[論文レビュー] MIMOSA: Reducing Malware Analysis Overhead with Coverings

Mohsen Ahmadi, Kevin Leach+3 more|arXiv (Cornell University)|Jan 18, 2021

Advanced Malware Detection Techniques参考文献 32被引用数 13

ひとこと要約

MIMOSA は、巧妙なマルウェアが使用する代表的な兆候を最も効果的に抑制できる最小限のツール設定の集合を特定することで、マルウェア解析のオーバーヘッドを低減するカバー集合アプローチを導入した。1,535個の実世界のサンプルを対象に評価した結果、最先端の手法と比較して解析スループットを95％以上向上させ、リソースコストと人的作業を最小限に抑えた。

ABSTRACT

There is a growing body of malware samples that evade automated analysis and detection tools. Malware may measure fingerprints ("artifacts") of the underlying analysis tool or environment and change their behavior when artifacts are detected. While analysis tools can mitigate artifacts to reduce exposure, such concealment is expensive. However, not every sample checks for every type of artifact-analysis efficiency can be improved by mitigating only those artifacts most likely to be used by a sample. Using that insight, we propose MIMOSA, a system that identifies a small set of "covering" tool configurations that collectively defeat most malware samples with increased efficiency. MIMOSA identifies a set of tool configurations that maximize analysis throughput and detection accuracy while minimizing manual effort, enabling scalable automation to analyze stealthy malware. We evaluate our approach against a benchmark of 1535 labeled stealthy malware samples. Our approach increases analysis throughput over state of the art on over 95% of these samples. We also investigate cost-benefit tradeoffs between the fraction of successfully-analyzed samples and computing resources required. MIMOSA provides a practical, tunable method for efficiently deploying analysis resources.

研究の動機と目的

• 仮想化またはエミュレーテッド環境での兆候を検出することで、解析を回避する巧妙なマルウェアの増加する脅威に対処すること。
• マルウェア解析における、あらゆる兆候を抑制するために必要な高コストな計算および人的作業のオーバーヘッドを低減すること。
• 最大の検出カバレッジを最小限のコストで得られるように、効果的な抑制戦略のサブセットを効率的に選択できるスケーラブルでチューナブルな手法を開発すること。
• 抑制戦略をコスト-カバレッジトレードオフ問題としてモデル化することで、自動的かつ高スループットな巧妙マルウェア解析を可能にすること。
• 1,535個のラベル付き巧妙マルウェアサンプルからなる大規模な実世界コロナを用いて、本手法の実証的妥当性を検証すること。

提案手法

• MIMOSA は、抑制される兆候の数と関連するリソースコストに基づき、部分的に順序付けられた集合としてマルウェア兆候抑制戦略をモデル化する。
• 多数の巧妙マルウェアサンプルを同時に克服できる最小の設定集合を特定するために、カバー集合アルゴリズムを採用する。
• 仮想マシン、ベアメタルシステム、ハードウェア支援ツールを含むさまざまな解析環境で、32種類の異なる抑制戦略を評価する。
• 検出精度、解析スループット、リソース利用率（CPU、メモリ、ディスク）のバランスを取るために、コスト・ベネフィットフレームワークを用いる。
• 自動マルウェアトライエージパイプラインに統合し、各サンプルごとに最適な設定を動的に選択する。
• フレームワークは拡張可能であり、コアアルゴリズムを変更せずに、新たな兆候や抑制戦略を容易に統合できる。

実験結果

リサーチクエスチョン

• RQ1 リソースオーバーヘッドを最小限に抑えながら、大多数の巧妙マルウェアサンプルをカバーできる最小の解析設定の集合は何か？
• RQ2 MIMOSA の設定選択は、既存の最先端手法と比較して、解析スループットをどのように向上させるか？
• RQ3 異なる抑制戦略を用いる場合、検出精度とリソースコストのトレードオフはどのようなものか？
• RQ4 データドリブンで体系的な兆候抑制アプローチは、事前の経験的または包括的な抑制と比較して、実世界のマルウェア解析で優れているか？
• RQ5 カバー集合モデルは、新たなまたは進化するマルウェアの回避技術に対し、スケーラブルで柔軟に適応可能か？

主な発見

• MIMOSA は、評価コロナに含まれる1,535個のラベル付き巧妙マルウェアサンプルの95％以上で、最先端手法と比較して解析スループットを向上させた。
• 完全な兆候抑制と比較して、メモリ使用量と計算オーバーヘッドを削減しながらも、高い検出精度を達成した。
• カバー集合アプローチにより、最も一般的な回避技術を効果的に抑制できる少数の最適な設定の組み合わせが特定された。
• コスト・ベネフィット分析により、MIMOSA はチューナブルなデプロイメントを可能にし、ユーザーが検出カバレッジとリソース消費量のバランスを調整できることが示された。
• フレームワークは拡張可能であり、新しい抑制戦略を追加することで、「サンドボックス環境における『年齢』チェック」のような新たな兆候に対しても容易に適応可能である。
• 評価結果から、すべてのマルウェアサンプルがすべての兆候を使用しているわけではないことが確認され、選択的抑制が実際には効果的かつ効率的であるという核心的な洞察が裏付けられた。