを取得する取得処理と、
   前記ファイルの解析結果をインターネットから検索し、前記ログと、前記インターネットから検索した前記解析結果と、を併せて解析結果を表示する結果表示処理と、
   を更に実行するものである、
   ことを特徴とする請求項１に記載のマルウェア解析装置。
7. コンピュータ装置が、
   マルウェアが実行された実行環境から、前記マルウェアの実行に係るログを受信する受信処理と、
   受信した前記ログに基づいて前記マルウェアが活動した度合いを示す活性度を判断する活性度判定処理と、
   前記活性度に応じて前記実行環境を再構築する環境構築処理と、
   を実行することを特徴とするマルウェア解析方法。
8. 前記コンピュータ装置が、
   前記ログから前記マルウェアの実行中に失敗した処理を特定する条件特定処理を更に実行し、
   前記環境構築処理に際し、前記処理が失敗しないように前記実行環境を再構築する、
   ことを特徴とする請求項７に記載のマルウェア解析方法。
9. 前記コンピュータ装置が、
   前記実行環境において実行された前記マルウェアが操作したファイルを取得する取得処理を更に実行し、
   前記活性度判定処理に際し、前記ファイルが所定のファイルであるか否か、及び、前記マルウェアが操作した前記ファイルの数の少なくともいずれかに応じて前記活性度を判断する、
   ことを特徴とする請求項７に記載のマルウェア解析方法。
10. 前記コンピュータ装置が、
    前記実行環境において実行された前記マルウェアが生成したファイルを取得する取得処理を更に実行し、
    前記環境構築処理に際し、取得した前記ファイルが設置されるように前記実行環境を再構築する、
    ことを特徴とする請求項７に記載のマルウェア解析方法。
11. 前記コンピュータ装置が、
    前記ログから前記マルウェアの実行に必要となるファイルを特定する条件特定処理を更に実行し、
    前記環境構築処理に際し、前記ファイルをインターネットから検索し、検索に成功した場合にのみ、当該ファイルが設置されるように前記実行環境を再構築する、
    ことを特徴とする請求項７に記載のマルウェア解析方法。
12. 前記コンピュータ装置が、
    前記実行環境において実行された前記マルウェアが生成したファイルを取得する取得処理と、
    前記ファイルの解析結果をインターネットから検索し、前記ログと、前記インターネットから検索した前記解析結果と、を併せて解析結果を表示する結果表示処理と、
    を更に実行することを特徴とする請求項７に記載のマルウェア解析方法。

Images