[論文レビュー] Darwin inside the machines: Malware evolution and the consequences for computer security

Dimitris Iliopoulos, Christoph Adami+1 more|arXiv (Cornell University)|Nov 10, 2011

Cellular Automata and Applications参考文献 19被引用数 15

ひとこと要約

本論文は、変異、選択、適応といったダーウィニズム的原則に従って進化するマルウェアの理論的枠組みを提唱している。これにより、人為的なコードの難読化にとどまらず、自律的かつ行動的に変化するマルウェアが可能になる。著者らは、生物的個体と同様に進化するシステムとしてマルウェアをモデル化し、将来的には人為的な再プログラミングなしに新たな防御策に適応できるマルウェアの可能性を示した。これは、従来のシグネチャ検出や静的解析に基づくセキュリティの枠組みを根本から問い直すものである。

ABSTRACT

Recent advances in anti-malware technologies have steered the security industry away from maintaining vast signature databases and into newer defence technologies such as behaviour blocking, application whitelisting and others. Most would agree that the reasoning behind this is to keep up with the arms race established between malware writers and the security community almost three decades ago. Still, malware writers have not as yet created new paradigms. Indeed, malicious code development is still largely limited to code pattern changes utilizing polymorphic and metamorphic engines, as well as executable packer and wrapper technologies. Each new malware instance retains the exact same core functionality as its ancestor and only alters the way it looks. What if, instead, malware were able to change its function or behaviour autonomously? What if, in the absence of human intervention, computer viruses resembled biological viruses in their ability to adapt to new defence technologies as soon as they came into effect? In this paper, we will provide the theoretical proof behind malware implementation that closely models Darwinian evolution.

研究の動機と目的

• マルウェアが生物学的進化と同様に、変異と選択によって自律的かつ自発的に進化できるかどうかを調査すること。
• マルウェアの進化がコード難読化（例：多形性）に限定されているという仮定に挑戦し、機能的適応を新たなパラダイムとして探求すること。
• 人為的介入なしに防御技術への反応として行動を変化させるマルウェアの理論的妥当性を示すこと。
• このような適応的マルウェアが、特にシグネチャベースおよび行動ベースのセキュリティシステムを含む、現在のコンピュータセキュリティ防御に与える影響を分析すること。

提案手法

• 進化生物学および計算理論の原則を用いたマルウェア進化の理論的モデリング。
• 進化理論の現代的統合（Modern Synthesis）をコンピュータシステムに応用し、ソフトウェアをゲノタイプ、行動をフェノタイプとして扱う。
• 遺伝的アルゴリズムおよび変異演算子を用いて、マルウェア行動における進化的変化をシミュレートする。
• 選択圧を、ファイアウォールやサンドボックスなどの防御メカニズムが非適応的バージョンを除外するものとして形式化する。
• 機能的に適応可能なマルウェアのみが生存する制御された環境で、進化的ダイナミクスをシミュレートする。
• 検出メカニズムに対抗する際のステルス性、回避性、持続性を評価するフィットネス関数の適用。

実験結果

リサーチクエスチョン

• RQ1 マルウェアは、人為的な再プログラミングなしに、変異と選択によって行動を自律的に進化させられるか？
• RQ2 リアルタイムで新たな防御技術に適応できるメカニズムは何か？
• RQ3 このような適応的マルウェアは、現在の多形性またはメタモーフィックマルウェアと、検出および対策の観点でどのように異なるか？
• RQ4 自己進化するマルウェアが、シグネチャや静的解析に基づく既存のセキュリティアーキテクチャに与える影響は何か？
• RQ5 進化の原則をソフトウェアシステムに形式的にモデル化し、適応的悪意ある行動を模擬するには、どの程度の妥当性があるか？

主な発見

• 理論的モデルにより、マルウェアが変異と選択を通じて進化し、単なるコードレベルの難読化にとどまらず、行動的適応を遂げる可能性が裏付けられた。
• 機能的適応が可能なマルウェアは、防御メカニズムへの反応として行動を変化させることで、シグネチャベースの検出を回避できる。
• モデルは、セキュリティツールによる進化的圧力が、より強靭で、よりステルス性の高いマルウェアの変異を促進する可能性があることを示した。
• 静的解析やシグネチャ検出に依存する現在の防御戦略は、行動を動的に進化させるマルウェアに対して根本的に不十分である。
• 本研究は、マルウェアとセキュリティツールの間のレースが、コード難読化から行動的適応へとシフトする可能性を明らかにした。これに伴い、新たな防御パラダイムの必要性が示された。