[論文レビュー] SPAM: Signal Processing to Analyze Malware

Lakshmanan Nataraj, B.S. Manjunath|arXiv (Cornell University)|May 17, 2016

Advanced Malware Detection Techniques参考文献 9被引用数 5

ひとこと要約

本論文では、マルウェアバイナリを信号または画像として扱い、ランダムプロジェクションを用いたスパース表現により、デシリアライズや実行を伴わせずに高速で軽量な検出を可能にする、信号および画像処理に基づくマルウェア分類・検索フレームワークSPAMを提案する。MalimgおよびMalheurデータセットにおいて、従来のGISTやNearest Neighborなどの手法を上回る最先端の精度を達成しており、パッケージャーやVM対策マルウェアによる回避を防ぐ直交的で補完的な検出手法を活用している。

ABSTRACT

In this article, we explored orthogonal methods to analyze malware motivated by signal and image processing. Malware samples are represented as images or signals. Image and signal-based features are extracted to characterize malware. Our extensive experiments demonstrate the efficacy of our methods on malware classification and retrieval. We believe that our techniques will open the scope of signal-and image-based methods to broader fields in computer security.

研究の動機と目的

• ポリモービックマルウェアによって容易に回避される、静的・動的・ヒューリスティック分析に依存する従来のマルウェア検出手法の限界を解消すること。
• 既存の手法と補完的であり、攻撃者にあまり知られていない直交的で信号および画像処理に基づくアプローチを検討し、回避成功率を低下させること。
• デシリアライズやアンパック、実行時処理を回避する最小限の前処理で、高速で軽量なマルウェア分類および検索を可能にすること。
• Windows、Android、Linux、macOSのマルウェアバージョンを含む多様なマルウェアファミリーに効果的で、プラットフォームに依存しないフレームワークを開発すること。
• スパース表現誤差モデリングを用いて、微細なコード差を検出することで、マルウェアバリアエントの進化の系統を特定すること。

提案手法

• マルウェアバイナリは、バイト列をピクセル強度または信号振幅として解釈することで、2次元画像または1次元信号として表現される。
• 高次元のバイトベクトルを低次元表現に削減するためにランダムプロジェクション（RP）を用いた特徴抽出が行われ、構造的情報を保持する。
• スパース表現ベースの分類（SRC）が適用される：テストサンプルは、既知のファミリーからの訓練サンプルのスパース線形結合として表現される。
• スパースな解はl1ノルム最小化により計算される：min ||α'||₁ ただし w = RAα' であり、wはプロジェクション済みテストベクトルである。
• 各ファミリー固有の訓練辞書に対する再構成誤差の最小値に基づいて、マルウェアファミリーが割り当てられる。
• スパース表現フレームワークにおける誤差モデルの分析により、変種間のコード差を特定し、外れ値検出および系統追跡が可能になる。

実験結果

リサーチクエスチョン

• RQ1 信号および画像処理技術は、パッケージャーやVM対策マルウェアによる回避を防ぐ直交的で補完的なアプローチを提供できるか？
• RQ2 ランダムプロジェクションを用いたスパース表現は、デシリアライズや実行を伴わず、マルウェアファミリーを分類するのにどの程度有効か？
• RQ3 スパース表現フレームワークは、マルウェア変種間の微細なコード差を検出し、その進化の系統を追跡できるか？
• RQ4 提案手法は、GIST や Nearest Neighbor などの既存の特徴記述子よりも、公開マルウェアデータセットで高い精度を達成できるか？
• RQ5 低計算コストを維持しながら、数千のマルウェアファミリーおよび数百万件のサンプルを含む大規模データセットへスケーラブルに拡張可能か？

主な発見

• Malimgデータセットでは、ランダムプロジェクションとスパース表現ベースの分類（SRC）の組み合わせが、全テスト手法の中で最高の分類精度を達成し、GIST や Nearest Neighbor を上回った。
• Malheurデータセットでも、同様のRP-SRCフレームワークが優れた性能を示し、多様なマルウェアファミリーおよびバイナリ構造に対して堅牢であることを実証した。
• ランダムプロジェクションの使用により次元削減が顕著に達成されたが、分類精度は保持され、特定の特徴抽出パイプラインに依存しない高速な計算が可能になった。
• フレームワークは、マルウェアデータセットからの潜在的な外れ値を効果的に同定・除外し、訓練セットの整合性を向上させた。
• 本手法により、マルウェア変種間のコード差の正確な検出が可能となり、系統追跡や、良性ソフトウェアに付随するパッチが施されたマルウェアの同定が実現した。
• 42,480件のマルウェアサンプルおよび2,124のファミリーを含む大規模な評価において、RP-SRCフレームワークは高い精度を維持した。これにより、実世界への展開におけるスケーラビリティと実用性が確認された。