[論文レビュー] Integration of Ether Unpacker into Ragpicker for plugin-based Malware Analysis and Identification

Erik Schaefer, Nhien‐An Le‐Khac+1 more|arXiv (Cornell University)|Aug 5, 2017

Advanced Malware Detection Techniques参考文献 11被引用数 3

ひとこと要約

この論文では、Obfuscated malware のアンパッキング率を向上させるために、Ether Unpacker をプラグインベースのマルウェア分析ツールである Ragpicker に統合した。これにより、コードファミリーの特定や再利用されたコンponentの同定がより効果的に行えるようになった。このアプローチにより、アンパッキング能力の向上によって解析可能なマルウェアサンプルの割合が著しく増加し、マルウェアバリアエントの検出および分類が改善された。

ABSTRACT

Malware is a pervasive problem in both personal computing devices and distributed computing systems. Identification of malware variants and their families others a great benefit in early detection resulting in a reduction of the analyses time needed. In order to classify malware, most of the current approaches are based on the analysis of the unpacked and unencrypted binaries. However, most of the unpacking solutions in the literature have a low unpacking rate. This results in a low contribution towards the identification of transferred code and re-used code. To develop a new malware analysis solution based on clusters of binary code sections, it is required to focus on increasing of the unpacking rate of malware samples to extend the underlying code database. In this paper, we present a new approach of analysing malware by integrating Ether Unpacker into the plugin-based malware analysis tool, Ragpicker. We also evaluate our approach against real-world malware patterns.

研究の動機と目的

• 既存のマルウェア分析ツールの低アンパッキング率が、マルウェアファミリー間でのコードの再利用や移転の同定を制限している問題に対処すること。
• Obfuscated や暗号化されたバイナリのアンパッキング能力を強化することで、プラグインベースのマルウェア分析の有効性を向上させること。
• アンパッキング済みバイナリの数を増やすことで、マルウェアファミリー分類のための基礎となるコードデータベースを拡張すること。
• Ragpicker に Ether Unpacker を統合した際の、実世界のマルウェアサンプルに対する影響を評価すること。
• より正確で効率的なコードファミリー同定を可能にすることで、マルウェアの早期検出を支援すること。

提案手法

• バイナリアンパッキングツールである Ether Unpacker を、Ragpicker マルウェア分析フレームワークにプラグインとして統合する。
• Ragpicker のプラグインアーキテクチャを活用し、各マルウェアサンプルの分析パイプライン中に動的に Ether Unpacker を起動する。
• アンパッキング処理を適用して、パッケージ化または暗号化されたマルウェアバイナリから元のコードを検出および抽出する。
• コードセクションのクラスタリング技術を用いてアンパッキング済みバイナリを分析し、類似性を特定してマルウェアをファミリーにグループ化する。
• 実世界のマルウェアサンプルのデータセットを用いて、アンパッキング成功率と分類精度を評価する。
• 強化されたアンパッキング能力を活用して、より良いマルウェアファミリー識別を実現するためのコードデータベースを拡充する。

実験結果

リサーチクエスチョン

• RQ1 Ragpicker に Ether Unpacker を統合することで、Obfuscated マルウェアサンプルのアンパッキング率にどのような影響を与えるか？
• RQ2 改善されたアンパッキング能力が、マルウェアファミリーの同定や再利用コードコンponentの同定にどの程度寄与するか？
• RQ3 統合されたアプローチが、プラグインベースのマルウェア分析の全体的な正確性と効率性に与える影響は何か？
• RQ4 ベースラインのアンパッキング技術と比較して、この手法は実世界のマルウェアサンプルに対してどの程度の性能を示すか？
• RQ5 強化されたアンパッキング能力により、より良いコードファミリー分類が可能となり、マルウェアの早期検出が可能になるか？

主な発見

• Ragpicker に Ether Unpacker を統合することで、マルウェアサンプルのアンパッキング率が著しく向上し、これまでアクセスできなかったバイナリの解析が可能になった。
• アンパッキング済みバイナリを通じて、以前は見えなかったコードの類似性が明らかになり、マルウェアファミリーの同定が向上した。
• 強化されたアンパッキング能力により、マルウェア分類のためのより広範かつ代表的なコードデータベースが構築された。
• 評価結果から、この手法が、特にパッケージングや暗号化を用いた実世界のマルウェアパターンを効果的に処理できることを示した。
• プラグインアーキテクチャのおかげで拡張性が確保されており、今後、追加のアンパッキングおよび分析モジュールの統合が可能である。
• 結果から、高いアンパッキング率が、マルウェアの検出および分類の高速化と正確性の向上に直接寄与することが示された。