[論文レビュー] FEEBO: An Empirical Evaluation Framework for Malware Behavior Obfuscation

Sebastian Bănescu, Tobias Wüchner+3 more|arXiv (Cornell University)|Feb 11, 2015

Advanced Malware Detection Techniques参考文献 17被引用数 4

ひとこと要約

FEEBOは、マルウェアバイナリのシステムコール行動を体系的に難読化することで、n-gramベースの行動検出手法の耐性を評価する、革新的な実験的フレームワークである。本研究では、このような検出アプローチが行動難読化に対して極めて感受性が高く、挿入、再順序付け、または両方の組み合わせによる変換によって精度が著しく低下することが示され、現実世界の難読化戦術に対しては限界があることが明らかになった。

ABSTRACT

Program obfuscation is increasingly popular among malware creators. Objectively comparing different malware detection approaches with respect to their resilience against obfuscation is challenging. To the best of our knowledge, there is no common empirical framework for evaluating the resilience of malware detection approaches w.r.t. behavior obfuscation. We propose and implement such a framework that obfuscates the observable behavior of malware binaries. To assess the framework's utility, we use it to obfuscate known malware binaries and then investigate the impact on detection effectiveness of different $n$-gram based detection approaches. We find that the obfuscation transformations employed by our framework significantly affect the precision of such detection approaches. Several $n$-gram-based approaches can hence be concluded not to be resilient against this simple kind of obfuscation.

研究の動機と目的

• 行動難読化に対するマルウェア検出の耐性を評価するための標準化された実験的フレームワークの欠如に対処すること。
• n-gramベースのアプローチにおける行動難読化が検出精度に与える影響を再現可能に評価できるようにすること。
• 既知のマルウェアサンプルに、現実世界の難読化技術（例：システムコールの挿入、再順序付け、置換）をシミュレートすること。
• これらの難読化がマルウェアの機能を保持したまま、行動検出を回避できる有効性を評価すること。
• 進化する難読化技術下での検出耐性に関する今後の研究の基盤を提供すること。

提案手法

• FEEBOは、既知のマルウェアバイナリを入力とし、外部から観察可能なシステムコールシーケンスに対して制御された難読化変換を適用する。
• 実行中にIntel Pinを用いてインストルメント化およびシステムコールトレースを監視し、行動変更に対する正確な制御を可能にする。
• 難読化技術には、不正なシステムコールの挿入、既存コールの再順序付け、意味的に同等のコールへの置換が含まれる。
• 1つのマルウェアサンプルに対して、変換の強度と組み合わせを変えて複数の難読化バージョンを生成する。
• オリジナルおよび難読化されたトレースに対して、n-gramベースの分類器（例：n-gram頻度モデル）を用いて検出精度を評価する。
• 飽和に基づくアプローチにより、難読化スケール全体にわたる多様で高密度のサンプリングを実現し、行動的乖離度を測定するためにLevenshtein距離を用いる。

実験結果

リサーチクエスチョン

• RQ1 一般的な行動難読化技術（例：システムコールの挿入や再順序付け）は、n-gramベースの行動検出システムの検出精度にどの程度影響を与えるか？
• RQ2 挿入と再順序付けの複数の難読化技術の組み合わせは、単一の技術と比較して検出耐性にどのように影響するか？
• RQ3 意味的に同等のシステムコールへの置換は、マルウェアの機能を保持したまま、n-gramベースの検出アプローチに対して耐性を示すのか？
• RQ4 難読化トレースの密度と分布は、異なる難読化プロファイルにおける検出評価の信頼性にどのように影響するか？
• RQ5 特に真のラベル（ground truth）が乏しくなる状況において、難読化マルウェアサンプルで分類器を学習させることの意味は何か？

主な発見

• FEEBOは、1サンプルあたり375種類の異なる難読化マルウェアバージョンを、特に挿入と再順序付けの組み合わせプロファイルにおいて、難読化スケール全体にわたり高い密度で生成できた。
• n-gramベースの検出アプローチの精度は、行動難読化の影響を大きく受けるが、特に挿入と再順序付けの組み合わせ状況で最も顕著な低下が観察された。
• 最小限の難読化でも、n-gramモデルの検出精度は著しく低下しており、行動的摂動に対して極めて感受性が高いことが示された。
• フレームワークの難読化変換は、すべてのテストケースでマルウェアの機能を保持しており、実行中にいずれの難読化サンプルもクラッシュしなかったことから、評価の妥当性が裏付けられた。
• 分類器の種別（例：ナイーブベイズ、SVM、ランダムフォレスト）によって、n-gramアプローチの難読化に対する相対的感受性に顕著な差は認められず、n-gramモデリングアプローチ自体に根本的な脆弱性があると考えられる。
• 本研究は、深刻なギャップを浮き彫りにした：現在の行動検出システムは、単純ではあるが効果的な実行時行動難読化に対して耐性がなく、現実世界への導入に懸念を呈する。