JP6388485B2 - マルウェア発見方法及びシステム - Google Patents
マルウェア発見方法及びシステム Download PDFInfo
- Publication number
- JP6388485B2 JP6388485B2 JP2014054320A JP2014054320A JP6388485B2 JP 6388485 B2 JP6388485 B2 JP 6388485B2 JP 2014054320 A JP2014054320 A JP 2014054320A JP 2014054320 A JP2014054320 A JP 2014054320A JP 6388485 B2 JP6388485 B2 JP 6388485B2
- Authority
- JP
- Japan
- Prior art keywords
- monitoring agent
- thread
- malware
- executable file
- threads
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
- G06F21/54—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by adding security routines or objects to programs
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Debugging And Monitoring (AREA)
Description
a)実行されようとしている実行ファイルを識別するステップと、
b)前記実行ファイルのプロセスによって開始されたスレッドの子孫(descendent)である全てのスレッドを監視する監視エージェントを提供するステップと、
c)前記子孫スレッドのうちの一つが、疑わしいパッチが内部で作成されるターゲットプロセスに到達した場合に、マルウェアが存在する見込みが高いと結論付けるように、前記監視エージェントを構成するステップとを含む。
1.定期的(例えば100ミリ秒ごと)に、システム中の全てのプロセスを列挙する。
2.名前(例えば「firefox.exe」、「iexplore.exe」)によってターゲットプロセスを識別する。
3.例えばWriteVirtualMemoryを使用して、悪意のあるコードをターゲットプロセスに注入する。
4.CreateRemoteThreadを使用して、悪意のあるコードを本文とするリモートスレッドを作成する。
101 実行されようとしている実行ファイルが識別される。
102 前記実行ファイルのプロセスによって開始されたスレッドの子孫(descendent)である全てのスレッドが監視される。
103 全てのスレッドが監視されていない場合、監視プロセスは、新しいスレッドの監視を継続する。
104 疑わしいパッチが作成されない場合、監視プロセスは継続する。
105 1以上の疑わしいパッチが作成される場合、マルウェアが存在する可能性が決定される。
当業者なら、本発明の使用対象となり得るマルウェアを容易に認識するであろう。このようなマルウェアの説明となる一例は、Zeusマルウェアであり、これは、CRT連鎖に関する典型的な例である。http://www.mnin.org/write/ZeusMalware.pdfからの、以下の関連する一節に、このことが例示されている。
(中略)これは(中略)、prg.exeからwinlogon.exeを感染させるのに使用され、また、どのようにwinlogon.exeがsvchost.exeを感染させるかであり、どのようにsvchost.exeが他の全てのプロセスを感染させるかである(中略)。」
上のくだりは、特にブラウザに関連する。この記述はさらに、「(中略)全てのシステムプロセスの内部で実行されるスレッドは、とりわけ、wininet.dllからのHttpSendRequestA()及びHttpSendRequestW()エクスポートをフックすることを担う。したがって、感染したプロセスがHTTP通信のためにこれらの関数のうちの一つを呼び出すときはいつでも、リダイレクトされた関数によって要求バッファ中のデータを調べることができる。」と説明する。
Claims (14)
- 有害である可能性のあるマルウェアを識別する方法であって、
a)実行されようとしている実行ファイルを識別するステップと、
b)前記実行ファイルのプロセスによって開始されたスレッドの子孫である全てのスレッドを監視する監視エージェントを提供するステップと、
c)前記子孫スレッドのうちの一つが、疑わしいパッチが内部で作成されるターゲットプロセスに到達した場合に、マルウェアが存在する見込みが高いと結論付けるように、前記監視エージェントを構成するステップであって、前記ターゲットプロセスがブラウザであるステップと
を含む方法。 - 前記監視エージェントが、実行されようとしている実行ファイルを識別したとき、前記実行ファイルの暗号ハッシュアルゴリズムをチェックして、前にシステム中で実行されたことがあるかどうか判定する、請求項1に記載の方法。
- 前記実行ファイルが初めて実行されつつあると思われる場合は、前記監視エージェントが前記実行ファイルの追跡を継続する、請求項2に記載の方法。
- 前記監視エージェントが、前記プロセスが実行される度に前記プロセスを追跡する、請求項2に記載の方法。
- 前記監視エージェントがWindows(登録商標)環境で動作する、請求項1に記載の方法。
- 前記監視エージェントが、CRT(Create Remote Thread)関数に対してフックを配置することによって前記CRT関数を監視する、請求項5に記載の方法。
- 前記実行ファイルが、正当なシステムプロセス中でスレッドを作成する、請求項1に記載の方法。
- 正当なプロセスによって開かれた各スレッドに対してCRT監視が行われる、請求項6に記載の方法。
- 前記監視エージェントが、前記新しいスレッドがどのスレッドから生じたかチェックし、前記スレッドが疑わしいスレッドによって(例えばCRTを使用して)開始された場合にのみ前記スレッドを追跡する、請求項6に記載の方法。
- 前記監視エージェントが、疑わしい挙動を伴う正当なプロセスのホワイトリストを維持する、請求項1に記載の方法。
- マルウェアが存在する見込みがあると前記監視エージェントが結論付けたときに是正アクションが実施される、請求項1に記載の方法。
- 前記暗号ハッシュアルゴリズムがMD5、SHA1、及びSHA2から選択される、請求項2に記載の方法。
- 前記監視エージェントが実行ファイルのプロセスによって開始されたスレッドの子孫である全てのスレッドを追跡するように構成された監視エージェントである、請求項1に記載の方法。
- 前記子孫スレッドのうちの一つが、疑わしいパッチが内部で作成されるターゲットプロセスに到達した場合に、マルウェアが存在する見込みが高いと結論付けるように構成された、請求項13に記載の方法。
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US13/847,430 | 2013-03-19 | ||
US13/847,430 US9330259B2 (en) | 2013-03-19 | 2013-03-19 | Malware discovery method and system |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2014182837A JP2014182837A (ja) | 2014-09-29 |
JP6388485B2 true JP6388485B2 (ja) | 2018-09-12 |
Family
ID=50280281
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2014054320A Active JP6388485B2 (ja) | 2013-03-19 | 2014-03-18 | マルウェア発見方法及びシステム |
Country Status (3)
Country | Link |
---|---|
US (1) | US9330259B2 (ja) |
EP (1) | EP2782040A1 (ja) |
JP (1) | JP6388485B2 (ja) |
Families Citing this family (20)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US9317686B1 (en) * | 2013-07-16 | 2016-04-19 | Trend Micro Inc. | File backup to combat ransomware |
RU2546585C2 (ru) * | 2013-08-07 | 2015-04-10 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ предоставления прав доступа приложениям к файлам компьютера |
US11507663B2 (en) | 2014-08-11 | 2022-11-22 | Sentinel Labs Israel Ltd. | Method of remediating operations performed by a program and system thereof |
US9710648B2 (en) | 2014-08-11 | 2017-07-18 | Sentinel Labs Israel Ltd. | Method of malware detection and system thereof |
RU2589862C1 (ru) * | 2015-06-30 | 2016-07-10 | Закрытое акционерное общество "Лаборатория Касперского" | Способ обнаружения вредоносного кода в оперативной памяти |
US10880316B2 (en) * | 2015-12-09 | 2020-12-29 | Check Point Software Technologies Ltd. | Method and system for determining initial execution of an attack |
US10291634B2 (en) | 2015-12-09 | 2019-05-14 | Checkpoint Software Technologies Ltd. | System and method for determining summary events of an attack |
US10440036B2 (en) * | 2015-12-09 | 2019-10-08 | Checkpoint Software Technologies Ltd | Method and system for modeling all operations and executions of an attack and malicious process entry |
TWI599905B (zh) * | 2016-05-23 | 2017-09-21 | 緯創資通股份有限公司 | 惡意碼的防護方法、系統及監控裝置 |
JP6104447B1 (ja) * | 2016-10-31 | 2017-03-29 | 株式会社ソリトンシステムズ | プログラム動作監視制御装置、分散オブジェクト生成管理装置、プログラム、及びプログラム動作監視システム |
US11695800B2 (en) | 2016-12-19 | 2023-07-04 | SentinelOne, Inc. | Deceiving attackers accessing network data |
US11616812B2 (en) | 2016-12-19 | 2023-03-28 | Attivo Networks Inc. | Deceiving attackers accessing active directory data |
JP2020530922A (ja) | 2017-08-08 | 2020-10-29 | センチネル ラボ, インコーポレイテッドSentinel Labs, Inc. | エッジネットワーキングのエンドポイントを動的にモデリングおよびグループ化する方法、システム、およびデバイス |
US10831888B2 (en) | 2018-01-19 | 2020-11-10 | International Business Machines Corporation | Data recovery enhancement system |
US11470115B2 (en) | 2018-02-09 | 2022-10-11 | Attivo Networks, Inc. | Implementing decoys in a network environment |
US11055408B2 (en) | 2018-11-30 | 2021-07-06 | International Business Machines Corporation | Endpoint detection and response attack process tree auto-play |
US10762200B1 (en) | 2019-05-20 | 2020-09-01 | Sentinel Labs Israel Ltd. | Systems and methods for executable code detection, automatic feature extraction and position independent code detection |
KR102325291B1 (ko) * | 2019-12-27 | 2021-11-12 | 주식회사 안랩 | 테스크 추적을 하기 위한 방법, 장치, 컴퓨터 판독 가능한 기록 매체 및 컴퓨터 프로그램 |
US11579857B2 (en) | 2020-12-16 | 2023-02-14 | Sentinel Labs Israel Ltd. | Systems, methods and devices for device fingerprinting and automatic deployment of software in a computing network using a peer-to-peer approach |
US11899782B1 (en) | 2021-07-13 | 2024-02-13 | SentinelOne, Inc. | Preserving DLL hooks |
Family Cites Families (19)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6021510A (en) | 1997-11-24 | 2000-02-01 | Symantec Corporation | Antivirus accelerator |
US7013424B2 (en) * | 2001-05-04 | 2006-03-14 | International Business Machines Corporation | Dedicated processor for efficient processing of documents encoded in a markup language |
US8473922B2 (en) * | 2001-09-19 | 2013-06-25 | Hewlett-Packard Development Company, L.P. | Runtime monitoring in component-based systems |
US7512977B2 (en) * | 2003-06-11 | 2009-03-31 | Symantec Corporation | Intrustion protection system utilizing layers |
US7523470B2 (en) * | 2004-12-23 | 2009-04-21 | Lenovo Singapore Pte. Ltd. | System and method for detecting keyboard logging |
US7591016B2 (en) * | 2005-04-14 | 2009-09-15 | Webroot Software, Inc. | System and method for scanning memory for pestware offset signatures |
US20070094726A1 (en) * | 2005-10-26 | 2007-04-26 | Wilson Michael C | System and method for neutralizing pestware that is loaded by a desirable process |
US20070118534A1 (en) * | 2005-11-18 | 2007-05-24 | Database-Brothers, Inc. | Auditing database end user activity in one to multi-tier web application and local environments |
JP2008021274A (ja) * | 2006-06-15 | 2008-01-31 | Interlex Inc | プロセス監視装置及び方法 |
US7530072B1 (en) * | 2008-05-07 | 2009-05-05 | International Business Machines Corporation | Method to segregate suspicious threads in a hosted environment to prevent CPU resource exhaustion from hung threads |
US8239940B2 (en) * | 2008-12-25 | 2012-08-07 | Trusteer Ltd. | Functional patching/hooking detection and prevention |
US8572739B1 (en) * | 2009-10-27 | 2013-10-29 | Trend Micro Incorporated | Detection of malicious modules injected on legitimate processes |
US8677491B2 (en) * | 2010-02-04 | 2014-03-18 | F-Secure Oyj | Malware detection |
KR101057432B1 (ko) | 2010-02-23 | 2011-08-22 | 주식회사 이세정보 | 프로세스의 행위 분석을 통한 유해 프로그램을 실시간으로 탐지하고 차단하는 시스템, 방법, 프로그램 및 기록매체 |
JP5478384B2 (ja) * | 2010-06-24 | 2014-04-23 | Kddi株式会社 | アプリケーション判定システムおよびプログラム |
KR101626424B1 (ko) * | 2011-03-28 | 2016-06-01 | 맥아피 인코퍼레이티드 | 가상 머신 모니터 기반 안티 악성 소프트웨어 보안 시스템 및 방법 |
RU2454705C1 (ru) * | 2011-04-19 | 2012-06-27 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ защиты компьютерного устройства от вредоносных объектов, использующих сложные схемы заражения |
US8042186B1 (en) * | 2011-04-28 | 2011-10-18 | Kaspersky Lab Zao | System and method for detection of complex malware |
RU2531861C1 (ru) * | 2013-04-26 | 2014-10-27 | Закрытое акционерное общество "Лаборатория Касперского" | Система и способ оценки вредоносности кода, исполняемого в адресном пространстве доверенного процесса |
-
2013
- 2013-03-19 US US13/847,430 patent/US9330259B2/en active Active
-
2014
- 2014-03-17 EP EP14160328.2A patent/EP2782040A1/en not_active Withdrawn
- 2014-03-18 JP JP2014054320A patent/JP6388485B2/ja active Active
Also Published As
Publication number | Publication date |
---|---|
US9330259B2 (en) | 2016-05-03 |
US20140289851A1 (en) | 2014-09-25 |
EP2782040A1 (en) | 2014-09-24 |
JP2014182837A (ja) | 2014-09-29 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP6388485B2 (ja) | マルウェア発見方法及びシステム | |
US10706151B2 (en) | Systems and methods for tracking malicious behavior across multiple software entities | |
US8918878B2 (en) | Restoration of file damage caused by malware | |
EP3430556B1 (en) | System and method for process hollowing detection | |
JP5326062B1 (ja) | 非実行ファイル検査装置及び方法 | |
RU2646352C2 (ru) | Система и способ для применения индикатора репутации для облегчения сканирования на наличие вредоносных программ | |
RU2531861C1 (ru) | Система и способ оценки вредоносности кода, исполняемого в адресном пространстве доверенного процесса | |
EP2745229B1 (en) | System and method for indirect interface monitoring and plumb-lining | |
US20080016339A1 (en) | Application Sandbox to Detect, Remove, and Prevent Malware | |
JP6468732B2 (ja) | ウィンドウのない状態での画面キャプチャを防止するための方法及びシステム | |
US20110173698A1 (en) | Mitigating false positives in malware detection | |
US10083301B2 (en) | Behaviour based malware prevention | |
KR20140033349A (ko) | 가상 머신 모니터 기반 안티 악성 소프트웨어 보안 시스템 및 방법 | |
WO2011042304A1 (en) | Malware detection by application monitoring | |
US11042633B2 (en) | Methods for protecting software hooks, and related computer security systems and apparatus | |
CN107330328B (zh) | 防御病毒攻击的方法、装置及服务器 | |
JP2019521400A (ja) | 推測的なエクスプロイトの試みの検出 | |
JP2010262609A (ja) | 効率的なマルウェアの動的解析手法 | |
Afreen et al. | Analysis of fileless malware and its evasive behavior | |
Ramilli et al. | Multi-stage delivery of malware | |
GB2502774A (en) | Identifying and stopping executable threads subjected to process hollowing | |
Barabosch et al. | Host-based code injection attacks: A popular technique used by malware | |
JP5326063B1 (ja) | デバッグイベントを用いた悪意のあるシェルコードの検知装置及び方法 | |
US20220131897A1 (en) | Memory decoys | |
US11277436B1 (en) | Identifying and mitigating harm from malicious network connections by a container |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7426 Effective date: 20140828 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A821 Effective date: 20140828 |
|
RD03 | Notification of appointment of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7423 Effective date: 20161122 |
|
A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20170106 |
|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20170228 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20180424 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20180710 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20180724 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20180814 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 6388485 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A711 Effective date: 20230418 |
|
S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313113 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |