動的解析においてログが取得できないマルウェアの実態調査

摘要

システムコールやAPI 呼出し等を観測するマルウェアの動的解析においては，マルウェアが典型的に使用するAPI 呼出しに限ってログを取得する場合が多い．このような場合にマルウェアのプロセスが早々に終了したり，終了はしていないが有効なログが取得できないなど，「うまく動作しない」マルウェアの存在が確認されている．それらは，マルウェアとしての動作をしたのか否かを判断するのが困難であり，動的解析を適切に終了できているとは言えない．この実態を明らかにすべく，マルウェア検体を対象に全システムコールの発行を観測した．その結果，プロセスの終了やスレッドの待ち状態が動的解析ログに影響を与えることが明らかとなった．