Understanding malware semantics by AI-supported formal methods

点击翻译按钮获取中文摘要

R4年度は、主にARM/Androidを対象とした動的記号実行器Coranaの拡張Corana-Xの実装・開発を進めた。Androidマルウェアは主にApkファイル形式であり、Javaに準ずる記述に加え native code (ARM, x86等）やLinuxライブラリ関数呼出しを含むため、実行が複数の異環境にわたる。本研究では、JavaはSymbolic Path Finder (NASAが開発)、ARMはCorana、Linux関数呼出しについてはOS環境下で実行するAPI stub（ともに本グループで実装）を組み合わせApkファイルの記号実行を行う。異環境下の記号実行の連携には、コード実行と同様な環境の転送が必要となる。しかしデータは単に32bitや64bitの値であるほか、メモリアドレスのセルやバッファを指す場合など、それぞれを区別し必要に応じてポインターをたどる必要がある。それには引数の型情報が必要であり、コードやマニュアルの記述から自動抽出する。現在、実世界Androidマルウェアの記号実行が可能となり、Drebin dataset(5560個）において実験を行っている。その他の研究項目は、命令セットマニュアルからの自然言語処理による意味抽出における解釈規則導出（分担者 Nguyen Minh Leと共同）、隠蔽手法を用いるPCマルウェア（x86/win) の記号実行結果に対する機械学習によるOEP（original entry point）検出の検討を進めている。分担者による研究項目として、悪意あるコード生成手法（Dos攻撃）に正規表現を用いた新たな手法を提案した（分担者 寺内多智弘）。またマルウェア解析への機械学習の応用を視野に入れた言語学習理論として，決定性上昇型ノミナル木オートマトンのアクティブ学習アルゴリズムを提案した（分担者 関浩之）。