[論文レビュー] Malware Detection using Attribute-Automata to parse Abstract Behavioral Descriptions

Jacob, Gregoire, Debar, Herve+1 more|ArXiv.org|Feb 2, 2009

Advanced Malware Detection Techniques参考文献 10被引用数 7

ひとこと要約

本論文は、属性オートマトンを用いて抽象的動作記述を解析する、汎用的で二層構造のマルウェア検出フレームワークを提案する。属性文法と意味的ルールを用いて、データフロー追跡とオブジェクト型付けを可能にすることで、プラットフォーム固有の抽象化と汎用的検出を分離し、VBScriptマルウェアで89%の検出率、PE実行可能ファイルで51%の検出率を達成し、誤検出は最小限に抑えられた。

ABSTRACT

Most behavioral detectors of malware remain specific to a given language and platform, mostly PE executables for Windows. The objective of this paper is to define a generic approach for behavioral detection based on two layers respectively responsible for abstraction and detection. The first abstraction layer remains specific to a platform and a language. This first layer interprets the collected instructions, API calls and arguments and classifies these operations as well as the involved objects according to their purpose in the malware lifecycle. The second detection layer remains generic and is totally interoperable between the different abstraction components. This layer relies on parallel automata parsing attribute-grammars where semantic rules are used for object typing (object classification) and object binding (data-flow). To feed detection and to experiment with our approach we have developed two different abstraction components: one processing system call traces from native code and one processing the VBScript interpreted language. The different experimentations have provided promising detection rates, in particular for script files (89%), with almost none false positives. In the case of process traces, the detection rate remains significant (51%) but could be increased by more sophisticated collection tools.

研究の動機と目的

• 関数的オブスカレーションによる回避に耐性を持つ、マルウェア動作検出のための汎用的でプラットフォームおよび言語に依存しないアプローチの開発。
• システムレベルの観測の抽象化と検出ロジックを分離し、モジュラーかつ拡張可能な設計を可能にする。
• マルウェアライフサイクルにおけるデータフロー制御とオブジェクト分類のための意味的ルールを備えた属性文法を用いて、悪意ある動作をモデル化する。
• ネイティブPEトレースとVBScriptの2つの抽象化コンponentを用いて、実世界のデータを用いてアプローチを評価する。
• 高い検出率と低誤検出率、そして現代のハードウェアで効率的なパフォーマンスを実証する。

提案手法

• フレームワークは二層アーキテクチャを採用する：抽象化層は、プラットフォーム固有のイベント（例：システムコール、スクリプト操作）を汎用的動作モデルにマッピングし、検出層はそのモデルを属性オートマトンで解析する。
• 属性文法は、有効な動作シーケンスの文法的ルールと、オブジェクト型付け（例：'インストール'、'通信'）およびデータフロー束縛（汚染）の意味的ルールを定義する。
• 検出層は、決定的有限オートマトンを用いて抽象化された動作のログを解析し、時間計算量が線形かつスタック使用量が低いことが保証される。
• 抽象化コンponentは、PEの生のシステムトレースとVBScriptの実行を、標準化されたログに変換し、それぞれデータサイズを29倍と6倍に削減する。
• パラレル解析とリアルタイムフックを用いた最適化により、オフライン解析における高コストな文字列比較の依存度を低減する。
• 解析中に不確実性比（α）を測定し、異常を検出する；高いα値は悪意ある行動と強く相関している。

実験結果

リサーチクエスチョン

• RQ1 データフロー制御とオブジェクト型付けのための意味的ルールを備えた属性文法を用いて、マルウェア動作の汎用的でプラットフォームに依存しないモデルを構築可能か？
• RQ2 抽象化レイヤーがプラットフォーム固有の解析と汎用的検出を分離でき、独立した更新と保守性の向上を可能にするか？
• RQ3 属性オートマトンによる解析が、異なるプラットフォームや言語で既知のマルウェア動作を低誤検出率で検出できるか、その範囲はどの程度か？
• RQ4 収集メカニズムとデータ圧縮が、検出性能とスケーラビリティに与える影響は何か？
• RQ5 解析中の不確実性比（α）は、悪意ある行動の信頼できる指標として機能するか？

主な発見

• Visual Basic Scriptマルウェアに対して89%の検出率を達成し、ほぼ誤検出がなかった。これは、解釈型言語において優れた性能を示している。
• ネイティブPE実行可能ファイルでは51%の検出率を示したが、これは依然として有意であり、収集ツールの向上に伴い改善が期待される。
• 抽象化レイヤーは、PEトレースデータを29倍、VBScriptログを6倍に圧縮し、ストレージおよび処理効率を顕著に向上させた。
• 検出パフォーマンスは極めて効率的であった：PEログはデュアルコア2.6GHzハードウェアで1ログあたり0.14秒、VBScriptログは1ログあたり0.001秒未満であった。
• 解析中に使用された最大スタックサイズは低く、構文スタックで7、意味スタックで3であったため、メモリオーバーヘッドが小さいことが示された。
• 不確実性比（α）は、最悪ケースの推定（α ≈ α·nₑ、ではなく2ⁿₑ）よりも常に著しく低く、実用的な解析の計算量が管理可能でスケーラブルであることが示された。