耐解析機能を逆用したマルウェアの活動抑制システムに関する研究開発

点击翻译按钮获取中文摘要

2022年度は，マルウェアのアンチデバッグ機能を逆用する技術として，アプリケーション起動時にデバッグを自動生成しアタッチする機構を開発した．本機構はWindowsオペレーティングシステムのドライバ，デバッガ生成サーバ，軽量デバッガとして構成され，アプリケーション起動を検知すると起動を一時的に停止し，デバッガ生成サーバに通知して軽量デバッガを生成し該当アプリケーションにアタッチしたのちに起動処理を再開させるものである．これにより，アプリケーションに制御が移行するまでにデバッガがアタッチされており，その結果当該アプリケーション（マルウェアの場合）がアンチデバッグを行うとアタッチ済みデバッガが検知され，最終的にマルウェアが解析妨害のために動作停止するよう仕向けることができる．当初の実装ではオーバヘッドが課題であったが，軽量デバッガの改良等により，多数のアプリケーションが実行されてもメモリ消費量・CPU使用量を大幅に軽減することができた．また，効果範囲は狭いがより低オーバヘッドでアンチデバッグを逆用する手法として，プロセス管理領域のデバッガの有無を表すフラグを書き換える手法を考案し，その基本的な性能評価を終えた．その結果，デバッガを用いないため上記デバッガを用いた手法と比較してさらに低オーバヘッドでの実行ができることを確認した．さらに，IoTデバイスに多く利用される組込みLinuxを対象としたアンチ仮想化機能を逆用する手法の基礎検討を行い，逆用可能であることを確認した．