| 電子情報通信学会 研究会発表申込システム 講演論文 詳細 |
技報閲覧サービス [ログイン] 技報アーカイブ |
| トップに戻る | 前のページに戻る | [Japanese] / [English] |
| 講演抄録／キーワード | ||
| 講演名 | 2013-11-12 15:10 実行命令系列の出現順序に着目したOEP特定手法の提案 ○中村徳昭・森井昌克（神戸大）・伊沢亮一・井上大介・中尾康二（NICT）  ICSS2013-59 |
|
| 抄録 | （和） | 数多くのパッカーに対抗するため，汎用アンパッキングに関する研究が盛んに行われている．汎用アンパッキングの多くはメモリ上で書き込み/実行が行われた地点をOEP(オリジナルエントリポイント)としてメモリダンプを行うことでオリジナルコードを抽出する．しかしパッカーの種類によっては書き込み後に実行されるケースが複数発生するため，複数の候補からOEPを決定することが課題となる．本稿では実行命令系列の出現順序に着目した，高精度にOEPを判定する手法を提案する．パッカーの動作はマルウェアに比べて展開処理に特化しており，実行命令系列の出現パターンが特徴的である．そのためオリジナルコードと復号コードでは実行命令系列の出現順序に差異が出ると考えた．オリジナルコードセクションを機械学習によって特定し，そのセクションで最初に実行された地点をOEPとする．機械学習はk-NN法を採用し，学習データには各セクションから得られる実行命令系列のLCSを用いた．評価実験では48種類のパッカーを用いて5-分割交差検定を行った結果，35種類のパッカーに対して97.29%の精度でOEPを検出できた． |
| （英） | To skip unpacking steps, automated generic unpacking methods are strongly required.Most of generic unpackers extract memory areas where data was written and then executed, and decide original entry point.However, some packers repeat writing and executing data on the memory, so that there are multiple candidates of the original entry point.In this paper, we propose a detection method that decides right candidate by using the order of opcodes. Compared with malwares which have many functions, packers simply decode.Therefore we build a hypothesis that the order of opcodes have difference between original codes and packer's codes.We specify the section of original codes by machine learning, and decide original entry point by detecting first execution of the section.For machine learning, we use k-Nearest Neighbor Algorithm, and Longest Common Subsequence of extracted opcodes from each section.The experiment with 5-fold cross validation results in detecting 97.29% original entry point for 35 packers out of 48. | |
| キーワード | （和） | マルウェア解析 / パッカー / オペコード / オリジナルエントリポイント / / / / |
| （英） | Malware analysis / Packer / Opcode / OEP / / / / | |
| 文献情報 | 信学技報, vol. 113, no. 288, ICSS2013-59, pp. 13-18, 2013年11月. | |
| 資料番号 | ICSS2013-59 | |
| 発行日 | 2013-11-05 (ICSS) | |
| ISSN | Print edition: ISSN 0913-5685 Online edition: ISSN 2432-6380 | |
| 著作権に ついて |
技術研究報告に掲載された論文の著作権は電子情報通信学会に帰属します．(許諾番号：10GA0019/12GB0052/13GB0056/17GB0034/18GB0034) | |
| PDFダウンロード | ICSS2013-59 |
|
| 研究会情報 | |
| 研究会 | ICSS |
| 開催期間 | 2013-11-12 - 2013-11-12 |
| 開催地（和） | 西新プラザ(福岡市早良区西新) |
| 開催地（英） | Nishijin Plaza |
| テーマ（和） | 通信セキュリティ、一般 |
| テーマ（英） | Communication Security, etc. |
| 講演論文情報の詳細 | |
| 申込み研究会 | ICSS |
| 会議コード | 2013-11-ICSS |
| 本文の言語 | 日本語 |
| タイトル（和） | 実行命令系列の出現順序に着目したOEP特定手法の提案 |
| サブタイトル（和） | |
| タイトル（英） | An OEP Identifying Method based on the Order of Opcodes |
| サブタイトル（英） | |
| キーワード(1)（和/英） | マルウェア解析 / Malware analysis |
| キーワード(2)（和/英） | パッカー / Packer |
| キーワード(3)（和/英） | オペコード / Opcode |
| キーワード(4)（和/英） | オリジナルエントリポイント / OEP |
| キーワード(5)（和/英） | / |
| キーワード(6)（和/英） | / |
| キーワード(7)（和/英） | / |
| キーワード(8)（和/英） | / |
| 第1著者 氏名（和/英/ヨミ） | 中村 徳昭 / Noriaki Nakamura / ナカムラ ノリアキ |
| 第1著者 所属（和/英） | 神戸大学 (略称： 神戸大) Kobe University (略称： Kobe Univ.) |
| 第2著者 氏名（和/英/ヨミ） | 森井 昌克 / Masakatu Morii / モリイ マサカツ |
| 第2著者 所属（和/英） | 神戸大学 (略称： 神戸大) Kobe University (略称： Kobe Univ.) |
| 第3著者 氏名（和/英/ヨミ） | 伊沢 亮一 / Ryoichi Isawa / イサワ リョウイチ |
| 第3著者 所属（和/英） | 情報通信研究機構 (略称： NICT) National Institute of Infornation and Communications Technology (略称： NICT) |
| 第4著者 氏名（和/英/ヨミ） | 井上 大介 / Daisuke Inoue / イノウエ ダイスケ |
| 第4著者 所属（和/英） | 情報通信研究機構 (略称： NICT) National Institute of Infornation and Communications Technology (略称： NICT) |
| 第5著者 氏名（和/英/ヨミ） | 中尾 康二 / Koji Nakao / ナカオ コウジ |
| 第5著者 所属（和/英） | 情報通信研究機構 (略称： NICT) National Institute of Infornation and Communications Technology (略称： NICT) |
| 講演者 | 第1著者 |
| 発表日時 | 2013-11-12 15:10:00 |
| 発表時間 | 20分 |
| 申込先研究会 | ICSS |
| 資料番号 | ICSS2013-59 |
| 巻番号（vol） | vol.113 |
| 号番号（no） | no.288 |
| ページ範囲 | pp.13-18 |
| ページ数 | 6 |
| 発行日 | 2013-11-05 (ICSS) |
[研究会発表申込システムのトップページに戻る]