[論文レビュー] Virtual Machine Introspection Based Malware Behavior Profiling and Family Grouping

Shun-Wen Hsiao, Yeali S. Sun+1 more|arXiv (Cornell University)|May 4, 2017

Advanced Malware Detection Techniques参考文献 33被引用数 8

ひとこと要約

本論文は、マルウェア実行中にパrameterおよび戻り値を含む詳細なWindows API呼び出しシーケンスを収集することで、行動プロファイルを生成する、仮想マシンインツピション（VMI）ベースのマルウェアプロファイラ（VMP）を提案する。階層的クラスタリングと新規のペアワイズ分類スコア（PCS）評価手法を用いて、VMPはマルウェアをファミリーに効果的にグループ化し、コード変更されたバージョンが存在する状況でも、大多数の商用アンチマルウェアエンジンを上回るファミリー分類の正確性を達成するとともに、マルウェアと良性ソフトウェアを区別する。

ABSTRACT

The proliferation of malwares have been attributed to the alternations of a handful of original malware source codes. The malwares alternated from the same origin share some intrinsic behaviors and form a malware family. Expediently, identifying its malware family when a malware is first seen on the Internet can provide useful clues to mitigate the threat. In this paper, a malware profiler (VMP) is proposed to profile the execution behaviors of a malware by leveraging virtual machine introspection (VMI) technique. The VMP inserts plug-ins inside the virtual machine monitor (VMM) to record the invoked API calls with their input parameters and return values as the profile of malware. In this paper, a popular similarity measurement Jaccard distance and a phylogenetic tree construction method are adopted to discover malware families. The studies of malware profiles show the malwares from a malware family are very similar to each others and distinct from other malware families as well as benign software. This paper also examines VMP against existing anti-malware detection engines and some well-known malware grouping methods to compare the goodness in their malware family constructions. A peer voting approach is proposed and the results show VMP is better than almost all of the compared anti-malware engines, and compatible with the fine tuned text-mining approach and high order N-gram approaches. We also establish a malware profiling website based on VMP for malware research.

研究の動機と目的

• コード変更されたバージョンが存在する状況でも、行動的類似性に基づいてマルウェアファミリーを特定する課題に対処すること。
• 低レベルのシステムコールを越えた意味的に豊かな実行トレースを収集するランタイムマルウェアプロファイリングシステムを開発すること。
• アンチマルウェアエンジン間での不一致な命名規則を考慮した、マルウェアファミリーのグループ化を評価するための堅牢なフレームワークを構築すること。
• 研究および防御用途を目的とした、VMPシステムに基づく公開可能なマルウェアプロファイリングWebサイトを提供すること。

提案手法

• VMPシステムは、ゲストVMのランタイムインツピジョンを実行するため、仮想マシンモニタ（VMM）にプラグインを統合する。
• 関数パラメータおよび戻り値を含む、完全なWindows API呼び出しシーケンスを収集し、行動プロファイルとして利用する。
• マルウェアサンプル間の類似性を計算するために、API呼び出しシーケンスに基づく距離測定を用いる。
• 平均連結法を用いた階層的クラスタリングを適用し、マルウェアファミリー構造を明らかにする系統発生樹を構築する。
• 複数の検出エンジンにおけるファミリーグループ化結果の整合性を評価するため、新規のペアワイズ分類スコア（PCS）を導入する。
• 複数のVMを用いた分散タスクキューにシステムをデプロイし、専用Webサイトを通じてスケーラブルかつ公開可能なマルウェアプロファイリングを実現する。

実験結果

リサーチクエスチョン

• RQ1 詳細なAPI呼び出しデータを用いたVMIベースのプロファイリングは、マルウェアファミリーと良性ソフトウェアを効果的に区別できるか？
• RQ2 提案されたVMPベースのファミリーグループ化は、既存のアンチマルウェアエンジンおよび従来のクラスタリング手法と比較して、どの程度高い正確性を示すか？
• RQ3 新規のペアワイズ分類スコア（PCS）は、マルウェアファミリー分類の整合性および信頼性をどの程度適切に反映しているか？
• RQ4 VMPシステムは、現実世界の公開環境で多様なマルウェアサンプルをスケーラブルにプロファイリングできるか？
• RQ5 API呼び出しにおけるパラメータおよび戻り値の含め方が、マルウェア行動プロファイリングの忠実度にどのような影響を及えるか？

主な発見

• VMPシステムは、行動的類似性に基づいてマルウェアサンプルをファミリーに効果的にグループ化し、良性ソフトウェアとは明確に分離する。
• VMPプロファイルから構築された系統発生樹は、既知のマルウェアファミリー関係を正確に反映しており、高い内部整合性を示す。
• ペアワイズ分類スコア（PCS）評価により、VMPは比較対象のほとんどすべてのアンチマルウェアエンジンを上回るファミリーグループ化の正確性を示した。
• VMPシステムは、Text_Mining や N-Gram_N といった最先端の手法と同等またはそれ以上の性能を達成した。
• 公開用マルウェアプロファイリングWebサイトにより、アップロードされたサンプルのリアルタイム分析が可能となり、実行後5分以内にプロファイルをダウンロード可能となる。