15

マルウェア解析のためのサンドボックスの実現手法としては,Xenなどのハードウェア仮想化技術やQEMUなどのエミュレーション技術が知られています.

マルウェアの多くはこうしたサンドボックスを検出しようとする(evasive malware)ため,マルウェアから検出されにくいtransparentなサンドボックスが望まれています. しかし,RDTSCやICMP timestampをはじめとするtiming attackの存在から,これは不可能であると言われています.

では,ハードウェア仮想化技術と,エミュレーション技術のどちらがtransparentなサンドボックスに近いのでしょうか.

Christopher Kruegel氏はtransparencyの観点から,Intel VTなどのハードウェア仮想化技術によるサンドボックスを批判しました. 氏が手がけるLastlineはエミュレーション(QEMU)によるサンドボックスですが,transparencyを問題とするならQEMUも同様です(これは,氏のポジショントークであるように思えます).

そもそも,VMware製品やOpenStackが広く利用されている昨今において,プログラムが仮想マシン上で動作しているからといって,それがマルウェア解析環境であると決めつけるのは早計です.

そこで,in-the-wildなマルウェアが仮想化技術やエミュレーション技術を解析環境検出の手段とする割合について書かれた文献を探しています.
「データセットのうち,Ether(Xen)を検出する検体は何%, TEMU(QEMU)を検出する検体は何%で,このうち何%には解析環境を検出するためのライブラリが用いられていた」「何々という検体はバックドアポートからVMware Playerを検出するが,これだけでは解析環境であると判断せず,IsDebuggerPresentと併用する」といった内容だと嬉しいです.

2
  • 4
    @ntddkさん、タイトルがもう少し具体的な言葉だと、多くの人が問題を共有しやすいと思います。問題のポイントが「〜の文献を探している」のならば、そのような言葉を使うのもよいかもしれません。タイトルは再編集できます。ヘルプセンターの「良い質問をするには?」が参考になるかもしれません。ja.stackoverflow.com/help/how-to-ask
    – naota
    Commented 2014年12月19日 11:23
  • 1
    @naotaさん,タイトル及び質問内容を編集しました.ありがとうございます.
    – ntddk
    Commented 2014年12月20日 7:44

0

この質問に回答するには、ログインする必要があります。

のタグが付いた他の質問を参照する。