[論文レビュー] Automated Behavioral Analysis of Malware A Case Study of WannaCry Ransomware

Chen Qian, Robert A. Bridges|arXiv (Cornell University)|Sep 25, 2017

Advanced Malware Detection Techniques参考文献 13被引用数 35

ひとこと要約

本論文は、環境ログおよびマルウェア挿入ログを用いて、ランサムウェア（例：WannaCry）の早期検出を可能にする、自動化された行動分析手法を提案する。Cuckoo Sandboxログを分析することで、多様化変種ですらも一貫した行動パターンを示す特徴を特定し、63件中63件のAV未検出マルウェアを正しく検出する。これにより、手作業分析に依存するのを減らす、堅牢でスケーラブルな代替手法が提供される。

ABSTRACT

Ransomware, a class of self-propagating malware that uses encryption to hold the victims' data ransom, has emerged in recent years as one of the most dangerous cyber threats, with widespread damage; e.g., zero-day ransomware WannaCry has caused world-wide catastrophe, from knocking U.K. National Health Service hospitals offline to shutting down a Honda Motor Company in Japan[1]. Our close collaboration with security operations of large enterprises reveals that defense against ransomware relies on tedious analysis from high-volume systems logs of the first few infections. Sandbox analysis of freshly captured malware is also commonplace in operation. We introduce a method to identify and rank the most discriminating ransomware features from a set of ambient (non-attack) system logs and at least one log stream containing both ambient and ransomware behavior. These ranked features reveal a set of malware actions that are produced automatically from system logs, and can help automate tedious manual analysis. We test our approach using WannaCry and two polymorphic samples by producing logs with Cuckoo Sandbox during both ambient, and ambient plus ransomware executions. Our goal is to extract the features of the malware from the logs with only knowledge that malware was present. We compare outputs with a detailed analysis of WannaCry allowing validation of the algorithm's feature extraction and provide analysis of the method's robustness to variations of input data extemdash changing quality/quantity of ambient data and testing polymorphic ransomware. Most notably, our patterns are accurate and unwavering when generated from polymorphic WannaCry copies, on which 63 (of 63 tested) anti-virus (AV) products fail.

研究の動機と目的

• システムログからマルウェアを示す行動的特徴を自動抽出し、時間のかかる手作業分析への依存を低減すること。
• マルウェアシグネチャの事前知識なしに、ログデータのみを用いてランサムウェアの暗号化前の行動的痕跡を同定すること。
• 多様化に強く、従来のアンチウイルスツールを回避するマルウェアの検出を可能にする手法の開発。
• 実世界のランサムウェア（WannaCry）および多様化変種を用いて、手法の正確性と一貫性を検証すること。
• 2つの主要なユースケースを支援すること：フォレンジック分析の迅速化、およびサンドボックスログから新規マルウェアサンプルの自動行動プロファイル作成。

提案手法

• 本手法は、システムログの集合を処理する。1つは環境（通常）動作のみを含み、もう1つは環境動作とマルウェア実行を含む。
• 統計的手法およびパターンマッチング技術を適用し、マルウェア実行中に著しく頻度が高いシステムコール、ファイル操作、ネットワーク活動のシーケンスを同定する。
• 悪性実行フェーズと良性実行フェーズのログ活動頻度を比較する指標を用いて、特徴の判別力順にランク付けを行う。
• アルゴリズムは、WannaCryおよび2つの多様化変種から生成されたCuckoo Sandboxログ（JSONおよびHTMLレポートを入力として）を用いて学習を行う。
• システムイベントの時間的順序を活用し、ファイルスキャン、レジストリ変更、C2サーバーとの通信といった行動の痕跡を再構築する。
• WannaCryの既知の行動（ファイル作成、暗号化ルーチン、C2通信など）を基準に、手法の妥当性を検証する。

実験結果

リサーチクエスチョン

• RQ1 システムログからの自動特徴抽出は、暗号化発生以前にランサムウェア行動を信頼性高く同定できるか？
• RQ2 本手法は、従来のアンチウイルス検出を回避する多様化ランサムウェア変種に対し、どの程度効果的か？
• RQ3 環境ログの品質や量が変動する状況下でも、本手法はどの程度頑健性を保つのか？
• RQ4 抽出された行動パターンは、フォレンジックおよび検出目的のための正確で再利用可能な脅威インテリジェンスとして利用可能か？
• RQ5 時間効率および検出正確性の観点から、本手法は手作業分析に比べてどの程度優れているか？

主な発見

• 本手法は、商用アンチウイルス製品で検出されなかった63件の多様化WannaCry変種を100％正しく同定した。
• アルゴリズムは、ファイルスキャン、レジストリ変更、C2通信といった一貫した判別的行動をログから抽出し、WannaCryの真の行動と整合した。
• 環境ログの品質や量の変動に対しても、本手法は高い検出正確性を維持し、多様な入力条件下でも頑健であることが示された。
• 抽出された行動パターンは、複数回のサンドボックス実行においても安定的かつ再現可能であり、実環境での展開において信頼性があることを示した。
• 本手法は、手作業によるログ分析の必要を著しく削減し、脅威インテリジェンス生成および早期マルウェア検出のためのスケーラブルなソリューションを提供する。