[論文レビュー] Processor-Dependent Malware... and codes

Anthony Desnos, Robert Erra+1 more|arXiv (Cornell University)|Nov 7, 2010

Cellular Automata and Applications参考文献 10被引用数 4

ひとこと要約

この論文は、異なるCPUアーキテクチャ間での浮動小数点演算（FPA）の不一致を活用することで、プロセッサ依存型マルウェアの新規アプローチを提案している。三角関数や和集合の計算といった、巧みに設計された数値計算を実行することで、異なるプロセッサが異なる結果を出力することを示しており、マルウェアが特定のハードウェアを高精度で識別・標的化できることを実証している。これは、さまざまなオペレーティングシステムやソフトウェア環境を問わず成立する。

ABSTRACT

Malware usually target computers according to their operating system. Thus we have Windows malwares, Linux malwares and so on ... In this paper, we consider a different approach and show on a technical basis how easily malware can recognize and target systems selectively, according to the onboard processor chip. This technology is very easy to build since it does not rely on deep analysis of chip logical gates architecture. Floating Point Arithmetic (FPA) looks promising to define a set of tests to identify the processor or, more precisely, a subset of possible processors. We give results for different families of processors: AMD, Intel (Dual Core, Atom), Sparc, Digital Alpha, Cell, Atom ... As a conclusion, we propose two {\it open problems} that are new, to the authors' knowledge.

研究の動機と目的

• マルウェアが、オペレーティングシステムやアプリケーションに依存せずに、プロセッサレベルの算術的差異に基づいて特定のプロセッサを標的化できるかどうかを調査すること。
• 浮動小数点演算（FPA）を、プロセッサ識別に信頼性のあるフィンガープrintとして使用できるかどうかを検討すること。
• FPAに基づくテストが、Intel、AMD、ARM、MIPSなどの異なるプロセッサファミリーを高精度で区別できることを実証すること。
• 「外科的」マルウェアを可能にする新たな攻撃面を、サイバー戦争において同定すること。このマルウェアは、特定のハードウェアでのみ起動する。
• 2つの未解決問題を提起する：(1) 精密なプロセッサ識別に適した線形時間複雑性のFPAアルゴリズムの設計、(2) FPA挙動に基づくプロセッサ依存型ハッシュ関数の作成。

提案手法

• 浮動小数点演算（FPA）を側帯として、プロセッサ固有の数値的挙動を検出する。これは、精度や丸めの差に起因する。
• sin(10^37 * π) や ∑(10^N) といった数値的表現を用い、各プロセッサごとに固有の出力シグネチャを生成する。
• πの複数の近似値（例：Pi1 から Pi4）を用いることで、アーキテクチャ間での浮動小数点計算の差を拡大する。
• Intel、AMD、ARM iPhone、MIPS、dsPIC などのさまざまなプロセッサ上でテストプログラムを実行し、16進数および10進数形式で結果を記録する。
• コンパイラや最適化フラグがFPA結果に与える影響を分析し、コンパイラ選択がフィンガープrintの粒度をさらに高められることを示す。
• 将来的なフレームワークとして、FPAベースのテストによるプロセッサ識別の自動化を目的とした「Proc Scope Tool」を提唱する。

実験結果

リサーチクエスチョン

• RQ1 異なるプロセッサ間での浮動小数点演算の差を、信頼性を持って特定のCPUアーキテクチャを区別するために利用できるか？
• RQ2 コンパイラのバージョンや最適化設定が、浮動小数点計算の結果にどの程度影響を及ぼすか。また、その影響を活用してハードウェアのフィンガープrintを洗練できるか？
• RQ3 FPA挙動を通じてプロセッサを一意に識別できる、線形時間・線形空間の数値的アルゴリズムを設計することは可能か？
• RQ4 FPA操作を用いて、同じ入力に対して異なるプロセッサで異なる出力を生成するプロセッサ依存型ハッシュ関数を構築できるか？

主な発見

• Intel、AMD、ARM iPhone、MIPS、dsPIC といった異なるプロセッサは、sin(10^37 * π) を計算する際に、それぞれ異なる結果を出力しており、信頼性のある識別が可能であることが示された。
• dsPIC33FJ21 マイコンは、すべてのπの近似値に対して同一の結果（0xbee5）を出力したが、他のプロセッサは明確な乖離を示した。
• 0.1 + 0.1 + 0.1 == 0.3 のテストは、VAX 750 を除くすべてのプロセッサで偽を返し、アーキテクチャ依存の浮動小数点挙動を示した。
• コンパイラや最適化設定がFPA結果に顕著な影響を及ぼすことが判明した。特に、一般化された和 s(N) − N*10^N において、N とツールチェインの変更に伴い値が大きく変動した。
• sin(10^10 * π1) の計算では、AMD、Intel、ARM プロセッサで一貫した結果が得られたが、より高い累乗では乖離が生じ、検出可能なパターンが確認された。
• sin(10^37 * π) の計算におけるFPA挙動に基づき、4つの明確なプロセッササブクラスが同定された。これは、細粒度なハードウェアフィンガープrintの可能性を示している。