JP7099566B2 - マルウェア解析方法、マルウェア解析装置およびマルウェア解析システム - Google Patents

Description

本発明は、マルウェアを容易に解析できるマルウェア解析方法、マルウェア解析装置およびマルウェア解析システムに関する。

情報漏えいやデータの破壊などの脅威をもたらすコンピュータウイルスやスパイウェア、ボットプログラム等の悪意ある不正プログラム（マルウェア）が増加している。

そのような状況において、マルウェアを安全に実行できる環境において、マルウェアを実際に実行し、その挙動を観測することによって、マルウェアの解析を行う技術がある。

コンピュータ（例えば、パーソナルコンピュータなどの情報端末）に感染後にＣ＆Ｃ（Command & Control ）サーバにコンピュータを接続させるマルウェアがある。Ｃ＆Ｃサーバは、マルウェアにコマンドを送って、コンピュータを遠隔制御する。

そのようなマルウェアを動的解析する場合、マルウェアに感染したコンピュータをＣ＆Ｃサーバと通信可能にする。しかし、コンピュータがＣ＆Ｃサーバと通信することによって、コンピュータが被害を被る可能性がある。また、Ｃ＆Ｃサーバが既に存在しない場合には、動的解析を行うことはできない。

特許文献１には、マルウェアがどのような通信を行うかと、マルウェアがコンピュータの内部資源にどのような影響を及ぼすかを調べる技術が記載されている。

特許文献１に記載された解析システムは、マルウェアによる通信が行われるときに、通信プロトコルを判別する。そして、通信プロトコルに応じてあらかじめ決められた擬似的なサーバ応答がマルウェアに送信される。よって、実際のＣ＆Ｃサーバとの間の通信が行われない状況で、マルウェアが動的解析される。

特許第５３８９８５５号公報

しかし、特許文献１に記載された解析システムは、通信プロトコルを判別できない場合や、擬似的なサーバ応答をあらかじめ定義できない場合には、マルウェアを解析できない。

本発明は、マルウェアをより容易に解析できるようにすることを目的とする。

本発明によるマルウェア解析方法は、プロセッサが、サーバに対する送信データと該送信データに対応する応答データを記憶し、マルウェアを実行し、マルウェアがサーバに送信した送信データを解析し、解析結果に基づいて、マルウェアが送信した送信データに対応する応答をするようサーバの設定を行うことを特徴とする。

本発明によるマルウェア解析装置は、サーバに対する送信データと該送信データに対応する応答データを記憶する記憶手段と、マルウェアを実行するマルウェア実行手段と、マルウェアが送信した送信データを解析する解析手段と、解析手段の解析結果に基づいて、マルウェアが送信した送信データに対応する応答をするようサーバの設定を行う設定手段とを備えたことを特徴とする。

本発明によるマルウェア解析システムは、マルウェア解析装置と、該マルウェアに応答するサーバとを含み、マルウェア解析装置は、サーバに対する送信データと該送信データに対応する応答データを記憶する記憶手段と、マルウェアを実行するマルウェア実行手段と、マルウェアがサーバに送信した送信データを解析する解析手段と、解析手段の解析結果に基づいて、マルウェアが送信した送信データに対応する応答をするようサーバの設定を行う設定手段とを含むことを特徴とする。

本発明によるマルウェア解析プログラムは、コンピュータに、サーバに対する送信データと該送信データに対応する応答データを記憶手段に記憶する処理と、マルウェアを実行する処理と、マルウェアが送信した送信データを解析する処理と、解析結果に基づいて、マルウェアが送信した送信データに対応する応答をするようサーバの設定を行う処理とを実行させることを特徴とする。

本発明によれば、マルウェアをより容易に解析できる。

マルウェア解析装置を含むマルウェア解析システムの実施形態を示すブロック図である。 マルウェア解析装置の動作例を示すフローチャートである。 応答設定データベースに格納された情報の一例を示す説明図である。 マルウェア解析装置の機能を実現可能な情報処理システムの構成例を示すブロック図である。 本発明によるマルウェア解析装置の主要部を示すブロック図である。 本発明による他の態様のマルウェア解析装置の主要部を示すブロック図である。 本発明によるさらに他の態様のマルウェア解析装置の主要部を示すブロック図である。 本発明によるマルウェア解析システムの主要部を示すブロック図である。 本発明による他の態様のマルウェア解析システムの主要部を示すブロック図である。 本発明によるさらに他の態様のマルウェア解析システムの主要部を示すブロック図である。

以下、本発明の実施形態の図面を参照して説明する。

図１は、マルウェア解析装置を含むマルウェア解析システムの実施形態を示すブロック図である。図１に示す例では、マルウェア解析システムにおいて、マルウェア解析装置１００は、オープンフロー（Open Flow ）スイッチ３０１を介してシンクホールサーバ２００に接続される。シンクホールサーバ２００は、マルウェアが行う通信の経路において用いられる。

なお、以下の説明において、「マルウェアが通信を行う」ということは、実際には、マルウェアが存在する装置の資源（通信インタフェースなど：図１では通信部１０７で代表される。）がマルウェアに従って通信を行うということである。

また、マルウェア解析装置１００は、シンクホールサーバ２００やオープンフローコントローラ３００と直接接続もされている。直接接続されている理由は、マルウェア解析装置１００が、シンクホールサーバ２００やオープンフローコントローラ３００の制御を行うからである。

オープンフローコントローラ３００は、オープンフロースイッチ３０１を制御するために接続されている。

マルウェア解析装置１００は、制御部１０１、静的解析制御部１０２、動的解析制御部１０３、設定変更部１０４、解析結果データベース（ＤＢ）１０５、マルウェア実行部１０６、通信部１０７、および応答設定データベース（ＤＢ）１０８を含む。

制御部１０１は、マルウェア解析装置１００の各機能を制御する。静的解析制御部１０２は、マルウェアの静的解析のための制御を行う。動的解析制御部１０３は、マルウェアの動的解析の制御を行う。設定変更部１０４は、シンクホールサーバ２００やオープンフローコントローラ３００の設定を変更する。

解析結果データベース１０５は、マルウェアの解析結果を格納する。マルウェア実行部１０６は、解析のためにマルウェアを実行する。通信部１０７は、シンクホールサーバ２００、オープンフローコントローラ３００およびオープンフロースイッチ３０１と通信を行う。応答設定データベース１０８は、マルウェアが通信する際のマルウェアが期待する応答とその設定方法を格納する。

なお、マルウェアが期待する応答は、例えば、Ｃ＆Ｃサーバの名前解決が行われる場合を例にすると、Ｃ＆ＣサーバのＩＰアドレス、インターネットに接続されていることを確認するためのＷｅｂアクセスの応答、マルウェアが動作するためのＣ＆Ｃサーバからのコマンドなどである。

シンクホールサーバ２００は、マルウェアが通信する際の期待する応答を返すための応答生成部２０１と、通信を行うための通信部２０２とを含む。なお、本明細書では、マルウェアのトラフィックを吸収して解析するサーバをシンクホールサーバ２００とする。シンクホールサーバ２００は、例えば、Ｃ＆Ｃサーバに代わって、マルウェアが期待する応答（実際には、疑似応答）をマルウェアに供給する。

次に、マルウェア解析装置１００の動作を説明する。図２は、マルウェア解析装置１００の動作例を示すフローチャートである。

マルウェア解析装置１００において、まず、初期化処理が実行される（ステップＳ２０１）。

具体的には、初期化処理では、制御部１０１が、マルウェア実行部１０６に、動的解析制御部１０３を介して、解析対象のマルウェアに合わせた環境を用意することを指示する。マルウェア実行部１０６は、マルウェアを実行するための準備として、解析対象のマルウェアを動作させるために必要なＣＰＵ（Central Processing Unit ）、メモリおよびディスクの設定や、ＯＳ（Operating System）およびアプリケーションの設定などを行う。

また、制御部１０１は、設定変更部１０４に初期化指示を出す。初期化指示を受け取った設定変更部１０４は、通信部１０７を介して、シンクホールサーバ２００とオープンフローコントローラ３００とに対して初期化を指示する。シンクホールサーバ２００は、指示に応じて、応答生成のクリアなどの初期化処理を行う。オープンフローコントローラ３００は、指示に応じて、オープンフロースイッチ３０１のフローテーブルをクリアする処理を行う。

次に、ステップＳ２０２において、マルウェア実行部１０６がマルウェアを実行する。動的解析制御部１０３は、マルウェアの実行状況を監視する。そして、動的解析制御部１０３は、マルウェアのファイルへのアクセス、プロセス実行、ＡＰＩ（Application Programming Interface ）呼び出し、通信先などの情報を解析結果データベース１０５に格納する。

ステップＳ２０３では、動的解析制御部１０３は、マルウェアが通信したか否か判定する。通信したと判定された場合には、ステップＳ２０４に進む。通信していないと判定された場合には、ステップＳ２０６に移行する。なお、動的解析制御部１０３は、例えば、通信部１０７が動作したか否か確認することによって、マルウェアが通信したか否かを判定できる。

マルウェアが通信した場合には、マルウェア実行部１０６は、通信部１０７を介してオープンフロースイッチ３０１にパケットを送信する。当該パケットに関する情報はフローテーブルにおけるエントリにはないので、オープンフロースイッチ３０１は、オープンフローコントローラ３００に、パケットを転送して問い合わせを行う。パケットを受け取ったオープンフローコントローラ３００は、ステップＳ２０３の処理が実行される時点では、受け取ったパケットをそのまま保持する。

マルウェアが通信した場合、ステップＳ２０４において、マルウェア解析者がマルウェアの静的解析を行って、マルウェアが期待する応答を設定する。なお、このとき、マルウェア実行部１０６は、例えば、動的解析制御部１０３の指示に従って、処理を中断する。よって、マルウェアによる通信は一時停止する。

なお、マルウェア解析者がマルウェアの静的解析を行う契機を作成するために、一例として、マルウェア解析装置１００が、以下のような処理を実行することが考えられる。

すなわち、動的解析制御部１０３が、制御部１０１を介して、マルウェア解析装置１００における表示部（図１において図示せず）またはマルウェア解析装置１００に接続されている表示装置に、マルウェアが通信しないことを示す表示を行ったり、静的解析を行うことを勧告することを示す表示を行ったりする。

静的解析を行うときに、マルウェア解析者は、マルウェア解析装置１００における入力部（図１において図示せず）またはマルウェア解析装置１００に接続されている入力装置から、制御部１０１に、解析結果データベース１０５に格納された動的解析の結果や、マルウェア実行部１０６のレジスタ、メモリの状態およびマルウェアのアセンブリコードなどを要求する。制御部１０１は、入力された要求を、静的解析制御部１０２およびマルウェア実行部１０６に伝える。

要求に対する回答としての情報は、例えば、静的解析制御部１０２およびマルウェア実行部１０６から、制御部１０１を介して、表示部または表示装置に出力される。マルウェア解析者は、回答としての情報にもとづいて、マルウェアが期待する応答を見いだす。見いだされたマルウェアが期待する応答は、例えば、入力部または入力装置から、制御部１０１または設定変更部１０４に入力される。マルウェアが期待する応答が制御部１０１に入力されるように構成されている場合には、制御部１０１は、設定変更部１０４を介して、マルウェアが期待する応答を応答設定データベース１０８に格納する。マルウェアが期待する応答が設定変更部１０４に入力されるように構成されている場合には、設定変更部１０４が、マルウェアが期待する応答を応答設定データベース１０８に格納する。

図３は、応答設定データベース１０８に格納された情報の一例を示す説明図である。

図３に示す例では、応答設定データベース１０８には、特定のＡＰＩと引数との組に対して、通信をシンクホールサーバ２００に転送するためのオープンフロースイッチ３０１に適用すべきフロー情報と、期待する応答と、その応答を返すために必要なシンクホールサーバ２００への設定方法とが格納されている。設定方法は、プログラムやスクリプト、および設定ファイルなどである。

なお、本実施形態では、ＡＰＩと引数とが応答設定データベース１０８に設定されるが、異なる条件が設定されるようにしてもよい。例えば、ＡＰＩの代わりに、アセンブリコードが設定されてもよい。また、引数の代わりに、オブジェクトの状態、または、レジスタやメモリの状態が設定されてもよい。また、マルウェアの実行中の命令のアドレスが設定されてもよい。

ステップＳ２０５では、制御部１０１は、設定変更部１０４に対して、応答設定データベース１０８に格納された情報を基にシンクホールサーバ２００やオープンフローコントローラ３００の設定を行うように指示する。設定変更部１０４は、応答設定データベース１０８に格納されている期待する応答や設定方法に従って、通信部１０７を介して、シンクホールサーバ２００の応答生成部２０１に対する設定を実行する。すなわち、設定変更部１０４は、マルウェアが期待する応答をシンクホールサーバ２００が返すように、応答生成部２０１を設定する。

また、設定変更部１０４は、ステップＳ２０３の処理でマルウェアが通信したことが検出された場合には、オープンフローコントローラ３００に対して、マルウェアの通信先がシンクホールサーバ２００になるように、フロー情報とともにフローテーブル変更の指示を送信する。

オープンフローコントローラ３００は、設定変更部１０４から受け取ったフロー情報にもとづいて、ステップＳ２０３の処理で保留したパケットの通信先がシンクホールサーバ２００になるように、オープンフロースイッチ３０１のフローテーブルにエントリを追加する。そして、オープンフローコントローラ３００は、ステップＳ２０３の処理で保留していたパケットを転送する。転送されたパケットを受け取ったシンクホールサーバ２００は、設定変更部１０４によって設定された内容にもとづいて、マルウェアが期待する応答をマルウェア解析装置１００に返す。

ステップＳ２０６では、動的解析制御部１０３は、マルウェア解析の終了条件が満たされたか否か判定する。終了条件は、例えば、マルウェアの動作が終了したこと、マルウェアの実行時間が一定時間を過ぎたこと、十分な解析結果が得られたことなどである。動的解析制御部１０３は、終了条件が満たされた場合には解析を終了する。

終了条件が満たされていない場合には、ステップＳ２０２に戻る。すなわち、マルウェア実行部１０６がマルウェアを実行するとともに、動的解析制御部１０３は、動的解析を続行する。なお、マルウェアの通信が中断されていた場合には、ステップＳ２０２の処理が実行されることによって、マルウェアの通信が再開される。

以上に説明したように、本実施形態では、マルウェアの動的解析において、マルウェアが通信を行う際に静的解析を行うことによって、マルウェアが期待する応答を適切にシンクホールサーバ２００に設定することができる。すなわち、シンクホールサーバ２００の動作が動的に変更される。よって、適切に動的解析を継続することができる。その結果、マルウェア解析をより容易に実施することができるようになる。

また、マルウェアが期待する応答を応答設定データベース１０８に格納することによって、一度解析されたマルウェアに類似するマルウェアを解析するときに、静的解析を行う機会を減らすことができる。よって、マルウェアの解析の効率が向上する。また、マルウェアの動作を停止させないので、例えば、動作が停止させたことを検知して動作内容を変えるようなマルウェアの動的解析を行うことができる。

上記の実施形態では、図２に示されたステップＳ２０４の処理で、マルウェアが期待する応答が静的解析によって見いだされて応答設定データベース１０８に設定されたが、マルウェアが期待する応答を他の方法で見いだしてもよい。

例えば、制御部１０１が、初期化処理を実行するときに、過去事例を応答設定データベース１０８に登録してもよい。また、動的解析制御部１０３が、通信プロトコルや利用しているＡＰＩにもとづいて、応答パターンを生成してもよい。また、動的解析制御部１０３は、静的解析の結果抽出された文字列などを加えた応答パターンを機械的に生成し、生成した応答パターンを使用して解析を試行するようにしてよい。

なお、上記の各実施形態におけるマルウェア解析装置１００を、ハードウェアで構成することも可能であるが、コンピュータプログラムにより実現することも可能である。

図４に示す情報処理システムは、プロセッサ１００１、プログラムメモリ１００２、およびデータを格納するための記憶媒体１００３を備える。記憶媒体１００３として、例えば、ハードディスク等の磁気記憶媒体を用いることができる。プログラムメモリ１００２として、ＲＯＭ（Read Only Memory）やフラッシュＲＯＭやハードディスク等の磁気記憶媒体を用いることができる。

図４に示された情報処理システムにおいて、プログラムメモリ１００２には、図１に示されたマルウェア解析装置１００における制御部１０１、静的解析制御部１０２、動的解析制御部１０３および設定変更部１０４の機能と、通信部１０７における通信を実行するためのハードウェア部分を除く機能とを実現するためのプログラムが格納される。記憶媒体１００３には、解析結果データベース１０５および応答設定データベース１０８が形成される。そして、プロセッサ１００１は、プログラムメモリ１００２に格納されているプログラムに従って処理を実行することによって、図２に示されたマルウェア解析装置１００の機能を実現する。

図５は、本発明によるマルウェア解析装置の主要部を示すブロック図である。図５に示すマルウェア解析装置１０は、マルウェアの動的解析を行う動的解析部１１（実施形態では、動的解析制御部１０２で実現される。）と、動的解析部１１が動的解析を行っているときに、マルウェアによる通信が発生したか否か判定する通信判定部１２（実施形態では、動的解析制御部１０２で実現される。）と、通信判定部１２がマルウェアによる通信が発生したと判定した場合に、通信を一時停止させて、静的解析の実行の要請を提示する静的解析要求部１３（実施形態では、動的解析制御部１０２および制御部１０１で実現される。）と、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように、該装置を設定する設定変更部１４（実施形態では、設定変更部１０４で実現される。）とを備えている。

図６は、本発明による他の態様のマルウェア解析装置の主要部を示すブロック図である。図６に示すマルウェア解析装置１０は、マルウェアが期待する応答を行うようにマルウェアの通信先の装置を設定した後、マルウェアによる通信を再開させる通信再開部１５（実施形態では、マルウェア実行部１０６動的解析制御部１０２で実現される。図２におけるステップＳ２０６におけるＮｏの場合も参照）をさらに備えている。

図７は、本発明によるさらに他の態様のマルウェア解析装置の主要部を示すブロック図である。図７に示すマルウェア解析装置１０において、設定変更部１４は、静的解析によって得られたマルウェアが期待する応答を応答設定データベース１６に保存する。

図８は、本発明によるマルウェア解析システムの主要部を示すブロック図である。図８に示すマルウェア解析システム５０は、マルウェア解析装置１０と、疑似応答をマルウェアが期待する応答としてマルウェアに送信する疑似応答サーバ２０（実施形態では、シンクホールサーバ２００で実現される。）とを含み、マルウェア解析装置１０は、マルウェアの動的解析を行う動的解析部１１と、動的解析部１１が動的解析を行っているときに、マルウェアによる通信が発生したか否か判定する通信判定部１２と、通信判定部１２がマルウェアによる通信が発生したと判定した場合に、通信を一時停止させて、静的解析の実行の要請を提示する静的解析要求部１３と、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように、該装置を設定する設定変更部１４とを有する。

図９は、本発明による他の態様のマルウェア解析システムの主要部を示すブロック図である。図９に示すマルウェア解析システム５０において、マルウェア解析装置１０は、マルウェアが期待する応答を行うように疑似応答サーバを設定した後、マルウェアによる通信を再開させる通信再開部１５をさらに有する。

図１０は、本発明によるさらに他の態様のマルウェア解析システムの主要部を示すブロック図である。図１０に示すマルウェア解析システム５０において、マルウェア解析装置１０は、オープンフローコントローラ３００によって管理されるオープンフロースイッチ３０１を介して疑似応答サーバ２０と通信を行うように構成され、設定変更部１４は、マルウェアの通信先が疑似応答サーバ２０になるようにオープンフロースイッチ３０１のフローテーブルを更新する指示をオープンフローコントローラ３００に送信する。

上記の実施形態の一部または全部は以下の付記のようにも記載されうるが、本発明の構成は以下の構成に限定されない。

（付記１）コンピュータに、マルウェアが動的解析されているときに、マルウェアによる通信が発生したか否か判定する処理と、マルウェアによる通信が発生したときに、通信を一時停止させて、静的解析の実行の要請を提示する処理と、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように該装置を設定する処理と、マルウェアが期待する応答を行うようにマルウェアの通信先の装置を設定した後、マルウェアによる通信を再開させる処理とを実行させるためのマルウェア解析プログラム。

（付記２）コンピュータに、静的解析によって得られた前記マルウェアが期待する応答を応答設定データベースに保存する処理を実行させるための付記１に記載のマルウェア解析プログラム。

（付記３）マルウェア解析プログラムを格納する非一時的な記録媒体であって、コンピュータによって実行されるときに、マルウェア解析プログラムが、マルウェアが動的解析されているときにマルウェアによる通信が発生したか否か判定し、マルウェアによる通信が発生したときに、通信を一時停止させて、静的解析の実行の要請を提示し、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように、該装置を設定する。

（付記４）コンピュータによって実行されるときに、マルウェア解析プログラムが、マルウェアが期待する応答を行うようにマルウェアの通信先の装置を設定した後、マルウェアによる通信を再開させる付記３に記載の記録媒体。

（付記５）コンピュータによって実行されるときに、マルウェア解析プログラムが、静的解析によって得られたマルウェアが期待する応答を応答設定データベースに保存する付記３または付記４に記載の記録媒体。

１０ マルウェア解析装置
１１ 動的解析部
１２ 通信判定部
１３ 静的解析要求部
１４ 設定変更部
１５ 通信再開部
１６ 応答設定データベース
２０ 疑似応答サーバ
５０ マルウェア解析システム
１００ マルウェア解析装置
１０１ 制御部
１０２ 静的解析制御部
１０３ 動的解析制御部
１０４ 設定変更部
１０５ 解析結果データベース
１０６ マルウェア実行部
１０７ 通信部
１０８ 応答設定データベース
２００ シンクホールサーバ
２０１ 応答生成部
２０２ 通信部
３００ オープンフローコントローラ
３０１ オープンフロースイッチ
１００１ プロセッサ
１００２ プログラムメモリ
１００３ 記憶媒体

Claims (9)

1. プロセッサが、
   サーバに対する送信データと該送信データに対応する応答データを記憶し、
   マルウェアを実行し、
   前記マルウェアが前記サーバに送信した送信データを解析し、
   解析結果に基づいて、前記マルウェアが送信した送信データに対応する応答をするよう前記サーバの設定を行う
   マルウェア解析方法。
2. 前記プロセッサが、
   前記マルウェアが送信した前記送信データを解析する際に、前記マルウェアの実行を停止する
   請求項１記載のマルウェア解析方法。
3. 前記プロセッサが、
   前記解析結果を表示し、
   前記解析結果に基づく、前記送信データに対応する応答データの入力を受け付け、
   前記入力を記憶する
   請求項１または請求項２記載のマルウェア解析方法。
4. サーバに対する送信データと該送信データに対応する応答データを記憶する記憶手段と、
   マルウェアを実行するマルウェア実行手段と、
   前記マルウェアが送信した送信データを解析する解析手段と、
   前記解析手段の解析結果に基づいて、前記マルウェアが送信した送信データに対応する応答をするよう前記サーバの設定を行う設定手段と
   を備えたマルウェア解析装置。
5. 前記解析手段は、前記マルウェアが送信した前記送信データを解析する際に、前記マルウェアの実行を停止する
   請求項４記載のマルウェア解析装置。
6. 前記解析結果を表示する表示手段と、
   前記解析結果に基づく、前記送信データに対応する応答データの入力を受け付る入力手段とを備え、
   前記記憶手段は、前記入力を記憶する
   請求項４または請求項５記載のマルウェア解析装置。
7. マルウェア解析装置と、該マルウェアに応答するサーバとを含み、
   前記マルウェア解析装置は、
   前記サーバに対する送信データと該送信データに対応する応答データを記憶する記憶手段と、
   マルウェアを実行するマルウェア実行手段と、
   前記マルウェアが前記サーバに送信した送信データを解析する解析手段と、
   前記解析手段の解析結果に基づいて、前記マルウェアが送信した送信データに対応する応答をするよう前記サーバの設定を行う設定手段とを含む
   マルウェア解析システム。
8. 前記解析手段は、前記マルウェアが送信した前記送信データを解析する際に、前記マルウェアの実行を停止する
   請求項７記載のマルウェア解析システム。
9. コンピュータに、
   サーバに対する送信データと該送信データに対応する応答データを記憶手段に記憶する処理と、
   マルウェアを実行する処理と、
   前記マルウェアが送信した送信データを解析する処理と、
   解析結果に基づいて、前記マルウェアが送信した送信データに対応する応答をするよう前記サーバの設定を行う処理と
   を実行させるためのマルウェア解析プログラム。

Images