[論文レビュー] Automated detection and classification of cryptographic algorithms in binary programs through machine learning

Diane Duros Hosfelt|arXiv (Cornell University)|Mar 4, 2015

Advanced Malware Detection Techniques参考文献 12被引用数 13

ひとこと要約

本稿では、制御フローグラフと命令レベルのパターンから抽出された特徴を活用して、コンパイル済みバイナリプログラムにおける暗号アルゴリズムの自動検出および分類を目的とした機械学習手法を提案する。この手法は、小規模で単一目的のバイナリにおいて暗号的プリミティブを高い正確性で同定できることを示しており、ML駆動のリバースエンジニアリングによるマルウェア分析の自動化の可能性を実証している。

ABSTRACT

Threats from the internet, particularly malicious software (i.e., malware) often use cryptographic algorithms to disguise their actions and even to take control of a victim's system (as in the case of ransomware). Malware and other threats proliferate too quickly for the time-consuming traditional methods of binary analysis to be effective. By automating detection and classification of cryptographic algorithms, we can speed program analysis and more efficiently combat malware. This thesis will present several methods of leveraging machine learning to automatically discover and classify cryptographic algorithms in compiled binary programs. While further work is necessary to fully evaluate these methods on real-world binary programs, the results in this paper suggest that machine learning can be used successfully to detect and identify cryptographic primitives in compiled code. Currently, these techniques successfully detect and classify cryptographic algorithms in small single-purpose programs, and further work is proposed to apply them to real-world examples.

研究の動機と目的

• 暗号アルゴリズムを用いて動作を隠ぺいするマルウェアの脅威の増大に対処すること。
• 時間のかかる手作業によるバイナリ解析に依存しないように、暗号的プリミティブの検出を自動化すること。
• コンパイル済みコードにおける暗号アルゴリズムの同定および分類が可能な機械学習フレームワークの開発。
• 実世界のバイナリプログラムにおけるMLモデルの有効性を評価すること。初期段階では、制御された単一目的の例から開始する。

提案手法

• バイナリプログラムから制御フローグラフ（CFG）の特徴を抽出して、プログラム構造を表現する。
• オペコードのシーケンスやオペランドのパターンといった命令レベルの特徴を生成して、低レベルの解析を実施する。
• 既知の暗号アルゴリズムのラベル付きデータセットを用いて、教師あり機械学習モデルを訓練する。
• グラフニューラルネットワーク（GNN）または類似のモデルを用いて、バイナリコード内の構造的・意味的パターンを学習する。
• 暗号演算固有の特徴（例：Sボックス、モジュラー算術）を強調するための特徴工学的手法を適用する。
• 大規模なバイナリにスケーリングする前に、小規模で独立したプログラムでモデルのパフォーマンスを検証する。

実験結果

リサーチクエスチョン

• RQ1 機械学習は、コンパイル済みバイナリプログラム内に暗号アルゴリズムが存在するかどうかを効果的に検出できるか？
• RQ2 構造的特徴と低レベル特徴のうち、どの組み合わせが暗号的プリミティブの正確な分類を可能にするか？
• RQ3 小規模で単一目的のバイナリから得たモデルは、より複雑な実世界のバイナリにどの程度一般化できるか？
• RQ4 MLは、マルウェア分析における手作業によるリバースエンジニアリングの必要性をどの程度低減できるか？

主な発見

• 提案された機械学習手法は、小規模で単一目的のバイナリプログラムにおいて、高い正確性で暗号アルゴリズムを検出および分類できた。
• 制御フローグラフの特徴と命令レベルのパターンを組み合わせることで、検出性能が顕著に向上した。
• この手法は、バイナリ解析における自動化の実現可能性を示しており、手作業による検査に依存する必要を減らした。
• 初期の結果から、GNNベースのモデルが、変種化されたコードでさえも暗号パターンを認識できる可能性が示唆された。
• このフレームワークは、自動マルウェア分析パイプラインへの統合に有望である。
• 大規模で実世界のバイナリプログラムにおけるパフォーマンスを検証するためのさらなる作業が必要である。