機械語命令列の類似性に基づく自動マルウェア分類システム

Size: px

Start display at page:

Download "機械語命令列の類似性に基づく自動マルウェア分類システム"

ふじよしやすこ
7 years ago
Views:

2 Tree of Life David M. Hillis, et al. Science, 2003, 300: NTT Information Sharing Platform Laboratories

3 発表の流れ研究の背景, 動機自動マルウェア分類システムの全体像プログラムコードに基づくマルウェアの分類 LCSと, ビットベクトル化と, 縮約命令と, 分類結果 CCC DATAset 2009 我々のハニーポットで収集した最近のマルウェア京都大学で収集されたマルウェアまとめ NTT Information Sharing Platform Laboratories

4 研究の背景, 動機近年, マルウェアの種類数が急増している何が流行っているのか, 何が廃れたのか, も見えにくい. アンチウィルスソフトの命名もあやふやに?? 命名することより, 検知駆除することが重要なんでしょうけど. マルウェアの全容を解明し ( 続け ) たい! まずは, 収集したマルウェアの傾向 ( 流行り廃り ) を掴む. できれば, 全てのマルウェアを静的解析済みと同じ状態にしたい. マルウェアの分類技術が有効 NTT Information Sharing Platform Laboratories

5 やり方は大雑把に二通り. マルウェアの分類技術挙動に基づく分類通信ログとか, システムコールの呼び出し履歴とか, 長所監視の仕組みさえ構築すれば, 後はマルウェアを動かすだけ. 短所動作しない箇所の特徴は出てこない.( 時限式だったり, コマンド待ちだったり ) プログラムコードに基づく分類長所潜在する機能も踏まえて分類可能短所アンパックや逆アセンブルが必要. ものによっては, コールツリーや IAT を再構築したり NTT Information Sharing Platform Laboratories

6 マルウェア自動分類の戦略マルウェアオリジナルコードを含むメモリダンプ逆アセンブル結果動的生成コード抽出用カーネルドライバ HMM に基づく確率的逆アセンブル手法類似度行列もごもご A B C A B C 階層的クラスタリング Tree of Malware NTT Information Sharing Platform Laboratories

7 従来研究 : プログラムコードに基づくマルウェアの分類プログラムコードの何に着目するかによって色々. N グラム,N パーム連続する N 個の命令 ( 正確にはオペコード ) に着目し, 各々何回出現したかをマルウェアの特徴ベクトルとして分類. 速い. 2. コールツリーコールツリーの類似度を算出する. 木構造の類似度を算出するのは大変なので, 葉となる Win32 API 呼び出し部分の情報を使って, 計算量を減らす NTT Information Sharing Platform Laboratories

8 速い速いに越したことはない. 従来研究 : どの方法がいいの? 適切に分類可能 N グラムが似ているふーん. コールツリーが似ているあぁ, そー. 適切って何だ? 分類の目的によって良し悪しは変わる. - 全体の傾向を早く掴みたい. - コンパイラによる差異を吸収したい NTT Information Sharing Platform Laboratories

9 目的に立ち返るできれば, 全てのマルウェアを静的解析済みと同じ状態にしたい. 2 つのマルウェアのコールツリーが似ている片方だけ解析すればよいの? コールツリーは似ているけど, 関数の中身は違う場合. 結局, 両方のアセンブリを読まなきゃいけない orz 命令単位で類似度を求めたい! 命令列がほぼ一緒片方だけ解析すれば, 両方解析したようなもの NTT Information Sharing Platform Laboratories

10 LCS について Longest Common Subsequence( 最長一致部分列 ) の略 {A,B,C} と {A,D,C} の LCS は {A,C} 連続している必要は無く, 間に挿入削除が入ってよい. 要するに diff の逆 NTT Information Sharing Platform Laboratories

11 2009 NTT Information Sharing Platform Laboratories 動的計画法を使った LCS の求め方 {a,b,c,d} と {b,a,c,d} の LCS を求める場合 φ a b c d φ b 0 a 0 c 0 d ), ( ),, ( max ), ( ), ( ), (, j i j i j i j i j i j i n m n m t s L t s L t s t s L t s j or i t s L t s L LCS t T s S つ. とすると次式が成り立長をの LCS の長さ ( 動的計画法 ) 小さな問題から大きな問題を解いていく方法.

12 時間はどれくらいかかる? 計算量, メモリ使用量 2 つのマルウェアの命令数をそれぞれ M,N(M<N) とすると, 動的計画法を使えば, 計算量はO(MN) Hirschbergらの方法を使えば, メモリ使用量はO(M) マルウェアあたり多いと 0 万命令くらい. 素直に diff をとろうとすると, ペアで最大 5 分くらいかかる. (Intel Core2Quad 2.6GHz, コア ). 平均でも分くらい検体の分類には 3000 C 2 x 分 8.5 年!? NTT Information Sharing Platform Laboratories

13 分類結果は MWS207 で!? NTT Information Sharing Platform Laboratories

14 NTT Information Sharing Platform Laboratories

15 世の中には賢い人がいるもので NTT Information Sharing Platform Laboratories

16 ビットベクトル化単純な DP ベースの LCS 算出アルゴリズムを演算ワード長倍高速化する方法. a b c d a b c d a b c d b 0 a b a 0 b a c 2 2 c 0 0 c d 2 3 d 0 d L V M a b c d b 0 a 0 c 0 d 0 M V[ j], if j 0 ( V[ j ] ( V[ j ]& M[ y j ])) ( V[ j ]& M '[ y j ]), if j n ここで出てくるキャリーが L[m,j]-L[m,j-] になる NTT Information Sharing Platform Laboratories

17 縮約命令縮約命令機械語命令のオペランド以外の情報を 32 ビットで表現. オペコードは勿論, オペランドの型情報や命令プレフィックスの情報も含まれる. 効果縮約命令の種類数 < 機械語命令の種類数ビットベクトル化の際のメモリ使用量を減らせる. 分岐命令と分岐先の間で命令が挿入削除されても, 類似度への影響は挿入削除分だけで済む. 絶対アドレスを意味するオペランドがあった場合, コードセグメントのリロケーションによりオペランドが変化するが, この影響も無くなる Prefix Prefix2 Prefix3 Prefix4 Opcode Len. Opcode Mod R/M SIB NTT Information Sharing Platform Laboratories

18 SSE2 を使うとビットベクトル化の効果 and, andnot, orが28ビットでいける. addは64ビット. ただしキャリーフラグがないため, 実質 63ビット. それでも ( メモリアクセスを除けば )0クロック程度で 26ビット ( マス ) の計算をこなせるようになった. 単純なCの実装と比較すると,00 倍超の高速化! Core2Quad Dual(2.6GHz) フル回転, 約 4 日で 3000 C 2 のペアの LCS を算出が可能 NTT Information Sharing Platform Laboratories 8

19 類似度の定義マルウェアの逆アセンブル結果から縮約命令列を生成し,2 つの縮約命令列 A,B の LCS を L としたとき, 類似度 S を以下のように定義する. A,Bを集合,LをAとBの積集合とみなしたときのJaccard 係数に相当する. L S A B L A L B NTT Information Sharing Platform Laboratories

20 MWS207 を待たずして, いよいよ分類結果です NTT Information Sharing Platform Laboratories

21 CCC DATAset 2009 マルウェア検体の分類結果似てない似ている Delphi つながり? 次項にてほぼ 393F 84E9 な関係 NTT Information Sharing Platform Laboratories

22 CD9 より 790 の方が機能が豊富に見えるが 790(IRC を使うボットっぽい ) CD9( ワームっぽい,autorun.inf 関連も ) CD9 検体では, 明らかにクリティカルセクション関連の処理が不要. 元となったマルウェアの残骸か. 汎用ボットから感染に特化したワームへ? NTT Information Sharing Platform Laboratories

23 次,3000 検体です! NTT Information Sharing Platform Laboratories

24 Downadup Rahack IRCBot Virut Spybot Backdoor.Trojan 静的解析してみると, 主なクラスタは Downadup Rahack IRCBot その他 Virut が入り混じっているのは宿主で分類したため. ある環境で収集したマルウェア NTT Information Sharing Platform Laboratories

25 京都大学で収集されたマルウェア 702 種類の分類結果我々が開発しているハニーポットで収集. シェルコードによる次検体のみ. 680 種類 (96.9%) が Downadup うち A が種類,B および B++ が 679 種類 Rahack(Allaple) が 5 種類. アンチウィルスソフトの検出名が少し揺れている? NTT Information Sharing Platform Laboratories

26 まとめと今後の課題アンパック逆アセンブル類似度算出クラスタリングの全過程を自動化するシステムを提案縮約命令の導入 SSE2 を使って LCS 算出アルゴリズムをビットベクトル化約 3000 検体のマルウェアを分類してみた ( 類似度の閾値にもよるが ) かなり少ないクラスタ数. 0 個くらい解析すれば, 大勢は掴めそう. 差分もわりときちんと見えるレジスタのカラーリング変更まで見える約 700 京都はもっとすごい類似度 80% で考えるとクラスタ数はわずか 7 つ. 今後の課題はアンパック逆アセンブル精度の向上コンパイラ ( オプション ) 変更に伴う変化への対応方法を検討 NTT Information Sharing Platform Laboratories

Progress report

Progress report 自動化されたマルウェア動的解析システムで収集した大量 API コールログの分析 MWS 2013 藤野朗稚, 森達哉早稲田大学基幹理工学部情報理工学科 Akinori Fujino, Waseda Univ. 1 目次研究背景提案手法結果まとめ Akinori Fujino, Waseda Univ. 2 マルウェアは日々驚くべき速さで増加している. 一日当たり 20 万個の新しいマルウェアが発見されている