[論文レビュー] SAFE-PDF: Robust Detection of JavaScript PDF Malware Using Abstract Interpretation

Alexander Jordan, François Gauthier+2 more|arXiv (Cornell University)|Oct 30, 2018

Advanced Malware Detection Techniques参考文献 25被引用数 7

ひとこと要約

本稿では、保守的な抽象解釈を用いてJavaScriptベースのPDFマルウェアを検出する、頑健な静的解析フレームワークであるSAFE-PDFを提案する。PDF JavaScript環境をモデル化し、ホワイトリストポリシーを適用することで、オブフスケーション、模倣、サンドボックス検出といった一般的な回避技術に対して耐性を示し、高い再現率を達成する。最新のツールに比べて耐性面で優れており、同等の正確性と1ドキュメントあたり4秒未塔の平均解析時間を維持する。

ABSTRACT

The popularity of the PDF format and the rich JavaScript environment that PDF viewers offer make PDF documents an attractive attack vector for malware developers. PDF documents present a serious threat to the security of organizations because most users are unsuspecting of them and thus likely to open documents from untrusted sources. We propose to identify malicious PDFs by using conservative abstract interpretation to statically reason about the behavior of the embedded JavaScript code. Currently, state-of-the-art tools either: (1) statically identify PDF malware based on structural similarity to known malicious samples; or (2) dynamically execute the code to detect malicious behavior. These two approaches are subject to evasion attacks that mimic the structure of benign documents or do not exhibit their malicious behavior when being analyzed dynamically. In contrast, abstract interpretation is oblivious to both types of evasions. A comparison with two state-of-the-art PDF malware detection tools shows that our conservative abstract interpretation approach achieves similar accuracy, while being more resilient to evasion attacks.

研究の動機と目的

• PDFビューアーおよびJavaScriptランタイムの脆弱性を悪用するJavaScriptベースのPDFマルウェアの増加する脅威に対処すること。
• コードのオブフスケーション、良性構造の模倣、サンドボックス検出による回避の限界を克服すること。
• 既知の回避技術に対して耐性があり、実用的で高い再現率を示す、PDFに埋め込まれたJavaScriptの静的解析システムを構築すること。
• 既存のツールが破綻するようなエッジケースや非標準構文を適切に処理できる、堅牢なPDF JavaScriptコード抽出器を設計すること。
• 不透明な機械学習分類器に依存しない、透明性があり保守性の高い検出モデルを提供すること。このモデルは抽象解釈とホワイトリストポリシーに基づく。

提案手法

• PDFに埋め込まれたJavaScriptのすべての可能な振る舞いの安全な上界近似を計算するために、保守的な抽象解釈を採用する。
• PDF JavaScript環境に特化したドメイン固有の抽象インタプリタを設計し、一般的なAPIや実行コンテキストのサポートを実装する。
• ヒープスプライングや脆弱な関数への呼び出しといった、既知の悪意あるパターンをブロックするホワイトリストポリシーを実装する。
• 2,952件の問題のあるPDFで検証された、解析器の混乱を引き起こす攻撃に対して耐性のある、非常に堅牢なJavaScriptコード抽出器を構築する。
• 未知または潜在的に悪意ある振る舞いは、すべて悪意あるとみなす保守的な解析戦略を採用し、高い再現率を確保する。
• 動的実行を伴わずに、異なるビューアーのバージョンや環境での振る舞いをシンボリック推論でシミュレートする。

実験結果

リサーチクエスチョン

• RQ1 抽象解釈を用いることで、高い再現率と低い偽陽性率でJavaScriptベースのPDFマルウェアを効果的に検出できるか？
• RQ2 静的解析アプローチは、コードのオブフスケーション、良性構造の模倣、サンドボックス検出といった一般的な回避技術に耐えられるか？
• RQ3 抽象解釈に基づく検出の性能と正確性は、最新のシグネチャベースおよび動的解析ツールと比べてどうか？
• RQ4 堅牢なコード抽出器は、破損したまたは非標準的なPDF構文が存在する状況でも、静的解析の信頼性をどの程度向上できるか？
• RQ5 不透明な機械学習ベースの検出器と比較して、透明性がありポリシー駆動のモデルは保守性および回避攻撃に対する耐性の面で優れているか？

主な発見

• SAFE-PDFはほぼ完全な再現率を達成し、評価セット内のほぼすべての既知の悪意あるPDFを検出できた。
• 保守的な解析戦略を採用しているにもかかわらず、最新の検出ツールと同等の正確性を維持した。
• 1ドキュメントあたりの平均解析時間は4秒未塔であり、実世界での導入に実用的であることを示した。
• 2,952件の文書を、従来の抽出器が破綻していたが、SAFE-PDFの抽出器は正常に処理できた。これは、解析器の混乱攻撃に対して耐性があることを証明した。
• 静的で保守的かつ意味論に配慮した解析により、オブフスケーション、模倣、サンドボックス回避攻撃に対して、既存のツールが破綻するのを回避した。
• ユーザーの操作に起因する振る舞いを検出できるため、サンドボックスベースのツールが見逃すのを回避し、動的解析を凌駆した。