[論文レビュー] Evolution of Computer Virus Concealment and Anti-Virus Techniques: A Short Survey

Babak Bashari Rad, Maslin Masrom+1 more|arXiv (Cornell University)|Apr 6, 2011

Advanced Malware Detection Techniques参考文献 14被引用数 39

ひとこと要約

この論文は、コンピュータウイルスの隠蔽技術とウイルス対策防御の間の進化的な軍備競争を調査し、コードの難読化、多様化、変貌化を通じて検出を回避するマルウェアの進化と、ヒューリスティック分析、動作監視、シグネチャベース検出を通じて対抗するウイルス対策システムの仕組みを分析している。主な貢献は、攻撃的および防御的技術の強みと弱みを体系的にレビューし、サイバーセキュリティ分野における今後の研究を導くものである。

ABSTRACT

This paper presents a general overview on evolution of concealment methods in computer viruses and defensive techniques employed by anti-virus products. In order to stay far from the anti-virus scanners, computer viruses gradually improve their codes to make them invisible. On the other hand, anti-virus technologies continually follow the virus tricks and methodologies to overcome their threats. In this process, anti-virus experts design and develop new methodologies to make them stronger, more and more, every day. The purpose of this paper is to review these methodologies and outline their strengths and weaknesses to encourage those are interested in more investigation on these areas.

研究の動機と目的

• ウイルス対策検出を回避するために用いられるウイルス隠蔽技術の歴史的進化を分析すること。
• ますます洗練されたマルウェアに対応して、ウイルス対策技術が採用する防御戦略を検討すること。
• 進化するサイバー脅威の文脈において、隠蔽技術と検出手法の強みと弱みを評価すること。
• 現在のウイルス検出および隠蔽技術におけるギャップと課題を特定することで、今後の研究の基盤を提供すること。

提案手法

• ウイルス隠蔽およびウイルス対策メカニズムに関する学術的・技術的文献を対象とした体系的レビュー。
• コード変換戦略に基づき、ウイルス隠蔽技術を静的、多様化、変貌化の3種類に分類すること。
• シグネチャベーススキャン、ヒューリスティック分析、動作ベース検出を含むウイルス対策検出手法の分析。
• 異なるウイルス対策技術における検出精度、パフォーマンスオーバーヘッド、回避耐性の比較。
• 静的解析を回避するためにウイルスが用いる難読化および暗号化技術の有効性の評価。
• 時間経過に伴うマルウェアの難読化とAV検出技術の革新の間の敵対的進化のマッピング。

実験結果

リサーチクエスチョン

• RQ1 ウイルス隠蔽技術は、単純な暗号化から多様化および変貌化のコードへどのように進化したか？
• RQ2 現代のウイルス対策システムが、難読化されたマルウェアに対抗するために主に用いる検出メカニズムは何か？
• RQ3 高度なコード難読化に対応して、シグネチャベース検出の限界は何か？
• RQ4 ヒューリスティックおよび動作ベース検出手法は、ゼロデイおよび変貌型ウイルスに対してどのように耐性を高めるか？
• RQ5 ウイルス対策技術において、検出精度、システムパフォーマンス、回避耐性の間にはどのようなトレードオフがあるか？

主な発見

• 多様化および変貌型ウイルスは、機能に変更を加えずにコード構造を変更することで、シグネチャベース検出の有効性を著しく低下させる。
• ヒューリスティック分析は未知のマルウェアの検出を向上させるが、行動の一般化による過剰な誤検出率が増加する。
• 動作ベース検出は高度なマルウェアに対して効果的だが、システムリソースに高い計算オーバーヘッドを負担する。
• 暗号化やごみコード挿入などのコード難読化技術は、静的解析やシグネチャ抽出の遅延に効果的である。
• マルウェアの難読化とAV検出技術の革新の間の軍備競争は、攻撃的および防御的サイバーセキュリティ技術のイノベーションを促し続けている。
• 単一の検出手法は万能ではない。シグネチャ、ヒューリスティック、動作分析を組み合わせたハイブリッド手法が、進化を続ける脅威に対してより高い耐性を示す。