メモリ上に展開されたコードを使うウイルス解析支援システム

市川, 幸宏, 伊沢, 亮一, 白石, 善明, 森井, 昌克

コンピュータウイルスによる被害を軽減させるためには，ネットワーク上において早期に検知し，いち早く廃棄する必要がある．コンピュータウイルスを検知するためには，まずそのコンピュータウイルスを解析する必要がある．通常，その解析はアンチウイルスベンダに所属する技術者によって，基本的にそのウイルスコードを1 行1 行解析する手法がとられている．亜種も含めて，大量にコンピュータウイルスが発生する現在，その解析能力は飽和状態にあり，ウイルス解析者を支援するシステムの開発が希求されている．本論文では，既知のコンピュータウイルスだけでなく，未知のコンピュータウイルスを解析することを目的として，ウイルス解析者を支援するシステムを提案している．提案システムは，ウイルスコードを直接解析するのではなく，実行時に動作するメモリ上に展開されたコードを解析し，難読化が施されたコードであっても解析が可能となっている．

This paper presents a design and implementation of automatic virus analysis support system. It is expected that not a binary or disassemble code but a suspicious code expanded on memory is helpful for automating of virus analysis. We take the following approach: 1) execution of a doubtful code on a virtual environment; 2) dumping the object code on memory; 3) disassemble of the dumped code; 4) analysis of the assembly code. By the above approach, we realize a system for supporting computer virus analysis. Although it has been difficult to automate analysis, the system can automatically output a result as same as the technical details of security response issued by anti-virus vendor. In addition, the system can analysis of new virus including one with a difficult analysis.

メモリ上に展開されたコードを使うウイルス解析支援システム

Bibliographic Information

Search this article

Description

Journal

Citations (2)*help

References(13)*help

Keywords

Details 詳細情報について

Export

Report a problem