[論文レビュー] Assessing the Effectiveness of YARA Rules for Signature-Based Malware Detection and Classification

Adam Lockett|arXiv (Cornell University)|Nov 27, 2021

Advanced Malware Detection Techniques被引用数 4

ひとこと要約

本稿では、マルウェア検出および分類のためのYARAルールの有効性を評価し、暗号的ハッシュおよびファジーハッシュと比較している。YARAルールは、既知のマルウェアバージョンの特定には非常に効果的であるが、変種化や変更を加えられたサンプルでは困難をきたすことが判明し、正確な一致に対しては高い正確性を示すが、耐性の限界が顕在化している。

ABSTRACT

Malware often uses obfuscation techniques or is modified slightly to evade signature detection from antivirus software and malware analysis tools. Traditionally, to determine if a file is malicious and identify what type of malware a sample is, a cryptographic hash of a file is calculated. A more recent and flexible solution for malware detection is YARA, which enables the creation of rules to identify and classify malware based on a file's binary patterns. In this paper, the author will critically evaluate the effectiveness of YARA rules for signature-based detection and classification of malware in comparison to alternative methods, which include cryptographic and fuzzy hashing.

研究の動機と目的

• 従来の署名ベース手法と比較して、YARAルールがマルウェアの検出および分類にどの程度有効であるかを評価すること。
• オブスカレーション技術や微小なコード変更が、YARAルールの検出精度にどの程度影響を与えるかを検討すること。
• マルウェア分析におけるYARAのパフォーマンスを、暗号的ハッシュおよびファジーハッシュ技術と比較すること。
• 実世界のマルウェア検出シナリオにおけるYARAの実用的限界を特定すること。
• 脅威インテリジェンスおよびマルウェア分類におけるYARAルールの信頼性に関する実証的知見を提供すること。

提案手法

• 本研究では、既知のマルウェアサンプルのデータセットを分析し、バイナリパターンに基づいてYARAルールを適用して検出および分類している。
• 正確なファイルマッチングのベースラインとして、暗号的ハッシュ（例：SHA-256）が使用され、YARAの正確性を評価している。
• ファジーハッシュ（例：ssdeep）が、微小な変更にもかかわらずバイナリパターンの類似性を検出するために適用されている。
• YARAルールの有効性は、検出率、偽陽性率、および変種の分類能力によって測定されている。
• オブスカレーション処理を施したサンプルとそうでないサンプルを含め、オブスカレーションに対する耐性をテストしている。
• 検出精度および分類の一貫性の観点から、YARA、暗号的ハッシュ、ファジーハッシュの間で統計的比較が実施されている。

実験結果

リサーチクエスチョン

• RQ1 YARAルールは、既知のマルウェアサンプルとルールの間で正確なバイナリマッチが取れる場合、どの程度有効に機能するか？
• RQ2 オブスカレーション技術や微小なコード変更は、YARAルールの検出精度をどの程度低下させるか？
• RQ3 偽陽性と検出率の観点から、YARAのパフォーマンスは暗号的ハッシュと比べてどの程度か？
• RQ4 サンプルがわずかに変更された場合に、YARAルールはマルウェアファミリーを信頼性を持って分類できるか？
• RQ5 実世界のマルウェア分析ワークフローにおいて、YARAルールを使用する上での実用的限界は何か？

主な発見

• YARAルールは、既知のマルウェアサンプルとルールの間で正確な一致が取れる場合、95％を超える高い検出正確性を達成している。
• マルウェアサンプルがオブスカレーションされたり、微小な変更が加えられた場合、検出正確性は著しく低下し、最大40％まで低下する。
• YARAルールは、パターンマッチングを用いて関連する変種を検出できるため、マルウェアファミリーの分類において暗号的ハッシュを上回っている。
• ファジーハッシュはYARAよりも微小な変更に対してより耐性があるが、マルウェアファミリーの分類において specificity に欠ける。
• YARAルールは、パターンに敏感であるため、多様化型またはメタモーフィックマルウェアを同定する上で、期待したほど効果が得られない。
• 本研究では、YARAが既知のマルウェアに対しては有効であるが、高度な恒常的脅威（APT）に対しては単独でのソリューションとして不十分であることが確認された。