JP6600034B2 - 動作解析システム及び動作解析方法 - Google Patents

Description

本発明は、マルウェアの動作を解析するための動作解析システム及び動作解析方法に関する。

情報セキュリティの脅威の多くが、不正かつ有害に動作させる意図で作成された悪意のあるマルウェアに関連している。また、新型、あるいは亜種のマルウェアはウィルス対策ソフトでは検知できないものも多い。このような状況下でマルウェアによる被害を未然に防ぐためにも、メールサーバ等に到着するマルウェアや、新しいマルウェアの特性を迅速に解明し、対策を講じることが重要である。

このため、未知のマルウェアも含めて効率的に解析を行ない、対策を迅速に行なうためには適切な解析手法を用いることが重要である（例えば、特許文献１）。この文献に記載された技術では、不正処理解析装置のホストＯＳ上で、仮想化層を形成してゲストＯＳを動作させ、マルウェアを実行する。そして、マルウェアの実行中に仮想マシン上で通信プロセスが発生したことを検出し、仮想マシン上のメモリ領域を監視し、メモリダンプをログファイルとして保存する。

マルウェアの解析手法は、マルウェアを動作させる解析方法（動的解析）とマルウェアを動作させないで解析する方法（静的解析）に分類できる。動的解析は、解析環境上でマルウェアを実際に動作させ、モニタリングし、その振る舞いを調べる手法である。動的解析の解析範囲は限定的ではあるが、一般的に静的解析よりも短時間でマルウェアの挙動を確認することができる。また、マルウェア自身がダウンロードした設定ファイルやモジュールがあって初めて有効になるような機能については、動的解析の方が解析結果を得やすい。

特に、金融系マルウェアの中には外部から設定情報を取得し、それにより挙動を変えるものが存在すると報告されている（例えば、非特許文献１）。このようなマルウェアに対して迅速に対策を行なうためには、先に述べたとおり動的解析が有効である。また、マルウェアの中には、仮想化機構によって作られた環境では実行を終了して解析を妨害するものがある（例えば、非特許文献２）。

特開２０１７−１６２０４２号公報

西田雅太 他「静的解析と挙動観測による金融系マルウェアの攻撃手法の調査」、［online］、コンピュータセキュリティシンポジウム２０１４論文集，Ｖｏｌ．２０１４，Ｎｏ．２，第８５９−８６６頁、２０１４年１０月１５日、［平成３０年３月１０日検索］、インターネット＜https://ipsj.ixsq.nii.ac.jp/ej/?action=repository_uri&item_id=106635&file_id=1&file_no=1＞ 大山恵弘「マルウェアによる対仮想化処理の傾向についての分析」、［online］、コンピュータセキュリティシンポジウム２０１６論文集，Ｖｏｌ．２０１６，Ｎｏ．２，第５３４−５４１頁、２０１６年１０月４日、［平成３０年３月１０日検索］インターネット＜https://ipsj.ixsq.nii.ac.jp/ej/?action=repository_uri&item_id=175780&file_id=1&file_no=1＞

マルウェアの動的解析環境には、仮想マシンが採用されていることが多い。仮想マシンが持つ監視機能やスナップショット機能が動的解析に利用される。仮想マシンの監視機能を用いることによって、仮想マシンからゲストＯＳのメモリやデバイスを監視することができる。また、動的解析は、ＯＳにマルウェアを感染させて解析を行なうため、解析完了後に感染前の状態に戻す必要がある。これは、解析前の状態のスナップショットを取得した仮想マシンを利用することによって、解析完了後ただちに解析前の状態に戻すことによって実現される。

上述のように、マルウェアには自身の実行環境を判別する機能により、物理マシンでは動作するが、仮想マシンでは動作しないものがある。このため、動的解析環境には物理マシンを用いることが望ましい。一方、物理マシンを用いた動的解析環境を構築するためには、ＯＳを短時間で解析前の状態に戻す仕組みを実現させることが課題となる。

上記課題を解決する動作解析システムは、ディスクレスマシンと、前記ディスクレスマシンに接続される記憶部と、ウィルスプログラムの動作前のスナップショットを保存したファイルサーバとを備える。前記ディスクレスマシンと前記ファイルサーバ上の記憶部とを、ＩＰアドレスを用いたハードウェア間インターフェース規格で接続し、前記ディスクレスマシンにおいて、ウィルスプログラムを実行させ、前記ウィルスプログラムの動作解析を行ない、前記動作解析の終了時に、前記スナップショットを用いて、前記記憶部のロールバックを行なう。

本発明によれば、仮想マシンで動作しないマルウェアについて、物理マシンを用いての動的解析を効率的に行なうことができる。

本実施形態のシステム概略図。 本実施形態の処理手順の説明図。 本実施形態の処理手順の説明図。

以下、図１〜図３に従って、動作解析システム及び動作解析方法を具体化した一実施形態を説明する。本実施形態では、仮想マシンで動作しない金融系マルウェアについて、物理マシンを用いての動的解析を行なう。

図１に示すように、本実施形態では、ディスクレスクライアント１０、支援システム２０を用いる。
ディスクレスクライアント１０は、ＣＰＵ、ＲＡＭ、ＲＯＭ等の制御部１１を備え、ハードディスクなどの記憶装置を持たない物理マシン（ディスクレスマシン）である。ディスクレスクライアント１０は、ネットワークカード（ＮＩＣ：Network Interface Card）を備え、ＰＸＥ（Preboot eXecution Environment）機能を内蔵する。

支援システム２０は、ディスクレスクライアント１０の動作、復旧を支援するコンピュータシステムであり、ＤＨＣＰサーバ２１、ＴＦＴＰサーバ２２、ファイルシステム２３を備える。
ＤＨＣＰサーバ２１は、ネットワークに接続されたクライアントが起動した場合、ＤＨＣＰ（Dynamic Host Configuration Protocol）を用いて、ネットワーク利用に必要な設定情報を自動的に割り当てる機能部である。

ＴＦＴＰサーバ２２は、ＴＦＴＰ（Trivial File Transfer Protocol）を用いて、ディスクレスクライアント１０にデータを転送する機能部（ファイル転送サーバ）である。ＴＦＴＰサーバ２２は、ディスクレスクライアント１０に転送するiPXEブートファイル、iPXEスクリプトを保持する。

ファイルシステム２３には、Oracle Solaris（登録商標）上で実装されているストレージ仮想化機能であるＺＦＳ（登録商標）を用いる。ＺＦＳは、ある時点におけるファイルシステムの状態を保持することができるスナップショット機能を備える。このスナップショット機能により、多くの仮想マシンが有するスナップショット機能を物理マシンにて実現する。このスナップショット機能を用いて、ファイルシステム２３の記憶部２３０には、マルウェア感染前のＯＳを保存しておく。そして、動的解析を行なうためにマルウェアに感染した物理マシンを、再起動により速やかに感染前の状態に戻す。

また、本実施形態では、ディスクレスクライアント１０と支援システム２０との間の通信には、ｉＳＣＳＩ（Internet Small Computer System Interface）を用いる。ｉＳＣＳＩは、ハードウェア間のデータのやり取り（SCSIプロトコル）を行なうインターフェースを、ネットワークを介してＴＣＰ／ＩＰ上で行なう規格である。

ｉＳＣＳＩでは、ｉＳＣＳＩイニシエータ１５、ｉＳＣＳＩターゲット２５を用いる。そして、ｉＳＣＳＩターゲット２５のファイルシステム２３を直接ＨＤＤとしてマウントすることができる。動的解析に使用するＯＳは、ｉＳＣＳＩを介して、支援システム２０のファイルシステム２３にＯＳを直接インストールすることができ、システムドライブとすることができる。

自動解析環境３０は、マルウェアの挙動を自動解析するコンピュータである。この自動解析環境３０は、マルウェアに感染したディスクレスクライアント１０における挙動解析や、マルウェア特徴情報の抽出等を行なう。この自動解析環境３０は、解析対象の複数のマルウェアを保持している。

次に、図２〜図３に従って、上記のように構成されたシステムにおいて実行される処理手順について説明する。
（起動プロセス）
まず、図２を用いて、起動プロセスを説明する。
ここでは、ディスクレスクライアント１０の電源を投入する（ステップＳ１−１）。
この場合、ディスクレスクライアント１０は、ＰＸＥ起動処理を行なう（ステップＳ１−２）。具体的には、ネットワークカードのＲＯＭに内蔵されたＰＸＥクライアントを起動する。

次に、ディスクレスクライアント１０は、ＤＨＣＰ要求処理を行なう（ステップＳ１−３）。具体的には、起動されたＰＸＥクライアントにより、ＤＨＣＰサーバ２１に対して、ＤＨＣＰ要求を行なう。

次に、ＤＨＣＰサーバ２１は、ブートファイル情報の返却処理を行なう（ステップＳ１−４）。具体的には、ＤＨＣＰサーバ２１は、ＴＦＴＰサーバ２２のＩＰアドレスとiPXEブートファイル名を、ディスクレスクライアント１０に返送する。

次に、ディスクレスクライアント１０は、ブートファイル要求処理を行なう（ステップＳ１−５）。具体的には、ディスクレスクライアント１０は、ＴＦＴＰサーバ２２に対して、プリブート実行環境のiPXEブートファイルを要求する。

次に、ＴＦＴＰサーバ２２は、ブートファイル転送処理を行なう（ステップＳ１−６）。具体的には、ＴＦＴＰサーバ２２は、ディスクレスクライアント１０に、iPXEブートファイルを返送する。

次に、ディスクレスクライアント１０は、ｉＰＸＥ起動処理を行なう（ステップＳ１−７）。具体的には、ディスクレスクライアント１０は、取得したiPXEブートファイルを実行し、iPXEクライアントとして機能する。

次に、ディスクレスクライアント１０は、ＤＨＣＰ要求処理を行なう（ステップＳ１−８）。具体的には、ディスクレスクライアント１０のiPXEクライアントが、ＤＨＣＰ要求を行なう。
そして、ＤＨＣＰサーバ２１は、ＨＤＤロールバック要求処理を行なう（ステップＳ１−９）。具体的には、ＤＨＣＰサーバ２１は、ファイルシステム２３に対して、記憶部２３０のロールバックを要求する。この場合、ファイルシステム２３は、スナップショット機能を用いて、記憶部２３０のロールバックを行なう。

そして、ロールバック完了後に、ファイルシステム２３は、ＡＣＫ処理を行なう（ステップＳ１−１０）。具体的には、ファイルシステム２３は、ＤＨＣＰサーバ２１にＡＣＫ（肯定応答）を送信する。

ＡＣＫを取得したＤＨＣＰサーバ２１は、スクリプト情報の返却処理を行なう（ステップＳ１−１１）。具体的には、ＤＨＣＰサーバ２１は、ディスクレスクライアント１０に、ＴＦＴＰサーバ２２のＩＰアドレス、iPXEスクリプトファイル名を返送する。

次に、ディスクレスクライアント１０は、ｉＰＸＥスクリプト要求処理を行なう（ステップＳ１−１２）。具体的には、ディスクレスクライアント１０は、ＴＦＴＰサーバ２２に対してiPXEスクリプトを要求する。

次に、ＴＦＴＰサーバ２２は、ｉＰＸＥスクリプトの転送処理を行なう（ステップＳ１−１３）。具体的には、ＴＦＴＰサーバ２２は、ディスクレスクライアント１０に、iPXEスクリプトを返送する。

次に、ディスクレスクライアント１０は、ｉＰＸＥスクリプト設定処理を行なう（ステップＳ１−１４）。具体的には、ディスクレスクライアント１０は、取得したiPXEスクリプトの設定を行なう。

次に、ディスクレスクライアント１０は、ｉＳＣＳＩ接続処理を行なう（ステップＳ１−１５）。具体的には、ディスクレスクライアント１０は、iPXEスクリプトにより起動されたｉＳＣＳＩイニシエータ１５により、ファイルシステム２３のｉＳＣＳＩターゲット２５に接続する。

次に、ファイルシステム２３は、ＯＳロード処理を行なう（ステップＳ１−１６）。具体的には、ファイルシステム２３は、ｉＳＣＳＩターゲット２５として提供されるディスクを起動ディスクとしてＯＳを起動するように設定する。
次に、ディスクレスクライアント１０は、ＯＳ起動処理を行なう（ステップＳ１−１７）。具体的には、ディスクレスクライアント１０は、制御部１１においてＯＳを起動する。

次に、図３を用いて、マルウェアの挙動解析を説明する。
ここでは、ディスクレスクライアント１０は、マルウェア投入処理を実行する（ステップＳ２−１）。具体的には、ディスクレスクライアント１０は、自動解析環境３０から、解析対象のマルウェアを取得し、ファイルシステム２３の記憶部に感染させる。

次に、ディスクレスクライアント１０は、ログ通知処理を実行する（ステップＳ２−２）。具体的には、ディスクレスクライアント１０は、ファイルシステム２３の記憶部におけるマルウェアの挙動を自動解析環境３０に通知する。

次に、ディスクレスクライアント１０は、終了通知処理を実行する（ステップＳ２−３）。具体的には、ディスクレスクライアント１０において、マルウェアの挙動解析を終了する場合、自動解析環境３０に終了を通知する。

この場合、ディスクレスクライアント１０は、再起動指示の取得処理を実行する（ステップＳ２−４）。具体的には、自動解析環境３０は、ディスクレスクライアント１０に、再起動指示を行なう。自動解析環境３０から再起動指示を取得したディスクレスクライアント１０は、再起動を行ない、電源投入（ステップＳ１−１）以降の処理を実行する。

本実施形態によれば、以下のような効果を得ることができる。
（１）本実施形態では、ディスクレスクライアント１０は、ＤＨＣＰ要求処理を行ない（ステップＳ１−８）、ＤＨＣＰサーバ２１は、ＨＤＤロールバック要求処理を行なう（ステップＳ１−９）。これにより、スナップショット機能を用いて、マルウェアに感染させたＯＳを感染前に戻すことができる。

（２）本実施形態では、ディスクレスクライアント１０は、ｉＰＸＥスクリプト設定処理（ステップＳ１−１４）、ｉＳＣＳＩ接続処理（ステップＳ１−１５）を行なう。これにより、物理マシンを用いた動的解析を行なうことができる。従って、対仮想化処理機能が備わっているマルウェアを解析することができる。

本実施形態は、以下のように変更して実施することができる。本実施形態及び以下の変更例は、技術的に矛盾しない範囲で互いに組み合わせて実施することができる。
・上記実施形態では、ファイルシステム２３には、ＺＦＳを用いる。スナップショット機能を備えたファイルシステムであれば、ＺＦＳに限定されるものではない。

・上記実施形態では、ディスクレスクライアント１０とファイルシステム２３との接続に、ｉＳＣＳＩを用いるが、ハードウェア間インターフェース規格であれば、これに限定されるものではない。

・上記実施形態では、仮想マシンで動作しない金融系マルウェアについての動的解析を行なうが、解析対象は、これに限定されるものではない。コンピュータ(ディスクレスクライアント１０)をマルウェアに感染させる等、コンピュータの環境が汚れる可能性のある検証に応用することができ、仮想マシンで動作するマルウェアや、金融系以外のあらゆるマルウェアにも適用できる。例えば、マルウェア等への感染が懸念される悪性のＵＲＬへのアクセス試行により、ドライブバイダウンロード等の攻撃手法によるマルウェア感染の調査を行なうことができる。そして、解析完了時に、次回解析のためにコンピュータを解析前の状態に戻すことができるので、複数の解析を連続的に行なうことができる。

次に、上記実施形態及び別例から把握できる技術的思想について、それらの効果とともに以下に追記する。
（ａ）ファイルサーバとして、ＺＦＳを用いることを特徴とする動作解析システム及び動作解析方法。
これにより、物理マシンにおいてスナップショット機能を利用することができる。

（ｂ）ハードウェア間インターフェース規格として、ｉＳＣＳＩを用いることを特徴とする動作解析システム及び動作解析方法。
これにより、ディスクレスマシンとサーバ上の記憶部とを接続できる。

１０…ディスクレスクライアント、１５…ｉＳＣＳＩイニシエータ、２０…支援システム、２１…ＤＨＣＰサーバ、２２…ＴＦＴＰサーバ、２３…ファイルシステム、２３０…記憶部、２５…ｉＳＣＳＩターゲット、３０…自動解析環境。

Claims (2)

1. ディスクレスマシンと、前記ディスクレスマシンに接続されるとともに、ウィルスプログラムの動作前のスナップショットを保存したファイルサーバと、挙動解析装置とを備え、ウィルスプログラムの動作を解析する動作解析システムであって、
   前記ディスクレスマシンは、
   設定割当サーバから、ファイル転送サーバのアドレスとスクリプト名を取得し、
   前記取得したアドレス及びスクリプト名に基づいて、前記ファイル転送サーバから、プリブートスクリプトを取得し、
   前記プリブートスクリプトに基づいて、前記ファイルサーバに保存されたスナップショットを用いて、前記ファイルサーバ上の記憶部のロールバックを行なった後で、前記ディスクレスマシンと前記ファイルサーバ上の記憶部とを、ＩＰアドレスを用いたハードウェア間インターフェース規格で接続してＯＳを起動する起動処理を実行し、
   前記ディスクレスマシンにおいて、ウィルスプログラムを実行させ、
   前記挙動解析装置が、前記ウィルスプログラムの動作解析を行ない、
   前記ディスクレスマシンは、前記動作解析の終了後に再起動指示を取得した場合、前記起動処理を行なうことを特徴とする動作解析システム。
2. ディスクレスマシンと、前記ディスクレスマシンに接続されるとともに、ウィルスプログラムの動作前のスナップショットを保存したファイルサーバと、挙動解析装置とを備えた動作解析システムを用いて、ウィルスプログラムの動作を解析する方法であって、
   前記ディスクレスマシンは、
   設定割当サーバから、ファイル転送サーバのアドレスとスクリプト名を取得し、
   前記取得したアドレス及びスクリプト名に基づいて、前記ファイル転送サーバから、プリブートスクリプトを取得し、
   前記プリブートスクリプトに基づいて、前記ファイルサーバに保存されたスナップショットを用いて、前記ファイルサーバ上の記憶部のロールバックを行なった後で、前記ディスクレスマシンと前記ファイルサーバ上の記憶部とを、ＩＰアドレスを用いたハードウェア間インターフェース規格で接続してＯＳを起動する起動処理を実行し、
   前記ディスクレスマシンにおいて、ウィルスプログラムを実行させ、
   前記挙動解析装置が、前記ウィルスプログラムの動作解析を行ない、
   前記ディスクレスマシンは、前記動作解析の終了後に再起動指示を取得した場合、前記起動処理を行なうことを特徴とする動作解析方法。

Images