WO2015182418A1 - 動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラム - Google Patents

動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラム Download PDF

Info

Publication number
WO2015182418A1
WO2015182418A1 PCT/JP2015/064178 JP2015064178W WO2015182418A1 WO 2015182418 A1 WO2015182418 A1 WO 2015182418A1 JP 2015064178 W JP2015064178 W JP 2015064178W WO 2015182418 A1 WO2015182418 A1 WO 2015182418A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
code
dynamic
storage unit
reading code
Prior art date
Application number
PCT/JP2015/064178
Other languages
English (en)
French (fr)
Inventor
孝昭 名雲
満昭 秋山
毅 八木
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to CN201580027969.0A priority Critical patent/CN106462704B/zh
Priority to EP15799613.3A priority patent/EP3136278B1/en
Priority to US15/312,952 priority patent/US10242191B2/en
Priority to JP2016523429A priority patent/JP6018344B2/ja
Publication of WO2015182418A1 publication Critical patent/WO2015182418A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software

Definitions

  • the present invention relates to a dynamic reading code analysis apparatus, a dynamic reading code analysis method, and a dynamic reading code analysis program.
  • dynamic loading code code that is dynamically loaded after installation
  • dynamic and static methods are known as application analysis methods.
  • tag information called a taint tag is assigned to user information in a mobile terminal for an application that transmits general user information, and the tag information is analyzed during network transmission or file writing.
  • the static method the application itself is analyzed and the data flow is analyzed without operating the application.
  • the dynamic loading code cannot be obtained in the first place.
  • user information transmitted to the outside can be detected by analyzing the taint tag, but the original code and the dynamic read code cannot be distinguished and analyzed. For this reason, in the dynamic method, it is not possible to specify which code causes the transmission of the user information.
  • the disclosed technology has been made in view of the above, and aims to identify a dynamic reading code that causes transmission of user information comprehensively and without false detection for a large number of applications. .
  • the dynamic reading code analyzing apparatus disclosed in the present application includes a storage unit, an extracting unit, and a specifying unit.
  • the storage unit is executed for dynamic reading code information indicating the class structure of the dynamic reading code for each dynamic reading code acquired via the network, tag information given to the user information, and the user information. Call method information associated with the class structure of the stored code.
  • the extraction unit detects transmission of user information to another device, and extracts tag information that matches tag information assigned to the detected user information from the call method information stored in the storage unit.
  • the class structure associated with the identified tag information is extracted.
  • the specifying unit searches the storage unit for dynamic reading code information indicating the extracted class structure, and specifies a dynamic reading code corresponding to the searched dynamic reading code information.
  • dynamic reading code analysis device dynamic reading code analysis method, and dynamic reading code analysis program, it is possible to transmit user information comprehensively and without false detection for a large number of applications. There is an effect that it is possible to specify the dynamic loading code that has been caused.
  • FIG. 1 is a diagram illustrating a configuration example of a dynamic read code analysis system according to the first embodiment.
  • FIG. 2 is a diagram for explaining a processing operation performed by the dynamic read code analyzing apparatus according to the first embodiment.
  • FIG. 3 is a diagram illustrating a configuration example of the dynamic read code analyzing apparatus according to the first embodiment.
  • FIG. 4 is a diagram illustrating an example of a data structure stored in the tag information storage unit according to the first embodiment.
  • FIG. 5 is a diagram illustrating an example of a data structure stored in the dynamic read code information storage unit according to the first embodiment.
  • FIG. 6 is a diagram illustrating an example of a data structure stored in the call method information storage unit according to the first embodiment.
  • FIG. 1 is a diagram illustrating a configuration example of a dynamic read code analysis system according to the first embodiment.
  • FIG. 2 is a diagram for explaining a processing operation performed by the dynamic read code analyzing apparatus according to the first embodiment.
  • FIG. 3 is a diagram illustrating a
  • FIG. 7 is a diagram for explaining the processing operation of the tag information control unit according to the first embodiment.
  • FIG. 8 is a flowchart showing a processing procedure performed by the dynamic reading code analyzing apparatus according to the first embodiment.
  • FIG. 9 is a flowchart illustrating a processing procedure performed by the dynamic read code information generation unit according to the first embodiment.
  • FIG. 10 is a flowchart illustrating a processing procedure performed by the call method information generation unit according to the first embodiment.
  • FIG. 11 is a diagram illustrating a configuration example of the dynamic read code analyzing apparatus according to the second embodiment.
  • FIG. 12 is a diagram illustrating a computer that executes a dynamic reading code analysis program.
  • FIG. 1 is a diagram illustrating a configuration example of a dynamic read code analysis system 1 according to the first embodiment.
  • a dynamic reading code analysis device 10 and an external device 3 are connected via a network 2 such as a LAN (Local Area Network).
  • the external device 4 and the mobile terminal device 5 are connected.
  • the configuration of the dynamic reading code analysis system 1 is not limited to the example shown in FIG.
  • the case where there are two external devices and one portable terminal device is illustrated, but the number of external devices and portable terminal devices is the number shown in FIG. It is not limited.
  • External device 3 manages dynamic reading codes.
  • dynamic loading code refers to a code that is incorporated into an application after the application is installed in the terminal.
  • the “dynamic read code” is a code that is dynamically read after installation with respect to a code at the time of application installation (hereinafter referred to as “original code”).
  • original code Such dynamic loading code may include code that adds a function of transmitting user information beyond the application privacy policy.
  • user information refers to information stored in a smartphone terminal including Android (registered trademark) that can identify an individual by another person and information that is not desired to be known by another person.
  • the user information includes an address, a telephone number, a name, a contractor ID (Identifier), a password, a card number, location information, a call history, and the like.
  • the external device 3 distributes the dynamic reading code to the portable terminal device 5 and the dynamic reading code analysis device 10 in response to an acquisition request from the portable terminal device 5 and the dynamic reading code analysis device 10. Note that the mobile terminal device 5 and the dynamic reading code analysis device 10 request the external device 3 to acquire the dynamic reading code intentionally or unintentionally.
  • External device 4 is a device that collects user information.
  • the external device 4 collects user information from the mobile terminal device 5 that acquired the dynamic reading code.
  • the mobile terminal device 5 is, for example, a smartphone or a tablet terminal.
  • the mobile terminal device 5 stores user information of the user of the mobile terminal device 5.
  • the mobile terminal device 5 accesses an application management device (not shown) that distributes the application in accordance with a user operation, and acquires the application.
  • the user information is transmitted to the external device 4 beyond the application privacy policy, for example.
  • the read dynamic read code may change dynamically. For this reason, even if the same original code is executed, the operation of the application changes depending on the dynamically loaded code. In such a case, the user information may be transmitted to the external device 4, for example, exceeding the application privacy policy.
  • the dynamic reading code analyzing apparatus 10 analyzes whether or not to transmit user information independently for the dynamic reading code.
  • the dynamic reading code analysis apparatus 10 constructs a protected area such as a sandbox, and analyzes the dynamic reading code in the protected area, so that the system of the dynamic reading code analysis apparatus 10 can be used. Prevent influence.
  • FIG. 2 is a diagram for explaining the processing operation by the dynamic read code analyzing apparatus 10 according to the first embodiment.
  • the dynamic reading code analysis device 10 identifies a dynamic reading code that causes transmission of user information from the dynamic reading codes acquired from the external device 3.
  • the dynamic reading code analysis device 10 requests the external device 3 to acquire a dynamic reading code (step S1). Then, the external device 3 transmits the dynamic reading code to the dynamic reading code analysis device 10 (step S2).
  • the dynamic reading code analyzing apparatus 10 analyzes the acquired dynamic reading code (step S3).
  • the dynamic reading code analysis apparatus 10 stores the analysis result of the dynamic reading code in the dynamic reading code information storage unit as dynamic reading code information.
  • the dynamic read code analysis device 10 operates the acquired application to perform dynamic analysis for analyzing the flow of user information (step S4).
  • the dynamic reading code analysis apparatus 10 performs taint analysis as dynamic analysis. More specifically, the dynamic reading code analysis apparatus 10 executes the application after tag information is added to the user information, and performs a method trace each time the user information is operated.
  • the dynamic reading code analyzing apparatus 10 stores the result of the method trace as call method information in the call method information storage unit.
  • step S5 When the dynamic reading code analysis device 10 detects tag information of information transmitted to the outside (step S5), the dynamic reading code information is collated with the call method information to cause transmission of user information. A dynamic reading code is identified (step S6).
  • FIG. 3 is a diagram illustrating a configuration example of the dynamic reading code analyzing apparatus 10 according to the first embodiment.
  • the dynamic reading code analysis apparatus 10 includes an input unit 11, an output unit 12, a communication control unit 13, a control unit 14, and a storage unit 15.
  • the input unit 11 accepts various operations from the operator of the dynamic reading code analyzing apparatus 10.
  • the output unit 12 is a liquid crystal display, for example, and outputs various types of information.
  • the communication control unit 13 controls communication related to various information exchanged with other devices connected via the network 2. For example, the communication control unit 13 requests the external device 3 to acquire a dynamic reading code and receives the dynamic reading code from the external device 3.
  • the storage unit 15 is, for example, a semiconductor memory element such as a RAM (Random Access Memory) or a flash memory, or a storage device such as a hard disk or an optical disk.
  • the storage unit 15 includes a tag information storage unit 15a, a dynamic read code information storage unit 15b, a call method information storage unit 15c, and a user information storage unit 15d.
  • the user information storage unit 15d stores user information.
  • the user information refers to information stored in a smartphone terminal including Android (registered trademark) that can identify an individual by another person and information that the other person does not want to be known.
  • the user information includes, for example, an address, a telephone number, a name, a contractor ID, a password, a card number, location information, a call history, and the like.
  • User information includes user terminal identification number, SIM (Subscriber Identity Module) identification number, OS (Operating System) generation identification number, camera image, SMS (Short Message Service) information, bookmark information, etc. May be.
  • SIM Subscriber Identity Module
  • OS Operating System
  • SMS Short Message Service
  • bookmark information etc. May be.
  • the user information stored in the dynamic reading code analyzing apparatus 10 may be dummy data instead of actual user information.
  • the tag information storage unit 15a stores tag information indicating a taint tag given to information to be tracked.
  • FIG. 4 is a diagram illustrating an example of a data structure stored in the tag information storage unit 15a according to the first embodiment.
  • the tag information storage unit 15 a stores information in which “taint tag ID”, “taint source”, “address”, and “user information determination information” are associated with each other.
  • the “taint tag ID” stored in the tag information storage unit 15a indicates an identifier of the taint tag. For example, “tag A”, “tag B”, and the like are stored in “taint tag ID”. Further, the “taint source” stored in the tag information storage unit 15a indicates a target to which a taint is given. In other words, the taint source is information to be tracked and includes user information. For example, “XX”, “YY”, “ABC”, and the like are stored in the “taint source”. Here, “XX” and “YY” are user information, and “ABC” is information other than user information.
  • the “address” stored in the tag information storage unit 15a indicates the storage position where the taint source is stored in the storage area. For example, “1000-1100”, “2000-2100”, and the like are stored in the “address”. Note that the value stored in the “address” is updated in accordance with a change in the storage location where the taint source is stored.
  • the “user information determination information” stored in the tag information storage unit 15a indicates whether the taint source is user information. For example, “1” indicating that the taint source is user information, “0” indicating that the taint source is not user information, and the like are stored in the “user information determination information”.
  • the taint tag given to the taint source “XX” as user information is “tag A”, and the taint source “XX” is an address “1000-1100”. "Is stored. Further, in the tag information storage unit 15a shown in FIG. 4, the taint tag given to the taint source “YY” as the user information is “tag B”, and the taint source “YY” is stored in the address “2000-2100”. Indicates that Further, in the tag information storage unit 15a shown in FIG. 4, the taint tag given to the taint source “ABC” that is not user information is “tag C”, and the taint source “ABC” is stored at the address “3000-3100”. Indicates that
  • the dynamic read code information storage unit 15b stores dynamic read code information indicating the class structure of the dynamic read code for each dynamic read code acquired via the network.
  • FIG. 5 is a diagram illustrating an example of a data structure stored in the dynamic read code information storage unit 15b according to the first embodiment.
  • the dynamic reading code information storage unit 15 b stores information in which “dynamic reading code ID”, “package name”, and “class name” are associated with each other.
  • the “package name” and “class name” stored in the dynamic read code information storage unit 15b are also referred to as “analysis information”.
  • the “dynamic reading code ID” stored in the dynamic reading code information storage unit 15b indicates an identifier of the dynamic reading code. For example, “1”, “2”, and the like are stored in “dynamic reading code ID”.
  • “package name” stored in the dynamic reading code information storage unit 15b indicates a package name as a class structure of the dynamic reading code. For example, “com.twxxxx.android”, “com.xxxx.android.apps.A”, and the like are stored in the “package name”.
  • the “class name” stored in the dynamic reading code information storage unit 15b indicates a class name as a class structure of the dynamic reading code. For example, “classC”, “classA”, and the like are stored in “class name”.
  • the dynamic read code information storage unit 15b shown in FIG. 5 has a class structure of a dynamic read code whose dynamic read code ID is “1” having “com.twxxxx.android” and “classC”. Indicates that Further, in the dynamic read code information storage unit 15b illustrated in FIG. 5, the class structure of the dynamic read code whose dynamic read code ID is “2” is “com.xxxle.android.apps.A” and “classA”. ".
  • the call method information storage unit 15c stores call method information in which tag information given to user information is associated with a class structure of a code executed for the user information.
  • FIG. 6 is a diagram illustrating an example of a data structure stored in the call method information storage unit 15c according to the first embodiment.
  • the call method information storage unit 15 c stores information in which “taint tag ID”, “package name”, and “class name” are associated with each other.
  • the “package name” and “class name” stored in the call method information storage unit 15c are also referred to as “trace information”.
  • “taint tag ID” stored in the call method information storage unit 15c indicates an identifier of the taint tag. For example, “tag A”, “tag B”, and the like are stored in “taint tag ID”.
  • the “package name” stored in the call method information storage unit 15c indicates a package name as a class structure of code executed when the taint tag is propagated. For example, “com.yyyy”, “com.xxxle.android.apps.A”, and the like are stored in the “package name”.
  • the “class name” stored in the call method information storage unit 15c indicates the class name as the class structure of the code executed when the taint tag is propagated. For example, “class B”, “class A”, and the like are stored in the “class name”.
  • the call method information storage unit 15c illustrated in FIG. 6 has the class structure of the code executed when the taint tag with the taint tag ID “tag A” is propagated as “com.yyyy” and “classB”. Indicates that there is.
  • the class structure of the code executed when the taint tag with the taint tag ID “tag B” is propagated is “com.xxxle.android.apps.A” and “ classA ".
  • the control unit 14 is an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit), or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • the control unit 14 includes a dynamic read code information generation unit 14a, a call method information generation unit 14b, an extraction unit 14c, a specification unit 14d, and a tag information control unit 14e.
  • the tag information control unit 14e performs taint analysis as dynamic analysis.
  • FIG. 7 is a diagram for explaining the processing operation of the tag information control unit 14e according to the first embodiment.
  • the tag information control unit 14e assigns a tag A to information XX that is user information as a taint source, and attaches a tag B to information YY that is user information as a taint source. Each is stored in the register.
  • the tag information control unit 14e also processes the attribute A and the attribute B according to the propagation rule.
  • the tag information control unit 14e adds the attribute A and the attribute B, and the tag information of the information ZZ becomes “attribute A, attribute B”. As described above, the tag information control unit 14e propagates the taint tag when the arithmetic processing for the user information is executed.
  • the extraction unit 14c described below detects that the information ZZ has been transmitted over the network. In this case, the extraction unit 14c analyzes the tag information “attribute A, attribute B” of the information ZZ and determines whether the transmitted information is user information.
  • the dynamic reading code information generation unit 14a generates dynamic reading code information. For example, the dynamic reading code information generation unit 14a monitors a class that uses a dynamic reading code with DexClassLoader or the like, and detects the dynamic reading code when this class is used.
  • the dynamic reading code information generation unit 14 a analyzes the dynamic reading code acquired via the network, generates dynamic reading code information, and stores it in the storage unit 15.
  • the dynamic reading code is in a DEX (Dalvik EXecutable) file format as in the case of the internal code, the dynamic reading code information generation unit 14a performs “package name” and “ "Class name”.
  • the dynamic read code information generation unit 14a sets the dynamic read code information in which the identified “package name” and “class name” are associated with the “dynamic read code ID” of the detected dynamic read code. Generated and stored in the dynamic read information storage unit 15b.
  • the call method information generation unit 14b generates a call method information by analyzing a code executed by the calculation process when the calculation process is performed on the user information, and stores the generated call method information in the storage unit 15. Store. For example, the call method information generation unit 14b performs method tracing when the tag information control unit 14e executes arithmetic processing on user information. In other words, the call method information generation unit 14b causes the call method to be output using taint analysis as a trigger.
  • the call method information generation unit 14b sets the call method information in which at least the “package name” and the “class name” among the output call methods are associated with the “taint tag ID” of the taint tag on which the arithmetic processing has been performed. Generated and stored in the call method information storage unit 15c.
  • the extraction unit 14c detects transmission of user information to another device, and identifies tag information that matches tag information given to the detected user information from the call method information stored in the storage unit 15. Then, the class structure associated with the identified tag information is extracted. Detailed processing of the extraction unit 14c will be described later with reference to FIG.
  • the specifying unit 14d searches the storage unit 15 for dynamic reading code information indicating the class structure extracted by the extracting unit 14c, and specifies a dynamic reading code corresponding to the searched dynamic reading code information.
  • the identifying unit 14d searches the storage unit 15 for dynamic reading code information indicating the extracted class structure when the transmission of user information is detected, and the searched dynamic reading code information. Identify the dynamic loading code corresponding to.
  • the specifying unit 14d receives, from the dynamic read code information storage unit 15b, a dynamic read code including a package name and a class name that matches the package name and class name of the code executed for the user information. Identify. Detailed processing of the specifying unit 14d will be described later with reference to FIG.
  • FIG. 8 is a flowchart showing a processing procedure performed by the dynamic read code analyzing apparatus 10 according to the first embodiment.
  • the extraction unit 14c of the dynamic reading code analyzing apparatus 10 determines whether or not information transmission is detected (step S101). For example, the extraction unit 14c determines that transmission of information has been detected when an API for network communication is called. If the extraction unit 14c does not determine that transmission of information has been detected (No in step S101), the extraction unit 14c determines whether transmission of repeated information has been detected.
  • the extraction unit 14c analyzes the taint of information to be transmitted (step S102). For example, the extraction unit 14c reads a taint tag attached to information to be transmitted. Then, the extraction unit 14c identifies a taint tag that matches the read taint tag from the tag information storage unit 15a, and reads a value stored in “user information determination information” associated with the identified taint tag.
  • the extraction unit 14c determines whether the information is user information (step S103). For example, the extraction unit 14c refers to “user information determination information” in the tag information storage unit 15a, and determines that the information to be transmitted is user information when the stored value is “1”. When the stored value is “0”, it is determined that the information to be transmitted is not user information. Note that the extraction unit 14c determines that the information to be transmitted is not user information when the taint tag is not added to the information to be transmitted. In addition, the extraction part 14c complete
  • the extraction unit 14c reads the trace information corresponding to the taint tag (step S104). For example, the extraction unit 14c identifies a taint tag that matches the read taint tag from the call method information storage unit 15c, and reads values stored in “package name” and “class name” associated with the identified taint tag. . For example, when the taint tag given to the user information is “tag B” shown in FIG. 6, the extraction unit 14 c extracts “com.xxxle.android.apps.A” and “classA” as trace information. . If the taint tag given to the user information is “tag A” shown in FIG. 6, the extraction unit 14 c extracts “com.yyyyy” and “classB” as trace information.
  • the specifying unit 14d determines whether or not dynamic reading code information exists (step S105). For example, the specifying unit 14d searches the dynamic reading information storage unit 15b and determines whether or not dynamic reading information exists. Here, if the specifying unit 14d does not determine that the dynamic reading code information is present (No in step S105), the specifying unit 14d determines that transmission of the user information by the dynamic reading code does not occur, and ends the processing. .
  • the specifying unit 14d determines whether there is dynamic reading code information that matches the trace information (step S106). For example, a case where the taint tag given to the user information is “tag B” shown in FIG. 6 will be described. In this case, the specifying unit 14d searches the dynamic read code information storage unit 15b for dynamic read code information that matches “com.xxxx.android.apps.A” and “classA” as trace information, and dynamically reads the dynamic read code information. The dynamic reading code whose code ID is “2” is specified. On the other hand, the case where the taint tag given to the user information is “tag A” shown in FIG. 6 will be described. In such a case, the specifying unit 14d searches the dynamic read code information storage unit 15b for dynamic read code information that matches “com.yyyy” and “class B” as trace information, but there is no matching dynamic read code. Is determined.
  • the specifying unit 14d uses the dynamic reading code information that caused the transmission of the user information as the dynamic reading code information that matches. It is specified as a code (step S107).
  • FIG. 9 is a flowchart illustrating a processing procedure performed by the dynamic read code information generation unit 14a according to the first embodiment.
  • the dynamic read code information generation unit 14a determines whether or not a dynamic read code is detected (step S201). For example, the dynamic read code information generation unit 14a detects a dynamic read code when a class that uses the dynamic read code is used in DexClassLoader or the like. Here, if the dynamic read code information generation unit 14a does not determine that a dynamic read code has been detected (No in step S201), the dynamic read code information generation unit 14a determines whether a repeated dynamic read code has been detected.
  • step S201 when it is determined that the dynamic reading code information generation unit 14a has detected the dynamic reading code (step S201, Yes), the detected dynamic reading code is analyzed (step S202). Then, the dynamic read code information generation unit 14a identifies “package name” and “class name” by reverse engineering analysis of the DEX file (step S203).
  • the dynamic read code information generation unit 14a assigns a “dynamic read code ID” to the detected dynamic read code, and identifies the “package name” and “ Dynamic reading code information associated with “class name” is generated and stored in the dynamic reading information storage unit 15b (step S204).
  • FIG. 10 is a flowchart illustrating a processing procedure performed by the call method information generation unit 14b according to the first embodiment.
  • the call method information generation unit 14b determines whether or not a calculation process of user information has been detected (step S301).
  • the call method information generation unit 14b determines whether the calculation process of user information has been repeatedly detected.
  • the call method information generation unit 14b outputs the call method (step S302). Then, the call method information generation unit 14b acquires at least the “package name” and the “class name” among the output call methods (step S303).
  • the call method information generation unit 14b generates call method information in which the acquired “package name” and “class name” are associated with the “taint tag ID” of the taint tag on which the arithmetic processing has been performed, and the call method The information is stored in the information storage unit 15c (step S304).
  • the dynamic reading code analyzing apparatus 10 identifies the class structure of the code that transmitted the user information by analyzing the taint tag given to the user information. Then, the dynamic reading code analyzing apparatus 10 according to the first embodiment identifies the dynamic reading code that caused the transmission of the user information based on the class structure of the code. Here, the dynamic reading code analyzing apparatus 10 according to the first embodiment specifies the dynamic reading code when the transmission of the user information is detected. Thereby, the dynamic reading code analyzing apparatus 10 according to the first embodiment can specify the dynamic reading code that caused the transmission of the user information.
  • the dynamic reading code analyzing apparatus 10 specifies a dynamic reading code including a package name and a class name that match the package name and the class name of the code executed for the user information. .
  • the dynamic reading code analyzing apparatus 10 according to the first embodiment can specify the dynamic reading code that caused the transmission of user information comprehensively and without false detection for a large number of applications. it can.
  • the extraction unit 14c refers to the user information determination information stored in the tag information storage unit 15a, and determines whether the information to be transmitted is user information.
  • the embodiment is not limited to this. For example, when a taint tag is assigned only to user information, the extraction unit 14c does not have to determine whether the information to be transmitted is user information.
  • the specifying unit 14d has been described as specifying the dynamic reading code corresponding to the extracted trace information when the transmission of the user information is detected. It is not limited to this.
  • the specifying unit 14d may specify the dynamic reading code using the trace information extracted every predetermined interval. Therefore, in the second embodiment, the trace information extracted by the extraction unit 14c is stored in the storage unit 15, and the specifying unit 14d reads the trace information at predetermined intervals to specify the dynamic reading code. The case will be described.
  • FIG. 11 is a diagram illustrating a configuration example of the dynamic reading code analyzing apparatus 100 according to the second embodiment.
  • the dynamic reading code analyzing apparatus 100 includes an input unit 11, an output unit 12, a communication control unit 13, a control unit 140, and a storage unit 150.
  • the storage unit 150 is, for example, a semiconductor memory device such as a RAM or a flash memory, or a storage device such as a hard disk or an optical disk.
  • the storage unit 150 includes a tag information storage unit 15a, a dynamic reading code information storage unit 15b, a call method information storage unit 15c, a user information storage unit 15d, and a trace information storage. Part 15e.
  • the trace information storage unit 15e stores the trace information extracted by the extraction unit 14c.
  • the control unit 140 is an electronic circuit such as a CPU or MPU, or an integrated circuit such as an ASIC or FPGA.
  • the control unit 140 includes a dynamic read code information generation unit 14a, a call method information generation unit 14b, an extraction unit 14c, a specification unit 14d, a tag information control unit 14e, and a storage control unit 14f.
  • the storage control unit 14f stores the trace information extracted by the extraction unit 14c in the trace information storage unit 15e.
  • the storage control unit 14f stores the class structure extracted by the extraction unit 14c in the trace information storage unit 15e.
  • the specifying unit 14d according to the second embodiment reads the trace information from the trace information storage unit 15e at every predetermined interval, specifies the analysis information corresponding to the read trace information, and is associated with the analysis information. Identify dynamic loading code.
  • the specifying unit 14d according to the second embodiment reads the class structure extracted from the trace information storage unit 15e at every predetermined interval, and dynamically reads code information indicating the extracted class structure, A search is performed from the storage unit 15, and a dynamic reading code corresponding to the searched dynamic reading code information is specified.
  • the dynamic reading code analyzing apparatus 100 identifies the class structure of the code that transmitted the user information by analyzing the taint tag given to the user information. Then, the dynamic reading code analyzing apparatus 100 according to the second embodiment specifies the dynamic reading code that caused the transmission of the user information based on the code class structure.
  • the dynamic read code analyzing apparatus 100 according to the second embodiment reads the trace information from the trace information storage unit 15e at every predetermined interval, specifies the analysis information corresponding to the read trace information, and analyzes the analysis information. Identify the dynamic loading code associated with.
  • the dynamic reading code analyzing apparatus 100 according to the second embodiment can identify the dynamic reading code that caused the transmission of user information comprehensively for a large number of applications and without erroneous detection. it can.
  • each component of each illustrated apparatus is functionally conceptual, and does not necessarily need to be physically configured as illustrated.
  • the specific form of distribution / integration of each device is not limited to that shown in the figure, and all or a part thereof may be functionally or physically distributed or arbitrarily distributed in arbitrary units according to various loads or usage conditions. Can be integrated and configured.
  • the call method information generation unit 14b and the tag information control unit 14e may be integrated.
  • all or a part of each processing function performed in each device may be realized by a CPU and a program that is analyzed and executed by the CPU, or may be realized as hardware by wired logic.
  • program It is also possible to create a program in which the processing executed by the dynamic reading code analyzing apparatus 10 described in the first embodiment is described in a language that can be executed by a computer.
  • a dynamic reading code analysis program in which the processing executed by the dynamic reading code analysis apparatus 10 according to the first embodiment is described in a language that can be executed by a computer.
  • the same effect as the first embodiment can be obtained by the computer executing the dynamic read code analysis program.
  • the first embodiment is obtained by recording the dynamic reading code analysis program on a computer-readable recording medium, and reading and executing the dynamic reading code analysis program recorded on the recording medium.
  • the same processing may be realized.
  • An example of a computer that executes a dynamic reading code analysis program that realizes the same function as that of the dynamic reading code analysis apparatus 10 shown in FIG. 3 will be described below.
  • FIG. 12 is a diagram showing a computer 1000 that executes a dynamic reading code analysis program.
  • the computer 1000 includes, for example, a memory 1010, a CPU 1020, a hard disk drive interface 1030, a disk drive interface 1040, a serial port interface 1050, a video adapter 1060, and a network interface 1070. These units are connected by a bus 1080.
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012 as illustrated in FIG.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • the hard disk drive interface 1030 is connected to the hard disk drive 1031 as illustrated in FIG.
  • the disk drive interface 1040 is connected to the disk drive 1041 as illustrated in FIG.
  • a removable storage medium such as a magnetic disk or an optical disk is inserted into the disk drive 1041.
  • the serial port interface 1050 is connected to, for example, a mouse 1051 and a keyboard 1052 as illustrated in FIG.
  • the video adapter 1060 is connected to a display 1061, for example, as illustrated in FIG.
  • the hard disk drive 1031 stores, for example, an OS 1091, an application program 1092, a program module 1093, and program data 1094.
  • the dynamic reading code analysis program is stored in, for example, the hard disk drive 1031 as a program module in which a command executed by the computer 1000 is described.
  • a program module in which an extraction procedure for executing information processing similar to that of the extraction unit 14c described in the above embodiment and a specific procedure for executing information processing similar to that of the specifying unit 14d are described. 1031 is stored.
  • the various data described in the first embodiment is stored as program data in, for example, the memory 1010 or the hard disk drive 1031. Then, the CPU 1020 reads the program module 1093 and the program data 1094 stored in the memory 1010 and the hard disk drive 1031 to the RAM 1012 as necessary, and executes various processing procedures.
  • program module 1093 and the program data 1094 related to the dynamic reading code analysis program are not limited to being stored in the hard disk drive 1031, but are stored in, for example, a removable storage medium and read by the CPU 1020 via the disk drive or the like. May be issued.
  • the program module 1093 and the program data 1094 related to the dynamically loaded code analysis program are stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.) It may be read by the CPU 1020 via the interface 1070.
  • LAN Local Area Network
  • WAN Wide Area Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Bioethics (AREA)
  • Debugging And Monitoring (AREA)
  • Telephonic Communication Services (AREA)
  • Telephone Function (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Stored Programmes (AREA)

Abstract

　動的読み込みコード解析装置は、記憶部と抽出部と特定部とを備える。記憶部は、ネットワークを介して取得した動的読み込みコード毎に動的読み込みコードのクラス構造を示す動的読み込みコード情報と、利用者情報に付与されたタグ情報と利用者情報について実行されたコードのクラス構造とを対応付けたコールメソッド情報と、を記憶する。抽出部は、他装置への利用者情報の送信を検出し、この利用者情報に対して付与されたタグ情報と一致するタグ情報を、記憶部に記憶されたコールメソッド情報から特定し、このタグ情報に対応付けられたクラス構造を抽出する。特定部は、このクラス構造を示す動的読み込みコード情報を、記憶部から検索し、この動的読み込みコード情報に対応する動的読み込みコードを特定する。

Description

動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラム
　本発明は、動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラムに関する。
　現在、例えば、Ａｎｄｒｏｉｄ（登録商標）アプリケーションなどのモバイル端末向けのアプリケーションにおいて、モバイル端末に蓄積された電話帳データ、位置情報、通話履歴、ブラウザのアクセス履歴などを含む利用者情報を用いて利便性の高いサービスを提供している。
　この一方で、アプリケーションのインストール時におけるコード（オリジナルコード）に対して、インストール後に動的に読み込まれるコード（以下、「動的読み込みコード」と言う）が、サービスに不必要な利用者情報まで取得して外部に送信する場合が多い。
　また、アプリケーションの解析手法には、動的手法と静的手法とが知られている。例えば、動的手法では、一般的な利用者情報を送信するアプリケーションに対して、モバイル端末内の利用者情報にテイントタグと呼ばれるタグ情報を付与し、ネットワーク送信やファイル書き込み時にタグ情報を解析する。一方で、静的手法では、アプリケーションを動作させずにアプリケーション自体を解析してデータフローを解析する。
Sebastian　Poeplau　et　al.,　"Execute　This!　Analyzing　Unsafe　and　Malicious　Dynamic　Code　Loading　in　Android　Applications",　Proceedings　of　Annual　Network　&　Distributed　System　Security　Symposium　(NDSS),　2014. "androguard"、[online]、[平成２６年５月１９日検索]、インターネット＜https://code.google.com/p/androguard/＞ William　Enck　et　al.,　"TaintDroid:　An　Information-Flow　Tracking　System　for　Realtime　Privacy　Monitoring　on　Smartphones",　Proceedings　of　the　9th　USENIX　Symposium　on　Operating　Systems　Design　and　Implementation　(OSDI),　2010.
　しかしながら、上記の従来技術では、大量のアプリケーションに対して網羅的に、かつ誤検知なく利用者情報の送信を引き起こした動的読み込みコードを特定することができないという問題がある。なお、ここで言う「誤検知」とは、アプリケーション動作時に起こり得ない動作を検知してしまうことである。
　例えば、静的手法では、アプリケーションを動作させないので動的読み込みコードをそもそも入手することができない。また、動的手法では、テイントタグを解析することで外部に送信される利用者情報を検出することが可能であるが、オリジナルコードと動的読み込みコードとを区別して解析することができない。このため、動的手法では、利用者情報の送信がどのコードに起因するのかを特定することができない。
　開示の技術は、上述に鑑みてなされたものであって、大量のアプリケーションに対して網羅的に、かつ誤検知なく利用者情報の送信を引き起こした動的読み込みコードを特定することを目的とする。
　本願の開示する動的読み込みコード解析装置は、記憶部と、抽出部と、特定部とを備える。記憶部は、ネットワークを介して取得した動的読み込みコード毎に前記動的読み込みコードのクラス構造を示す動的読み込みコード情報と、利用者情報に付与されたタグ情報と前記利用者情報について実行されたコードのクラス構造とを対応付けたコールメソッド情報と、を記憶する。抽出部は、他装置への利用者情報の送信を検出し、検出した前記利用者情報に対して付与されたタグ情報と一致するタグ情報を、前記記憶部に記憶された前記コールメソッド情報から特定し、特定したタグ情報に対応付けられたクラス構造を抽出する。特定部は、抽出された前記クラス構造を示す動的読み込みコード情報を、前記記憶部から検索し、検索された動的読み込みコード情報に対応する動的読み込みコードを特定する。
　開示する動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラムの一つの態様によれば、大量のアプリケーションに対して網羅的に、かつ誤検知なく利用者情報の送信を引き起こした動的読み込みコードを特定することができるという効果を奏する。
図１は、第１の実施形態に係る動的読み込みコード解析システムの構成例を示す図である。 図２は、第１の実施形態に係る動的読み込みコード解析装置による処理動作を説明するための図である。 図３は、第１の実施形態に係る動的読み込みコード解析装置の構成例を示す図である。 図４は、第１の実施形態に係るタグ情報記憶部が記憶するデータ構造の一例を示す図である。 図５は、第１の実施形態に係る動的読み込みコード情報記憶部が記憶するデータ構造の一例を示す図である。 図６は、第１の実施形態に係るコールメソッド情報記憶部が記憶するデータ構造の一例を示す図である。 図７は、第１の実施形態に係るタグ情報制御部の処理動作を説明するための図である。 図８は、第１の実施形態に係る動的読み込みコード解析装置による処理手順を示すフローチャートである。 図９は、第１の実施形態に係る動的読み込みコード情報生成部による処理手順を示すフローチャートである。 図１０は、第１の実施形態に係るコールメソッド情報生成部による処理手順を示すフローチャートである。 図１１は、第２の実施形態に係る動的読み込みコード解析装置の構成例を示す図である。 図１２は、動的読み込みコード解析プログラムを実行するコンピュータを示す図である。
　以下に、開示する動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラムの実施形態について、図面に基づいて詳細に説明する。なお、本実施形態により開示する発明が限定されるものではない。
（第１の実施形態）
　図１は、第１の実施形態に係る動的読み込みコード解析システム１の構成例を示す図である。図１に示すように、第１の実施形態に係る動的読み込みコード解析システム１では、ＬＡＮ（Local　Area　Network）などのネットワーク２を介して、動的読み込みコード解析装置１０と、外部装置３と、外部装置４と、携帯端末装置５とが接続される。なお、動的読み込みコード解析システム１の構成は、図１に示す例に限定されるものではない。例えば、図１に示す例では、外部装置が２台であり、携帯端末装置が１台である場合を図示しているが、外部装置及び携帯端末装置の数は、図１に示した数に限定されるものではない。
　外部装置３は、動的読み込みコードを管理する。ここで言う「動的読み込みコード」とは、アプリケーションが端末へインストールされた後に、アプリケーションに組み込まれるコードを示す。言い換えると、「動的読み込みコード」は、アプリケーションのインストール時におけるコード（以下、「オリジナルコード」と言う）に対して、インストール後に動的に読み込まれるコードである。このような動的読み込みコードには、アプリケーションプライバシーポリシーを越えて利用者情報を送信する機能を付加するものが含まれる場合がある。なお、ここで言う「利用者情報」とは、Ａｎｄｒｏｉｄ（登録商標）を含むスマートフォン端末に格納される、他人によって個人を特定可能な情報及び他人には知られたくない情報を示す。例えば、利用者情報には、住所、電話番号、氏名、契約者ＩＤ（Identifier）、パスワード、カード番号、位置情報、通話履歴などが含まれる。
　また、外部装置３は、携帯端末装置５や動的読み込みコード解析装置１０からの取得要求に応じて、動的読み込みコードを携帯端末装置５や動的読み込みコード解析装置１０に配信する。なお、携帯端末装置５や動的読み込みコード解析装置１０は、意図して或いは意図せずに、動的読み込みコードの取得を外部装置３に要求する。
　外部装置４は、利用者情報を収集する装置である。例えば、外部装置４は、動的読み込みコードを取得した携帯端末装置５から利用者情報を収集する。
　携帯端末装置５は、例えば、スマートフォンやタブレット端末などである。この携帯端末装置５には、携帯端末装置５の利用者の利用者情報が格納される。この携帯端末装置５は、利用者の操作に応じて、アプリケーションを配布するアプリケーション管理装置（図示せず）にアクセスし、アプリケーションを取得する。
　また、携帯端末装置５が取得したアプリケーションのオリジナルコードが、例えば広告収入を目的とした動的読み込みコードを使用した場合、アプリケーションプライバシーポリシーを越えて利用者情報が例えば外部装置４に送信される場合がある。また、ネットワーク２から取得したコードを読み込む際は、読み込まれる動的読み込みコードが動的に変化する場合がある。このため、同じオリジナルコードを実行しても動的読み込みコードに依存してアプリケーションの動作は変化する。かかる場合、アプリケーションプライバシーポリシーを越えて利用者情報が例えば外部装置４に送信される場合がある。
　このようなことから、第１の実施形態に係る動的読み込みコード解析装置１０は、動的読み込みコードについて独立して利用者情報の送信を行うかどうかを解析する。例えば、動的読み込みコード解析装置１０は、サンドボックスなどの保護された領域を構築し、この保護された領域内で動的読み込みコードを解析することで、動的読み込みコード解析装置１０のシステムに影響が及ばないようにする。
　図２は、第１の実施形態に係る動的読み込みコード解析装置１０による処理動作を説明するための図である。図２に示す例では、動的読み込みコード解析装置１０が、外部装置３から取得した動的読み込みコードの中から、利用者情報の送信を引き起こした動的読み込みコードを特定する場合について説明する。
　図２に示すように、動的読み込みコード解析装置１０は、外部装置３に動的読み込みコードの取得を要求する（ステップＳ１）。そして、外部装置３は、動的読み込みコードを動的読み込みコード解析装置１０に送信する（ステップＳ２）。
　また、動的読み込みコード解析装置１０は、取得した動的読み込みコードを解析する（ステップＳ３）。ここで、動的読み込みコード解析装置１０は、動的読み込みコードの解析結果を動的読み込みコード情報として動的読み込みコード情報記憶部に記憶する。
　また、動的読み込みコード解析装置１０は、取得したアプリケーションを動作させて、利用者情報の流れを解析する動的解析を行う（ステップＳ４）。例えば、動的読み込みコード解析装置１０は、動的解析として、テイント解析を行う。より具体的には、動的読み込みコード解析装置１０は、利用者情報にタグ情報を付与した後に、アプリケーションを実行し、利用者情報が操作されるごとにメソッドトレースを行う。動的読み込みコード解析装置１０は、メソッドトレースの結果をコールメソッド情報としてコールメソッド情報記憶部に記憶する。
　そして、動的読み込みコード解析装置１０は、外部に送信される情報のタグ情報を検出すると（ステップＳ５）、動的読み込みコード情報とコールメソッド情報とを照合して、利用者情報の送信を引き起こした動的読み込みコードを特定する（ステップＳ６）。
　次に、図３を用いて、図１に示した動的読み込みコード解析装置１０の構成を説明する。図３は、第１の実施形態に係る動的読み込みコード解析装置１０の構成例を示す図である。図３に示すように、動的読み込みコード解析装置１０は、入力部１１、出力部１２、通信制御部１３、制御部１４および記憶部１５を有する。
　入力部１１は、動的読み込みコード解析装置１０の操作者からの各種操作を受付ける。出力部１２は、例えば液晶ディスプレイ等であり、各種情報を出力する。通信制御部１３は、ネットワーク２を介して接続された他装置との間でやり取りする各種情報に関する通信を制御する。例えば、通信制御部１３は、外部装置３に対して動的読み込みコードの取得を要求し、外部装置３から動的読み込みコードを受信する。
　記憶部１５は、例えば、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。例えば、記憶部１５は、図３に示すように、タグ情報記憶部１５ａと、動的読み込みコード情報記憶部１５ｂと、コールメソッド情報記憶部１５ｃと、利用者情報記憶部１５ｄとを有する。
　利用者情報記憶部１５ｄは、利用者情報を記憶する。ここで、利用者情報とは、Ａｎｄｒｏｉｄ（登録商標）を含むスマートフォン端末に格納される、他人によって個人を特定可能な情報及び他人には知られたくない情報を示す。利用者情報には、例えば、住所、電話番号、氏名、契約者ＩＤ、パスワード、カード番号、位置情報、通話履歴などが含まれる。また、利用者情報には、利用者端末の識別番号、ＳＩＭ（Subscriber　Identity　Module）識別番号、ＯＳ（Operating　System）生成識別番号、カメラ画像、ＳＭＳ（Short　Message　Service）情報、ブックマーク情報などが含まれてもよい。なお、動的読み込みコード解析装置１０が記憶する利用者情報は、実在する利用者情報ではなくダミーデータであってもよい。
　タグ情報記憶部１５ａは、追跡したい情報に付与されたテイントタグを示すタグ情報を記憶する。図４は、第１の実施形態に係るタグ情報記憶部１５ａが記憶するデータ構造の一例を示す図である。例えば、図４に示すように、タグ情報記憶部１５ａは、「テイントタグＩＤ」と、「テイントソース」と、「アドレス」と、「利用者情報判定情報」とを対応付けた情報を記憶する。
　ここで、タグ情報記憶部１５ａが記憶する「テイントタグＩＤ」は、テイントタグの識別子を示す。例えば、「テイントタグＩＤ」には、「タグＡ」、「タグＢ」などが格納される。また、タグ情報記憶部１５ａが記憶する「テイントソース」は、テイントを付与する対象を示す。言い換えると、テイントソースとは追跡したい情報であり、利用者情報が含まれる。例えば、「テイントソース」には、「ＸＸ」、「ＹＹ」、「ＡＢＣ」などが格納される。なお、ここで、「ＸＸ」及び「ＹＹ」は、利用者情報であり、「ＡＢＣ」は、利用者情報以外の情報であるものとする。
　また、タグ情報記憶部１５ａが記憶する「アドレス」は、記憶領域においてテイントソースが格納された記憶位置を示す。例えば、「アドレス」には、「１０００－１１００」、「２０００－２１００」などが格納される。なお、「アドレス」に格納される値は、テイントソースの格納される記憶位置の変更に応じて更新される。また、タグ情報記憶部１５ａが記憶する「利用者情報判定情報」は、テイントソースが利用者情報であるか否かを示す。例えば、「利用者情報判定情報」には、テイントソースが利用者情報であることを示す「１」、テイントソースが利用者情報ではないことを示す「０」などが格納される。
　一例をあげると、図４に示すタグ情報記憶部１５ａは、利用者情報であるテイントソース「ＸＸ」に付与されたテイントタグが「タグＡ」であり、テイントソース「ＸＸ」がアドレス「１０００－１１００」に格納されていることを示す。また、図４に示すタグ情報記憶部１５ａは、利用者情報であるテイントソース「ＹＹ」に付与されたテイントタグが「タグＢ」であり、テイントソース「ＹＹ」がアドレス「２０００－２１００」に格納されていることを示す。また、図４に示すタグ情報記憶部１５ａは、利用者情報ではないテイントソース「ＡＢＣ」に付与されたテイントタグが「タグＣ」であり、テイントソース「ＡＢＣ」がアドレス「３０００－３１００」に格納されていることを示す。
　動的読み込みコード情報記憶部１５ｂは、ネットワークを介して取得した動的読み込みコード毎に前記動的読み込みコードのクラス構造を示す動的読み込みコード情報を記憶する。図５は、第１の実施形態に係る動的読み込みコード情報記憶部１５ｂが記憶するデータ構造の一例を示す図である。例えば、図５に示すように、動的読み込みコード情報記憶部１５ｂは、「動的読み込みコードＩＤ」と、「パッケージ名」と、「クラス名」とを対応付けた情報を記憶する。なお、動的読み込みコード情報記憶部１５ｂが記憶する「パッケージ名」及び「クラス名」のことを「解析情報」とも言う。
　ここで、動的読み込みコード情報記憶部１５ｂが記憶する「動的読み込みコードＩＤ」は、動的読み込みコードの識別子を示す。例えば、「動的読み込みコードＩＤ」には、「１」、「２」などが格納される。
　また、動的読み込みコード情報記憶部１５ｂが記憶する「パッケージ名」は、動的読み込みコードのクラス構造としてのパッケージ名を示す。例えば、「パッケージ名」には、「ｃｏｍ．ｔｗｘｘｘｘｘ．ａｎｄｒｏｉｄ」、「ｃｏｍ．ｘｘｘｘｌｅ．ａｎｄｒｏｉｄ．ａｐｐｓ．Ａ」などが格納される。
　また、動的読み込みコード情報記憶部１５ｂが記憶する「クラス名」は、動的読み込みコードのクラス構造としてのクラス名を示す。例えば、「クラス名」には、「ｃｌａｓｓＣ」、「ｃｌａｓｓＡ」などが格納される。
　一例をあげると、図５に示す動的読み込みコード情報記憶部１５ｂは、動的読み込みコードＩＤが「１」である動的読み込みコードのクラス構造が、「ｃｏｍ．ｔｗｘｘｘｘｘ．ａｎｄｒｏｉｄ」及び「ｃｌａｓｓＣ」であることを示す。また、図５に示す動的読み込みコード情報記憶部１５ｂは、動的読み込みコードＩＤが「２」である動的読み込みコードのクラス構造が、「ｃｏｍ．ｘｘｘｘｌｅ．ａｎｄｒｏｉｄ．ａｐｐｓ．Ａ」及び「ｃｌａｓｓＡ」であることを示す。
　コールメソッド情報記憶部１５ｃは、利用者情報に付与されたタグ情報と前記利用者情報について実行されたコードのクラス構造とを対応付けたコールメソッド情報を記憶する。図６は、第１の実施形態に係るコールメソッド情報記憶部１５ｃが記憶するデータ構造の一例を示す図である。例えば、図６に示すように、コールメソッド情報記憶部１５ｃは、「テイントタグＩＤ」と、「パッケージ名」と、「クラス名」とを対応付けた情報を記憶する。なお、コールメソッド情報記憶部１５ｃが記憶する「パッケージ名」及び「クラス名」のことを「トレース情報」とも言う。
　ここで、コールメソッド情報記憶部１５ｃが記憶する「テイントタグＩＤ」は、テイントタグの識別子を示す。例えば、「テイントタグＩＤ」には、「タグＡ」、「タグＢ」などが格納される。
　また、コールメソッド情報記憶部１５ｃが記憶する「パッケージ名」は、テイントタグが伝搬する場合に実行したコードのクラス構造としてのパッケージ名を示す。例えば、「パッケージ名」には、「ｃｏｍ．ｙｙｙｙｙ」、「ｃｏｍ．ｘｘｘｘｌｅ．ａｎｄｒｏｉｄ．ａｐｐｓ．Ａ」などが格納される。
　また、コールメソッド情報記憶部１５ｃが記憶する「クラス名」は、テイントタグが伝搬する場合に実行したコードのクラス構造としてのクラス名を示す。例えば、「クラス名」には、「ｃｌａｓｓＢ」、「ｃｌａｓｓＡ」などが格納される。
　一例をあげると、図６に示すコールメソッド情報記憶部１５ｃは、テイントタグＩＤが「タグＡ」であるテイントタグが伝搬する場合に実行したコードのクラス構造が、「ｃｏｍ．ｙｙｙｙｙ」及び「ｃｌａｓｓＢ」であることを示す。また、図６に示すコールメソッド情報記憶部１５ｃは、テイントタグＩＤが「タグＢ」であるテイントタグが伝搬する場合に実行したコードのクラス構造が、「ｃｏｍ．ｘｘｘｘｌｅ．ａｎｄｒｏｉｄ．ａｐｐｓ．Ａ」及び「ｃｌａｓｓＡ」であることを示す。
　図３に戻る。制御部１４は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路である。この制御部１４は、動的読み込みコード情報生成部１４ａと、コールメソッド情報生成部１４ｂと、抽出部１４ｃと、特定部１４ｄと、タグ情報制御部１４ｅとを有する。
　タグ情報制御部１４ｅは、動的解析として、テイント解析を行う。図７は、第１の実施形態に係るタグ情報制御部１４ｅの処理動作を説明するための図である。図７に示すように、タグ情報制御部１４ｅは、テイントソースとして利用者情報である情報ＸＸにタグＡを付与し、テイントソースとして利用者情報である情報ＹＹにタグＢを付与し、ＣＰＵ内のレジスタにそれぞれを格納する。そして、アプリケーションが実行されたことにより、情報ＸＸおよび情報ＹＹが加算されて情報ＺＺとなった場合には、タグ情報制御部１４ｅは、属性Ａおよび属性Ｂも伝搬ルールに従って処理する。すなわち、タグ情報制御部１４ｅは、属性Ａと属性Ｂとを加算し、情報ＺＺのタグ情報が「属性Ａ、属性Ｂ」となる。このように、タグ情報制御部１４ｅは、利用者情報に対する演算処理が実行された場合に、テイントタグを伝搬させる。
　なお、後述する抽出部１４ｃは、情報ＺＺがネットワーク送信されたことを検出する。かかる場合、抽出部１４ｃは、情報ＺＺのタグ情報「属性Ａ、属性Ｂ」を解析し、送信された情報が利用者情報であるか否かを判定する。
　動的読み込みコード情報生成部１４ａは、動的読み込みコード情報を生成する。例えば、動的読み込みコード情報生成部１４ａは、ＤｅｘＣｌａｓｓＬｏａｄｅｒなどで動的読み込みコードを使用するクラスを監視し、このクラスが使用された場合に、動的読み込みコードを検出する。
　続いて、動的読み込みコード情報生成部１４ａは、ネットワークを介して取得した動的読み込みコードを解析して動的読み込みコード情報を生成し、記憶部１５に格納する。ここで、動的読み込みコードは、内部コードと同様にＤＥＸ（Dalvik　EXecutable）ファイル形式であるので、動的読み込みコード情報生成部１４ａは、ＤＥＸファイルのリバースエンジニアリング解析によって、「パッケージ名」と、「クラス名」とを特定する。
　そして、動的読み込みコード情報生成部１４ａは、検出した動的読み込みコードの「動的読み込みコードＩＤ」に、特定した「パッケージ名」と「クラス名」とを対応付けた動的読み込みコード情報を生成し、動的読み込み情報記憶部１５ｂに格納する。
　コールメソッド情報生成部１４ｂは、利用者情報について演算処理が実行された場合に、演算処理が実行するコードを解析してコールメソッド情報を生成し、生成されたコールメソッド情報を、記憶部１５に格納する。例えば、コールメソッド情報生成部１４ｂは、タグ情報制御部１４ｅによって利用者情報に対する演算処理が実行された場合に、メソッドトレースを行う。言い換えると、コールメソッド情報生成部１４ｂは、テイント解析をトリガーとしてコールメソッドを出力させる。
　そして、コールメソッド情報生成部１４ｂは、出力されたコールメソッドのうち少なくとも「パッケージ名」と「クラス名」とを、演算処理が実行されたテイントタグの「テイントタグＩＤ」に対応付けたコールメソッド情報を生成し、コールメソッド情報記憶部１５ｃに格納する。
　抽出部１４ｃは、他装置への利用者情報の送信を検出し、検出した利用者情報に対して付与されたタグ情報と一致するタグ情報を、記憶部１５に記憶されたコールメソッド情報から特定し、特定したタグ情報に対応付けられたクラス構造を抽出する。なお、抽出部１４ｃの詳細な処理については、図８を用いて後述する。
　特定部１４ｄは、抽出部１４ｃによって抽出されたクラス構造を示す動的読み込みコード情報を、記憶部１５から検索し、検索された動的読み込みコード情報に対応する動的読み込みコードを特定する。例えば、特定部１４ｄは、利用者情報の送信が検出されたことを契機に、抽出されたクラス構造を示す動的読み込みコード情報を、記憶部１５から検索し、検索された動的読み込みコード情報に対応する動的読み込みコードを特定する。より具体的には、特定部１４ｄは、利用者情報について実行されたコードのパッケージ名及びクラス名と一致するパッケージ名及びクラス名を含んだ動的読み込みコードを動的読み込みコード情報記憶部１５ｂから特定する。なお、特定部１４ｄの詳細な処理については、図８を用いて後述する。
　次に、図８を用いて、第１の実施形態に係る動的読み込みコード解析装置１０による照合処理を説明する。図８は、第１の実施形態に係る動的読み込みコード解析装置１０による処理手順を示すフローチャートである。
　図８に示すように、動的読み込みコード解析装置１０の抽出部１４ｃは、情報の送信を検出したか否かを判定する（ステップＳ１０１）。例えば、抽出部１４ｃは、ネットワーク通信のＡＰＩが呼ばれた場合に、情報の送信を検出したと判定する。なお、抽出部１４ｃは、情報の送信を検出したと判定しなかった場合には（ステップＳ１０１、Ｎｏ）、繰り返し情報の送信を検出したか否かを判定する。
　ここで、抽出部１４ｃは、情報の送信を検出したと判定した場合（ステップＳ１０１、Ｙｅｓ）、送信対象となる情報のテイントを解析する（ステップＳ１０２）。例えば、抽出部１４ｃは、送信対象となる情報に付与されているテイントタグを読み出す。そして、抽出部１４ｃは、読み出したテイントタグと一致するテイントタグをタグ情報記憶部１５ａから特定し、特定したテイントタグに対応付けられた「利用者情報判定情報」に格納される値を読み出す。
　続いて、抽出部１４ｃは、情報が利用者情報であるか否かを判定する（ステップＳ１０３）。例えば、抽出部１４ｃは、タグ情報記憶部１５ａの「利用者情報判定情報」を参照し、格納される値が「１」である場合に送信対象となる情報が利用者情報であると判定し、格納される値が「０」である場合に送信対象となる情報が利用者情報ではないと判定する。なお、抽出部１４ｃは、送信対象となる情報にテイントタグが付与されていない場合、送信対象となる情報が利用者情報ではないと判定する。なお、抽出部１４ｃは、送信対象となる情報が利用者情報であると判定しなかった場合（ステップＳ１０３、Ｎｏ）、処理を終了する。
　ここで、抽出部１４ｃは、送信対象となる情報が利用者情報であると判定した場合（ステップＳ１０３、Ｙｅｓ）、テイントタグに対応するトレース情報を読み出す（ステップＳ１０４）。例えば、抽出部１４ｃは、読み出したテイントタグと一致するテイントタグをコールメソッド情報記憶部１５ｃから特定し、特定したテイントタグに対応付けられた「パッケージ名」と「クラス名」とに格納される値を読み出す。例えば、利用者情報に付与されたテイントタグが図６に示す「タグＢ」であった場合、抽出部１４ｃは、トレース情報として「ｃｏｍ．ｘｘｘｘｌｅ．ａｎｄｒｏｉｄ．ａｐｐｓ．Ａ」及び「ｃｌａｓｓＡ」を抽出する。また、利用者情報に付与されたテイントタグが図６に示す「タグＡ」であった場合、抽出部１４ｃは、トレース情報として「ｃｏｍ．ｙｙｙｙｙ」及び「ｃｌａｓｓＢ」を抽出する。
　そして、特定部１４ｄは、動的読み込みコード情報が存在するか否かを判定する（ステップＳ１０５）。例えば、特定部１４ｄは、動的読み込み情報記憶部１５ｂを検索し、動的読み込み情報が存在するか否かを判定する。ここで、特定部１４ｄは、動的読み込みコード情報が存在すると判定しなかった場合（ステップＳ１０５、Ｎｏ）、動的読み込みコードによる利用者情報の送信が起こらないものと判定し、処理を終了する。
　一方、特定部１４ｄは、動的読み込みコード情報が存在すると判定した場合（ステップＳ１０５、Ｙｅｓ）、トレース情報と一致する動的読み込みコード情報が存在するか否かを判定する（ステップＳ１０６）。例えば、利用者情報に付与されたテイントタグが図６に示す「タグＢ」であった場合について説明する。かかる場合、特定部１４ｄは、トレース情報として「ｃｏｍ．ｘｘｘｘｌｅ．ａｎｄｒｏｉｄ．ａｐｐｓ．Ａ」及び「ｃｌａｓｓＡ」と一致する動的読み込みコード情報を動的読み込みコード情報記憶部１５ｂから検索し、動的読み込みコードＩＤが「２」である動的読み込みコードを特定する。一方、利用者情報に付与されたテイントタグが図６に示す「タグＡ」であった場合について説明する。かかる場合、特定部１４ｄは、トレース情報として「ｃｏｍ．ｙｙｙｙｙ」及び「ｃｌａｓｓＢ」と一致する動的読み込みコード情報を動的読み込みコード情報記憶部１５ｂから検索するが、一致する動的読み込みコードがないと判定する。
　そして、特定部１４ｄは、トレース情報と一致する動的読み込みコード情報が存在すると判定した場合（ステップＳ１０６、Ｙｅｓ）、一致する動的読み込みコード情報を、利用者情報の送信を引き起こした動的読み込みコードとして特定する（ステップＳ１０７）。なお、特定部１４ｄは、トレース情報と一致する動的読み込みコード情報が存在すると判定しなかった場合（ステップＳ１０６、Ｎｏ）、処理を終了する。
　次に、図９を用いて、第１の実施形態に係る動的読み込みコード情報生成部１４ａによる動的読み込みコード情報生成処理を説明する。図９は、第１の実施形態に係る動的読み込みコード情報生成部１４ａによる処理手順を示すフローチャートである。
　図９に示すように、動的読み込みコード情報生成部１４ａは、動的読み込みコードを検出したか否かを判定する（ステップＳ２０１）。例えば、動的読み込みコード情報生成部１４ａは、ＤｅｘＣｌａｓｓＬｏａｄｅｒなどで動的読み込みコードを使用するクラスが使用された場合に、動的読み込みコードを検出する。ここで、動的読み込みコード情報生成部１４ａは、動的読み込みコードを検出したと判定しなかった場合（ステップＳ２０１、Ｎｏ）、繰り返し動的読み込みコードを検出したか否かを判定する。
　一方、動的読み込みコード情報生成部１４ａは、動的読み込みコードを検出したと判定した場合（ステップＳ２０１、Ｙｅｓ）、検出した動的読み込みコードを解析する（ステップＳ２０２）。そして、動的読み込みコード情報生成部１４ａは、ＤＥＸファイルのリバースエンジニアリング解析によって、「パッケージ名」と「クラス名」とを特定する（ステップＳ２０３）。
　続いて、動的読み込みコード情報生成部１４ａは、検出した動的読み込みコードに「動的読み込みコードＩＤ」を付与し、付与した「動的読み込みコードＩＤ」に、特定した「パッケージ名」と「クラス名」とを対応付けた動的読み込みコード情報を生成し、動的読み込み情報記憶部１５ｂに格納する（ステップＳ２０４）。
　次に、図１０を用いて、第１の実施形態に係るコールメソッド情報生成部１４ｂによるコールメソッド情報生成処理を説明する。図１０は、第１の実施形態に係るコールメソッド情報生成部１４ｂによる処理手順を示すフローチャートである。
　図１０に示すように、コールメソッド情報生成部１４ｂは、利用者情報の演算処理を検出したか否かを判定する（ステップＳ３０１）。ここで、コールメソッド情報生成部１４ｂは、利用者情報の演算処理を検出したと判定しなかった場合（ステップＳ３０１、Ｎｏ）、繰り返し利用者情報の演算処理を検出したか否かを判定する。
　一方、コールメソッド情報生成部１４ｂは、利用者情報の演算処理を検出したと判定した場合（ステップＳ３０１、Ｙｅｓ）、コールメソッドを出力させる（ステップＳ３０２）。そして、コールメソッド情報生成部１４ｂは、出力されたコールメソッドのうち少なくとも「パッケージ名」と「クラス名」とを取得する（ステップＳ３０３）。
　続いて、コールメソッド情報生成部１４ｂは、演算処理が実行されたテイントタグの「テイントタグＩＤ」に、取得した「パッケージ名」と「クラス名」とを対応付けたコールメソッド情報を生成し、コールメソッド情報記憶部１５ｃに格納する（ステップＳ３０４）。
　上述してきたように、第１の実施形態に係る動的読み込みコード解析装置１０は、利用者情報に付与されたテイントタグを解析することで、利用者情報を送信したコードのクラス構造を特定する。そして、第１の実施形態に係る動的読み込みコード解析装置１０は、このコードのクラス構造に基づいて、利用者情報の送信を引き起こした動的読み込みコードを特定する。ここで、第１の実施形態に係る動的読み込みコード解析装置１０は、利用者情報の送信が検出されたことを契機に、動的読み込みコードを特定する。これにより、第１の実施形態に係る動的読み込みコード解析装置１０は、利用者情報の送信を引き起こした動的読み込みコードを特定することができる。
　また、第１の実施形態に係る動的読み込みコード解析装置１０は、利用者情報について実行されたコードのパッケージ名及びクラス名と一致するパッケージ名及びクラス名を含んだ動的読み込みコードを特定する。これにより、第１の実施形態に係る動的読み込みコード解析装置１０は、大量のアプリケーションに対して網羅的に、かつ誤検知なく利用者情報の送信を引き起こした動的読み込みコードを特定することができる。
　なお、上述した第１の実施形態では、抽出部１４ｃは、タグ情報記憶部１５ａが記憶する利用者情報判定情報を参照して、送信対象となる情報が利用者情報であるか否かを判定するものとして説明したが実施形態はこれに限定されるものではない。例えば、テイントタグを利用者情報に対してのみ付与する場合、抽出部１４ｃは、送信対象となる情報が利用者情報であるか否かを判定しなくてもよい。
（第２の実施形態）
　第１の実施形態では、特定部１４ｄが、利用者情報の送信が検出されたことを契機に、抽出されたトレース情報に対応する動的読み込みコードを特定するものとして説明したが、実施形態はこれに限定されるものではない。例えば、特定部１４ｄは、所定の間隔ごとに抽出されたトレース情報を用いて動的読み込みコードを特定するようにしてもよい。そこで、第２の実施形態では、抽出部１４ｃによって抽出されたトレース情報を記憶部１５に格納しておき、特定部１４ｄが、所定の間隔ごとにトレース情報を読み出して動的読み込みコードを特定する場合について説明する。
　図１１は、第２の実施形態に係る動的読み込みコード解析装置１００の構成例を示す図である。なお、図１１において、図３に示した第１の実施形態に係る動的読み込みコード解析装置１０と同一の構成については、同一の符号を付与し詳細な説明を省略する。
　図１１に示すように、動的読み込みコード解析装置１００は、入力部１１、出力部１２、通信制御部１３、制御部１４０および記憶部１５０を有する。記憶部１５０は、例えば、ＲＡＭ、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
　例えば、記憶部１５０は、図１１に示すように、タグ情報記憶部１５ａと、動的読み込みコード情報記憶部１５ｂと、コールメソッド情報記憶部１５ｃと、利用者情報記憶部１５ｄと、トレース情報記憶部１５ｅとを有する。トレース情報記憶部１５ｅは、抽出部１４ｃによって抽出されたトレース情報を記憶する。
　制御部１４０は、ＣＰＵやＭＰＵなどの電子回路やＡＳＩＣやＦＰＧＡなどの集積回路である。この制御部１４０は、動的読み込みコード情報生成部１４ａと、コールメソッド情報生成部１４ｂと、抽出部１４ｃと、特定部１４ｄと、タグ情報制御部１４ｅと、格納制御部１４ｆとを有する。
　格納制御部１４ｆは、抽出部１４ｃによって抽出されたトレース情報をトレース情報記憶部１５ｅに格納する。言い換えると、格納制御部１４ｆは、抽出部１４ｃによって抽出されたクラス構造をトレース情報記憶部１５ｅに格納する。そして、第２の実施形態に係る特定部１４ｄは、所定の間隔ごとにトレース情報記憶部１５ｅからトレース情報を読み出し、読み出したトレース情報に対応する解析情報を特定し、解析情報に対応付けられた動的読み込みコードを特定する。言い換えると、第２の実施形態に係る特定部１４ｄは、所定の間隔ごとにトレース情報記憶部１５ｅから抽出されたクラス構造を読み出し、読み出した抽出されたクラス構造を示す動的読み込みコード情報を、記憶部１５から検索し、検索された動的読み込みコード情報に対応する動的読み込みコードを特定する。
　このように、第２の実施形態に係る動的読み込みコード解析装置１００は、利用者情報に付与されたテイントタグを解析することで、利用者情報を送信したコードのクラス構造を特定する。そして、第２の実施形態に係る動的読み込みコード解析装置１００は、このコードクラス構造に基づいて、利用者情報の送信を引き起こした動的読み込みコードを特定する。ここで、第２の実施形態に係る動的読み込みコード解析装置１００は、所定の間隔ごとにトレース情報記憶部１５ｅからトレース情報を読み出し、読み出したトレース情報に対応する解析情報を特定し、解析情報に対応付けられた動的読み込みコードを特定する。これにより、第２の実施形態に係る動的読み込みコード解析装置１００は、大量のアプリケーションに対して網羅的に、かつ誤検知なく利用者情報の送信を引き起こした動的読み込みコードを特定することができる。
（システム構成等）
　また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。例えば、コールメソッド情報生成部１４ｂとタグ情報制御部１４ｅとが統合されてもよい。さらに、各装置にて行われる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、本実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
（プログラム）
　また、上記第１の実施形態において説明した動的読み込みコード解析装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。例えば、第１の実施形態に係る動的読み込みコード解析装置１０が実行する処理をコンピュータが実行可能な言語で記述した動的読み込みコード解析プログラムを作成することもできる。この場合、コンピュータが動的読み込みコード解析プログラムを実行することにより、上記第１の実施形態と同様の効果を得ることができる。さらに、かかる動的読み込みコード解析プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録された動的読み込みコード解析プログラムをコンピュータに読み込ませて実行することにより上記第１の実施形態と同様の処理を実現してもよい。以下に、図３に示した動的読み込みコード解析装置１０と同様の機能を実現する動的読み込みコード解析プログラムを実行するコンピュータの一例を説明する。
　図１２は、動的読み込みコード解析プログラムを実行するコンピュータ１０００を示す図である。図１２に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
　メモリ１０１０は、図１２に例示するように、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図１２に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図１２に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、図１２に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図１２に例示するように、例えばディスプレイ１０６１に接続される。
　ここで、図１２に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記の動的読み込みコード解析プログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した抽出部１４ｃと同様の情報処理を実行する抽出手順と、特定部１４ｄと同様の情報処理を実行する特定手順とが記述されたプログラムモジュールが、ハードディスクドライブ１０３１に記憶される。
　また、上記第１の実施形態で説明した各種データは、プログラムデータとして、例えばメモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
　なお、動的読み込みコード解析プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、動的読み込みコード解析プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　１０、１００　動的読み込みコード解析装置
　１１　入力部
　１２　出力部
　１３　通信制御部
　１４、１４０　制御部
　１４ａ　動的読み込みコード情報生成部
　１４ｂ　コールメソッド情報生成部
　１４ｃ　抽出部
　１４ｄ　特定部
　１４ｅ　タグ情報制御部
　１４ｆ　格納制御部
　１５、１５０　記憶部
　１５ａ　タグ情報記憶部
　１５ｂ　動的読み込みコード情報記憶部
　１５ｃ　コールメソッド情報記憶部
　１５ｄ　利用者情報記憶部
　１５ｅ　トレース情報記憶部

Claims (8)

  1. 　ネットワークを介して取得した動的読み込みコード毎に前記動的読み込みコードのクラス構造を示す動的読み込みコード情報と、利用者情報に付与されたタグ情報と前記利用者情報について実行されたコードのクラス構造とを対応付けたコールメソッド情報と、を記憶する記憶部と、
    　他装置への利用者情報の送信を検出し、検出した前記利用者情報に対して付与されたタグ情報と一致するタグ情報を、前記記憶部に記憶された前記コールメソッド情報から特定し、特定したタグ情報に対応付けられたクラス構造を抽出する抽出部と、
    　抽出された前記クラス構造を示す動的読み込みコード情報を、前記記憶部から検索し、検索された動的読み込みコード情報に対応する動的読み込みコードを特定する特定部と
    　を備えたことを特徴とする動的読み込みコード解析装置。
  2. 　前記特定部は、利用者情報の送信が検出されたことを契機に、抽出された前記クラス構造を示す動的読み込みコード情報を、前記記憶部から検索し、検索された動的読み込みコード情報に対応する動的読み込みコードを特定することを特徴とする請求項１に記載の動的読み込みコード解析装置。
  3. 　前記抽出部によって抽出されたクラス構造を前記記憶部に格納する格納制御部を更に備え、
    　前記特定部は、所定の間隔ごとに前記記憶部から前記抽出されたクラス構造を読み出し、読み出した前記抽出された前記クラス構造を示す動的読み込みコード情報を、前記記憶部から検索し、検索された動的読み込みコード情報に対応する動的読み込みコードを特定する
    　ことを特徴とする請求項１に記載の動的読み込みコード解析装置。
  4. 　前記動的読み込みコードのクラス構造は、パッケージ名とクラス名とを含み、
    　前記利用者情報について実行されたコードのクラス構造は、パッケージ名とクラス名とを含み、
    　前記特定部は、前記利用者情報について実行されたコードのパッケージ名及びクラス名と一致するパッケージ名及びクラス名を含んだ前記動的読み込みコードを特定する
    　ことを特徴とする請求項１～３のいずれか一つに記載の動的読み込みコード解析装置。
  5. 　ネットワークを介して取得した動的読み込みコードを解析して前記動的読み込みコード情報を生成し、前記記憶部に格納する動的読み込み情報生成部と、
    　前記利用者情報について演算処理が実行された場合に、前記演算処理が実行するコードを解析して前記コールメソッド情報を生成し、生成された前記コールメソッド情報を、前記記憶部に格納するコールメソッド情報生成部と
    　を更に備えたことを特徴とする請求項１～３のいずれか一つに記載の動的読み込みコード解析装置。
  6. 　ネットワークを介して取得した動的読み込みコードを解析して前記動的読み込みコード情報を生成し、前記記憶部に格納する動的読み込み情報生成部と、
    　前記利用者情報について演算処理が実行された場合に、前記演算処理が実行するコードを解析して前記コールメソッド情報を生成し、生成された前記コールメソッド情報を、前記記憶部に格納するコールメソッド情報生成部と
    　を更に備えたことを特徴とする請求項４に記載の動的読み込みコード解析装置。
  7. 　動的読み込みコード解析装置で実行される動的読み込みコード解析方法であって、
    　前記動的読み込みコード解析装置は、ネットワークを介して取得した動的読み込みコード毎に前記動的読み込みコードのクラス構造を示す動的読み込みコード情報と、利用者情報に付与されたタグ情報と前記利用者情報について実行されたコードのクラス構造とを対応付けたコールメソッド情報と、を記憶する記憶部を備え、
    　前記動的読み込みコード解析装置が、
    　他装置への利用者情報の送信を検出し、検出した前記利用者情報に対して付与されたタグ情報と一致するタグ情報を、前記記憶部に記憶された前記コールメソッド情報から特定し、特定したタグ情報に対応付けられたクラス構造を抽出する抽出工程と、
    　抽出された前記クラス構造を示す動的読み込みコード情報を、前記記憶部から検索し、検索された動的読み込みコード情報に対応する動的読み込みコードを特定する特定工程と
    　を含んだことを特徴とする動的読み込みコード解析方法。
  8. 　コンピュータに実行させるための動的読み込みコード解析プログラムであって、
    　前記コンピュータは、ネットワークを介して取得した動的読み込みコード毎に前記動的読み込みコードのクラス構造を示す動的読み込みコード情報と、利用者情報に付与されたタグ情報と前記利用者情報について実行されたコードのクラス構造とを対応付けたコールメソッド情報と、を記憶する記憶部を備え、
    　前記コンピュータに、
    　他装置への利用者情報の送信を検出し、検出した前記利用者情報に対して付与されたタグ情報と一致するタグ情報を、前記記憶部に記憶された前記コールメソッド情報から特定し、特定したタグ情報に対応付けられたクラス構造を抽出する抽出手順と、
    　抽出された前記クラス構造を示す動的読み込みコード情報を、前記記憶部から検索し、検索された動的読み込みコード情報に対応する動的読み込みコードを特定する特定手順と
    　を実行させることを特徴とする動的読み込みコード解析プログラム。
PCT/JP2015/064178 2014-05-26 2015-05-18 動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラム WO2015182418A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201580027969.0A CN106462704B (zh) 2014-05-26 2015-05-18 动态读入代码分析装置和动态读入代码分析方法
EP15799613.3A EP3136278B1 (en) 2014-05-26 2015-05-18 Dynamically loaded code analysis device, dynamically loaded code analysis method, and dynamically loaded code analysis program
US15/312,952 US10242191B2 (en) 2014-05-26 2015-05-18 Dynamically-loaded code analysis device, dynamically-loaded code analysis method, and dynamically-loaded code analysis program
JP2016523429A JP6018344B2 (ja) 2014-05-26 2015-05-18 動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2014108139 2014-05-26
JP2014-108139 2014-05-26

Publications (1)

Publication Number Publication Date
WO2015182418A1 true WO2015182418A1 (ja) 2015-12-03

Family

ID=54698755

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2015/064178 WO2015182418A1 (ja) 2014-05-26 2015-05-18 動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラム

Country Status (5)

Country Link
US (1) US10242191B2 (ja)
EP (1) EP3136278B1 (ja)
JP (1) JP6018344B2 (ja)
CN (1) CN106462704B (ja)
WO (1) WO2015182418A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101857001B1 (ko) * 2017-03-03 2018-05-14 숭실대학교산학협력단 안드로이드 동적 로딩 파일 추출 방법, 이를 수행하기 위한 기록 매체 및 시스템
US11016874B2 (en) * 2018-09-19 2021-05-25 International Business Machines Corporation Updating taint tags based on runtime behavior profiles
US11354433B1 (en) 2019-03-25 2022-06-07 Trend Micro Incorporated Dynamic taint tracking on mobile devices

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013137612A (ja) * 2011-12-28 2013-07-11 Kddi Corp アプリケーション解析装置、アプリケーション解析システム、およびプログラム
JP2013232113A (ja) * 2012-04-27 2013-11-14 Nippon Telegr & Teleph Corp <Ntt> 情報処理装置、監視方法および監視プログラム

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8321840B2 (en) * 2007-12-27 2012-11-27 Intel Corporation Software flow tracking using multiple threads
US20110314337A1 (en) * 2010-06-18 2011-12-22 International Business Machines Corporation Method and Apparatus for Locating Input-Model Faults Using Dynamic Tainting
US9298918B2 (en) 2011-11-30 2016-03-29 Elwha Llc Taint injection and tracking
TWI461953B (zh) * 2012-07-12 2014-11-21 Ind Tech Res Inst 運算環境安全方法和電子運算系統
CN103269341B (zh) * 2013-05-08 2016-02-17 腾讯科技（深圳）有限公司 一种间谍程序的分析方法和计算机系统

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013137612A (ja) * 2011-12-28 2013-07-11 Kddi Corp アプリケーション解析装置、アプリケーション解析システム、およびプログラム
JP2013232113A (ja) * 2012-04-27 2013-11-14 Nippon Telegr & Teleph Corp <Ntt> 情報処理装置、監視方法および監視プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
TAKAAKI NAGUMO: "Analyzing Dynamic Class Loaded Applications in Android", IEICE TECHNICAL REPORT, vol. 114, no. 70, 29 May 2014 (2014-05-29), pages 39 - 44, XP008184113 *

Also Published As

Publication number Publication date
EP3136278A4 (en) 2017-12-27
CN106462704A (zh) 2017-02-22
JPWO2015182418A1 (ja) 2017-04-20
EP3136278B1 (en) 2018-10-10
US20170206355A1 (en) 2017-07-20
US10242191B2 (en) 2019-03-26
CN106462704B (zh) 2019-05-21
JP6018344B2 (ja) 2016-11-02
EP3136278A1 (en) 2017-03-01

Similar Documents

Publication Publication Date Title
EP3295647B1 (en) Malware warning
US9686303B2 (en) Web page vulnerability detection method and apparatus
US10032037B1 (en) Establishing application trust levels using taint propagation as a service
US9177129B2 (en) Devices, systems, and methods for monitoring and asserting trust level using persistent trust log
KR20110084693A (ko) 안드로이드 단말 플랫폼에서의 악성 코드와 위험 파일의 진단 방법
CN113569246B (zh) 漏洞检测方法、装置、计算机设备和存储介质
CN111163095B (zh) 网络攻击分析方法、网络攻击分析装置、计算设备和介质
WO2012103646A1 (en) Determining the vulnerability of computer software applications to privilege-escalation attacks
CN111163094B (zh) 网络攻击检测方法、网络攻击检测装置、电子设备和介质
US20140310814A1 (en) Identifying security vulnerabilities related to inter-process communications
JP2013242633A (ja) タグ付与装置及びタグ付与方法
JP6018344B2 (ja) 動的読み込みコード解析装置、動的読み込みコード解析方法及び動的読み込みコード解析プログラム
JP5441043B2 (ja) プログラム、情報処理装置、及び情報処理方法
US9397995B2 (en) Information processing apparatus and user authentication method
CN109635558B (zh) 访问控制方法、装置和系统
US9977903B2 (en) Detecting security vulnerabilities on computing devices
JP6258189B2 (ja) 特定装置、特定方法および特定プログラム
KR102145324B1 (ko) 라이브러리 인젝션을 통한 취약점 분석 방법 및 서버
US20140283132A1 (en) Computing application security and data settings overrides
US10216947B2 (en) System and method for activating a data entry mechanism
CN113407434B (zh) 调试文件的处理方法、装置
KR101467123B1 (ko) 스마트 폰 용 기업정보유출 감시
WO2018122051A1 (en) Attack signature generation
KR102018960B1 (ko) 이중 패킹을 이용한 코드 난독화
JP6125280B2 (ja) 属性情報管理装置及び属性情報管理方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 15799613

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2016523429

Country of ref document: JP

Kind code of ref document: A

REEP Request for entry into the european phase

Ref document number: 2015799613

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 15312952

Country of ref document: US

Ref document number: 2015799613

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE