(57)【要約】【課題】マルウェアをより容易に解析できるようにするマルウェアをより容易に解析できるようにする。【解決手段】マルウェア解析装置１０は、マルウェアの動的解析を行う動的解析部１１と、動的解析部１１が動的解析を行っているときに、マルウェアによる通信が発生したか否か判定する通信判定部１２と、通信判定部１２がマルウェアによる通信が発生したと判定した場合に、通信を一時停止させて、静的解析の実行の要請を提示する静的解析要求部１３と、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように、該装置を設定する設定変更部１４とを備えている。【選択図】図５
2018169792.tif 000002
【特許請求の範囲】
【請求項１】
マルウェアの動的解析を行うマルウェア解析方法であって、
前記マルウェアが動的解析されているときに、前記マルウェアによる通信が発生したか否か判定し、
前記マルウェアによる通信が発生したときに、該通信を一時停止させて、静的解析の実行の要請を提示し、
前記マルウェアの通信先の装置が、静的解析によって得られた前記マルウェアが期待する応答を行うように、該装置を設定する
ことを特徴とするマルウェア解析方法。
【請求項２】
前記マルウェアが期待する応答を行うように前記マルウェアの通信先の装置を設定した後、前記マルウェアによる通信を再開させる
請求項１記載のマルウェア解析方法。
【請求項３】
静的解析によって得られた前記マルウェアが期待する応答を応答設定データベースに保存する
請求項１または請求項２記載のマルウェア解析方法。
【請求項４】
マルウェアの動的解析を行う動的解析部と、
前記動的解析部が動的解析を行っているときに、前記マルウェアによる通信が発生したか否か判定する通信判定部と、
前記通信判定部が前記マルウェアによる通信が発生したと判定した場合に、該通信を一時停止させて、静的解析の実行の要請を提示する静的解析要求部と、
前記マルウェアの通信先の装置が、静的解析によって得られた前記マルウェアが期待する応答を行うように、該装置を設定する設定変更部と
を備えたマルウェア解析装置。
【請求項５】
前記マルウェアが期待する応答を行うように前記マルウェアの通信先の装置を設定した後、前記マルウェアによる通信を再開させる通信再開部を備えた
請求項４記載のマルウェア解析装置。
【請求項６】
前記設定変更部は、静的解析によって得られた前記マルウェアが期待する応答を応答設定データベースに保存する
請求項４または請求項５記載のマルウェア解析装置。
【請求項７】
マルウェア解析装置と、疑似応答をマルウェアが期待する応答として該マルウェアに送信する疑似応答サーバとを含むマルウェア解析システムであって、
前記マルウェア解析装置は、
前記マルウェアの動的解析を行う動的解析部と、
前記動的解析部が動的解析を行っているときに、前記マルウェアによる通信が発生したか否か判定する通信判定部と、
前記通信判定部が前記マルウェアによる通信が発生したと判定した場合に、該通信を一時停止させて、静的解析の実行の要請を提示する静的解析要求部と、
静的解析によって得られた前記マルウェアが期待する応答を行うように前記疑似応答サーバを設定する設定変更部とを有する
ことを特徴とするマルウェア解析システム。
【請求項８】
前記マルウェア解析装置は、前記マルウェアが期待する応答を行うように前記疑似応答サーバを設定した後、前記マルウェアによる通信を再開させる通信再開部を有する
請求項７記載のマルウェア解析システム。
【請求項９】
前記マルウェア解析装置は、オープンフローコントローラによって管理されるオープンフロースイッチを介して前記疑似応答サーバと通信を行うように構成され、
前記設定変更部は、前記マルウェアの通信先が前記疑似応答サーバになるように前記オープンフロースイッチのフローテーブルを更新する指示を前記オープンフローコントローラに送信する
請求項７または請求項８記載のマルウェア解析システム。
【請求項１０】
コンピュータに、
前記マルウェアが動的解析されているときに、前記マルウェアによる通信が発生したか否か判定する処理と、
前記マルウェアによる通信が発生したときに、該通信を一時停止させて、静的解析の実行の要請を提示する処理と、
前記マルウェアの通信先の装置が、静的解析によって得られた前記マルウェアが期待する応答を行うように該装置を設定する処理と
を実行させるためのマルウェア解析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、マルウェアを容易に解析できるマルウェア解析方法、マルウェア解析装置およびマルウェア解析システムに関する。
【背景技術】
【０００２】
情報漏えいやデータの破壊などの脅威をもたらすコンピュータウイルスやスパイウェア、ボットプログラム等の悪意ある不正プログラム（マルウェア）が増加している。
【０００３】
そのような状況において、マルウェアを安全に実行できる環境において、マルウェアを実際に実行し、その挙動を観測することによって、マルウェアの解析を行う技術がある。
【０００４】
コンピュータ（例えば、パーソナルコンピュータなどの情報端末）に感染後にＣ＆Ｃ（Command & Control ）サーバにコンピュータを接続させるマルウェアがある。Ｃ＆Ｃサーバは、マルウェアにコマンドを送って、コンピュータを遠隔制御する。
【０００５】
そのようなマルウェアを動的解析する場合、マルウェアに感染したコンピュータをＣ＆Ｃサーバと通信可能にする。しかし、コンピュータがＣ＆Ｃサーバと通信することによって、コンピュータが被害を被る可能性がある。また、Ｃ＆Ｃサーバが既に存在しない場合には、動的解析を行うことはできない。
【０００６】
特許文献１には、マルウェアがどのような通信を行うかと、マルウェアがコンピュータの内部資源にどのような影響を及ぼすかを調べる技術が記載されている。
【０００７】
特許文献１に記載された解析システムは、マルウェアによる通信が行われるときに、通信プロトコルを判別する。そして、通信プロトコルに応じてあらかじめ決められた擬似的なサーバ応答がマルウェアに送信される。よって、実際のＣ＆Ｃサーバとの間の通信が行われない状況で、マルウェアが動的解析される。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特許第５３８９８５５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかし、特許文献１に記載された解析システムは、通信プロトコルを判別できない場合や、擬似的なサーバ応答をあらかじめ定義できない場合には、マルウェアを解析できない。
【００１０】
本発明は、マルウェアをより容易に解析できるようにすることを目的とする。
【課題を解決するための手段】
【００１１】
本発明によるマルウェア解析方法は、マルウェアの動的解析を行うマルウェア解析方法であって、マルウェアが動的解析されているときに、マルウェアによる通信が発生したか否か判定し、マルウェアによる通信が発生したときに、通信を一時停止させて、静的解析の実行の要請を提示し、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように、該装置を設定することを特徴とする。
【００１２】
本発明によるマルウェア解析装置は、マルウェアの動的解析を行う動的解析部と、動的解析部が動的解析を行っているときに、マルウェアによる通信が発生したか否か判定する通信判定部と、通信判定部がマルウェアによる通信が発生したと判定した場合に、通信を一時停止させて、静的解析の実行の要請を提示する静的解析要求部と、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように、該装置を設定する設定変更部とを備えたことを特徴とする。
【００１３】
本発明によるマルウェア解析システムは、マルウェア解析装置と、疑似応答をマルウェアが期待する応答として該マルウェアに送信する疑似応答サーバとを含むマルウェア解析システムであって、マルウェア解析装置は、マルウェアの動的解析を行う動的解析部と、動的解析部が動的解析を行っているときに、マルウェアによる通信が発生したか否か判定する通信判定部と、通信判定部がマルウェアによる通信が発生したと判定した場合に、通信を一時停止させて、静的解析の実行の要請を提示する静的解析要求部と、静的解析によって得られたマルウェアが期待する応答を行うように疑似応答サーバを設定する設定変更部とを有することを特徴とする。
【００１４】
本発明によるマルウェア解析プログラムは、コンピュータに、マルウェアが動的解析されているときに、マルウェアによる通信が発生したか否か判定する処理と、マルウェアによる通信が発生したときに、通信を一時停止させて、静的解析の実行の要請を提示する処理と、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように該装置を設定する処理とを実行させることを特徴とする。
【発明の効果】
【００１５】
本発明によれば、マルウェアをより容易に解析できる。
【図面の簡単な説明】
【００１６】
【図１】マルウェア解析装置を含むマルウェア解析システムの実施形態を示すブロック図である。
【図２】マルウェア解析装置の動作例を示すフローチャートである。
【図３】応答設定データベースに格納された情報の一例を示す説明図である。
【図４】マルウェア解析装置の機能を実現可能な情報処理システムの構成例を示すブロック図である。
【図５】本発明によるマルウェア解析装置の主要部を示すブロック図である。
【図６】本発明による他の態様のマルウェア解析装置の主要部を示すブロック図である。
【図７】本発明によるさらに他の態様のマルウェア解析装置の主要部を示すブロック図である。
【図８】本発明によるマルウェア解析システムの主要部を示すブロック図である。
【図９】本発明による他の態様のマルウェア解析システムの主要部を示すブロック図である。
【図１０】本発明によるさらに他の態様のマルウェア解析システムの主要部を示すブロック図である。
【発明を実施するための形態】
【００１７】
以下、本発明の実施形態の図面を参照して説明する。
【００１８】
図１は、マルウェア解析装置を含むマルウェア解析システムの実施形態を示すブロック図である。図１に示す例では、マルウェア解析システムにおいて、マルウェア解析装置１００は、オープンフロー（Open Flow ）スイッチ３０１を介してシンクホールサーバ２００に接続される。シンクホールサーバ２００は、マルウェアが行う通信の経路において用いられる。
【００１９】
なお、以下の説明において、「マルウェアが通信を行う」ということは、実際には、マルウェアが存在する装置の資源（通信インタフェースなど：図１では通信部１０７で代表される。）がマルウェアに従って通信を行うということである。
【００２０】
また、マルウェア解析装置１００は、シンクホールサーバ２００やオープンフローコントローラ３００と直接接続もされている。直接接続されている理由は、マルウェア解析装置１００が、シンクホールサーバ２００やオープンフローコントローラ３００の制御を行うからである。
【００２１】
オープンフローコントローラ３００は、オープンフロースイッチ３０１を制御するために接続されている。
【００２２】
マルウェア解析装置１００は、制御部１０１、静的解析制御部１０２、動的解析制御部１０３、設定変更部１０４、解析結果データベース（ＤＢ）１０５、マルウェア実行部１０６、通信部１０７、および応答設定データベース（ＤＢ）１０８を含む。
【００２３】
制御部１０１は、マルウェア解析装置１００の各機能を制御する。静的解析制御部１０２は、マルウェアの静的解析のための制御を行う。動的解析制御部１０３は、マルウェアの動的解析の制御を行う。設定変更部１０４は、シンクホールサーバ２００やオープンフローコントローラ３００の設定を変更する。
【００２４】
解析結果データベース１０５は、マルウェアの解析結果を格納する。マルウェア実行部１０６は、解析のためにマルウェアを実行する。通信部１０７は、シンクホールサーバ２００、オープンフローコントローラ３００およびオープンフロースイッチ３０１と通信を行う。応答設定データベース１０８は、マルウェアが通信する際のマルウェアが期待する応答とその設定方法を格納する。
【００２５】
なお、マルウェアが期待する応答は、例えば、Ｃ＆Ｃサーバの名前解決が行われる場合を例にすると、Ｃ＆ＣサーバのＩＰアドレス、インターネットに接続されていることを確認するためのＷｅｂアクセスの応答、マルウェアが動作するためのＣ＆Ｃサーバからのコマンドなどである。
【００２６】
シンクホールサーバ２００は、マルウェアが通信する際の期待する応答を返すための応答生成部２０１と、通信を行うための通信部２０２とを含む。なお、本明細書では、マルウェアのトラフィックを吸収して解析するサーバをシンクホールサーバ２００とする。シンクホールサーバ２００は、例えば、Ｃ＆Ｃサーバに代わって、マルウェアが期待する応答（実際には、疑似応答）をマルウェアに供給する。
【００２７】
次に、マルウェア解析装置１００の動作を説明する。図２は、マルウェア解析装置１００の動作例を示すフローチャートである。
【００２８】
マルウェア解析装置１００において、まず、初期化処理が実行される（ステップＳ２０１）。
【００２９】
具体的には、初期化処理では、制御部１０１が、マルウェア実行部１０６に、動的解析制御部１０３を介して、解析対象のマルウェアに合わせた環境を用意することを指示する。マルウェア実行部１０６は、マルウェアを実行するための準備として、解析対象のマルウェアを動作させるために必要なＣＰＵ（Central Processing Unit ）、メモリおよびディスクの設定や、ＯＳ（Operating System）およびアプリケーションの設定などを行う。
【００３０】
また、制御部１０１は、設定変更部１０４に初期化指示を出す。初期化指示を受け取った設定変更部１０４は、通信部１０７を介して、シンクホールサーバ２００とオープンフローコントローラ３００とに対して初期化を指示する。シンクホールサーバ２００は、指示に応じて、応答生成のクリアなどの初期化処理を行う。オープンフローコントローラ３００は、指示に応じて、オープンフロースイッチ３０１のフローテーブルをクリアする処理を行う。
【００３１】
次に、ステップＳ２０２において、マルウェア実行部１０６がマルウェアを実行する。動的解析制御部１０３は、マルウェアの実行状況を監視する。そして、動的解析制御部１０３は、マルウェアのファイルへのアクセス、プロセス実行、ＡＰＩ（Application Programming Interface ）呼び出し、通信先などの情報を解析結果データベース１０５に格納する。
【００３２】
ステップＳ２０３では、動的解析制御部１０３は、マルウェアが通信したか否か判定する。通信したと判定された場合には、ステップＳ２０４に進む。通信していないと判定された場合には、ステップＳ２０６に移行する。なお、動的解析制御部１０３は、例えば、通信部１０７が動作したか否か確認することによって、マルウェアが通信したか否かを判定できる。
【００３３】
マルウェアが通信した場合には、マルウェア実行部１０６は、通信部１０７を介してオープンフロースイッチ３０１にパケットを送信する。当該パケットに関する情報はフローテーブルにおけるエントリにはないので、オープンフロースイッチ３０１は、オープンフローコントローラ３００に、パケットを転送して問い合わせを行う。パケットを受け取ったオープンフローコントローラ３００は、ステップＳ２０３の処理が実行される時点では、受け取ったパケットをそのまま保持する。
【００３４】
マルウェアが通信した場合、ステップＳ２０４において、マルウェア解析者がマルウェアの静的解析を行って、マルウェアが期待する応答を設定する。なお、このとき、マルウェア実行部１０６は、例えば、動的解析制御部１０３の指示に従って、処理を中断する。よって、マルウェアによる通信は一時停止する。
【００３５】
なお、マルウェア解析者がマルウェアの静的解析を行う契機を作成するために、一例として、マルウェア解析装置１００が、以下のような処理を実行することが考えられる。
【００３６】
すなわち、動的解析制御部１０３が、制御部１０１を介して、マルウェア解析装置１００における表示部（図１において図示せず）またはマルウェア解析装置１００に接続されている表示装置に、マルウェアが通信しないことを示す表示を行ったり、静的解析を行うことを勧告することを示す表示を行ったりする。
【００３７】
静的解析を行うときに、マルウェア解析者は、マルウェア解析装置１００における入力部（図１において図示せず）またはマルウェア解析装置１００に接続されている入力装置から、制御部１０１に、解析結果データベース１０５に格納された動的解析の結果や、マルウェア実行部１０６のレジスタ、メモリの状態およびマルウェアのアセンブリコードなどを要求する。制御部１０１は、入力された要求を、静的解析制御部１０２およびマルウェア実行部１０６に伝える。
【００３８】
要求に対する回答としての情報は、例えば、静的解析制御部１０２およびマルウェア実行部１０６から、制御部１０１を介して、表示部または表示装置に出力される。マルウェア解析者は、回答としての情報にもとづいて、マルウェアが期待する応答を見いだす。見いだされたマルウェアが期待する応答は、例えば、入力部または入力装置から、制御部１０１または設定変更部１０４に入力される。マルウェアが期待する応答が制御部１０１に入力されるように構成されている場合には、制御部１０１は、設定変更部１０４を介して、マルウェアが期待する応答を応答設定データベース１０８に格納する。マルウェアが期待する応答が設定変更部１０４に入力されるように構成されている場合には、設定変更部１０４が、マルウェアが期待する応答を応答設定データベース１０８に格納する。
【００３９】
図３は、応答設定データベース１０８に格納された情報の一例を示す説明図である。
【００４０】
図３に示す例では、応答設定データベース１０８には、特定のＡＰＩと引数との組に対して、通信をシンクホールサーバ２００に転送するためのオープンフロースイッチ３０１に適用すべきフロー情報と、期待する応答と、その応答を返すために必要なシンクホールサーバ２００への設定方法とが格納されている。設定方法は、プログラムやスクリプト、および設定ファイルなどである。
【００４１】
なお、本実施形態では、ＡＰＩと引数とが応答設定データベース１０８に設定されるが、異なる条件が設定されるようにしてもよい。例えば、ＡＰＩの代わりに、アセンブリコードが設定されてもよい。また、引数の代わりに、オブジェクトの状態、または、レジスタやメモリの状態が設定されてもよい。また、マルウェアの実行中の命令のアドレスが設定されてもよい。
【００４２】
ステップＳ２０５では、制御部１０１は、設定変更部１０４に対して、応答設定データベース１０８に格納された情報を基にシンクホールサーバ２００やオープンフローコントローラ３００の設定を行うように指示する。設定変更部１０４は、応答設定データベース１０８に格納されている期待する応答や設定方法に従って、通信部１０７を介して、シンクホールサーバ２００の応答生成部２０１に対する設定を実行する。すなわち、設定変更部１０４は、マルウェアが期待する応答をシンクホールサーバ２００が返すように、応答生成部２０１を設定する。
【００４３】
また、設定変更部１０４は、ステップＳ２０３の処理でマルウェアが通信したことが検出された場合には、オープンフローコントローラ３００に対して、マルウェアの通信先がシンクホールサーバ２００になるように、フロー情報とともにフローテーブル変更の指示を送信する。
【００４４】
オープンフローコントローラ３００は、設定変更部１０４から受け取ったフロー情報にもとづいて、ステップＳ２０３の処理で保留したパケットの通信先がシンクホールサーバ２００になるように、オープンフロースイッチ３０１のフローテーブルにエントリを追加する。そして、オープンフローコントローラ３００は、ステップＳ２０３の処理で保留していたパケットを転送する。転送されたパケットを受け取ったシンクホールサーバ２００は、設定変更部１０４によって設定された内容にもとづいて、マルウェアが期待する応答をマルウェア解析装置１００に返す。
【００４５】
ステップＳ２０６では、動的解析制御部１０３は、マルウェア解析の終了条件が満たされたか否か判定する。終了条件は、例えば、マルウェアの動作が終了したこと、マルウェアの実行時間が一定時間を過ぎたこと、十分な解析結果が得られたことなどである。動的解析制御部１０３は、終了条件が満たされた場合には解析を終了する。
【００４６】
終了条件が満たされていない場合には、ステップＳ２０２に戻る。すなわち、マルウェア実行部１０６がマルウェアを実行するとともに、動的解析制御部１０３は、動的解析を続行する。なお、マルウェアの通信が中断されていた場合には、ステップＳ２０２の処理が実行されることによって、マルウェアの通信が再開される。
【００４７】
以上に説明したように、本実施形態では、マルウェアの動的解析において、マルウェアが通信を行う際に静的解析を行うことによって、マルウェアが期待する応答を適切にシンクホールサーバ２００に設定することができる。すなわち、シンクホールサーバ２００の動作が動的に変更される。よって、適切に動的解析を継続することができる。その結果、マルウェア解析をより容易に実施することができるようになる。
【００４８】
また、マルウェアが期待する応答を応答設定データベース１０８に格納することによって、一度解析されたマルウェアに類似するマルウェアを解析するときに、静的解析を行う機会を減らすことができる。よって、マルウェアの解析の効率が向上する。また、マルウェアの動作を停止させないので、例えば、動作が停止させたことを検知して動作内容を変えるようなマルウェアの動的解析を行うことができる。
【００４９】
上記の実施形態では、図２に示されたステップＳ２０４の処理で、マルウェアが期待する応答が静的解析によって見いだされて応答設定データベース１０８に設定されたが、マルウェアが期待する応答を他の方法で見いだしてもよい。
【００５０】
例えば、制御部１０１が、初期化処理を実行するときに、過去事例を応答設定データベース１０８に登録してもよい。また、動的解析制御部１０３が、通信プロトコルや利用しているＡＰＩにもとづいて、応答パターンを生成してもよい。また、動的解析制御部１０３は、静的解析の結果抽出された文字列などを加えた応答パターンを機械的に生成し、生成した応答パターンを使用して解析を試行するようにしてよい。
【００５１】
なお、上記の各実施形態におけるマルウェア解析装置１００を、ハードウェアで構成することも可能であるが、コンピュータプログラムにより実現することも可能である。
【００５２】
図４に示す情報処理システムは、プロセッサ１００１、プログラムメモリ１００２、およびデータを格納するための記憶媒体１００３を備える。記憶媒体１００３として、例えば、ハードディスク等の磁気記憶媒体を用いることができる。プログラムメモリ１００２として、ＲＯＭ（Read Only Memory）やフラッシュＲＯＭやハードディスク等の磁気記憶媒体を用いることができる。
【００５３】
図４に示された情報処理システムにおいて、プログラムメモリ１００２には、図１に示されたマルウェア解析装置１００における制御部１０１、静的解析制御部１０２、動的解析制御部１０３および設定変更部１０４の機能と、通信部１０７における通信を実行するためのハードウェア部分を除く機能とを実現するためのプログラムが格納される。記憶媒体１００３には、解析結果データベース１０５および応答設定データベース１０８が形成される。そして、プロセッサ１００１は、プログラムメモリ１００２に格納されているプログラムに従って処理を実行することによって、図２に示されたマルウェア解析装置１００の機能を実現する。
【００５４】
図５は、本発明によるマルウェア解析装置の主要部を示すブロック図である。図５に示すマルウェア解析装置１０は、マルウェアの動的解析を行う動的解析部１１（実施形態では、動的解析制御部１０２で実現される。）と、動的解析部１１が動的解析を行っているときに、マルウェアによる通信が発生したか否か判定する通信判定部１２（実施形態では、動的解析制御部１０２で実現される。）と、通信判定部１２がマルウェアによる通信が発生したと判定した場合に、通信を一時停止させて、静的解析の実行の要請を提示する静的解析要求部１３（実施形態では、動的解析制御部１０２および制御部１０１で実現される。）と、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように、該装置を設定する設定変更部１４（実施形態では、設定変更部１０４で実現される。）とを備えている。
【００５５】
図６は、本発明による他の態様のマルウェア解析装置の主要部を示すブロック図である。図６に示すマルウェア解析装置１０は、マルウェアが期待する応答を行うようにマルウェアの通信先の装置を設定した後、マルウェアによる通信を再開させる通信再開部１５（実施形態では、マルウェア実行部１０６動的解析制御部１０２で実現される。図２におけるステップＳ２０６におけるＮｏの場合も参照）をさらに備えている。
【００５６】
図７は、本発明によるさらに他の態様のマルウェア解析装置の主要部を示すブロック図である。図７に示すマルウェア解析装置１０において、設定変更部１４は、静的解析によって得られたマルウェアが期待する応答を応答設定データベース１６に保存する。
【００５７】
図８は、本発明によるマルウェア解析システムの主要部を示すブロック図である。図８に示すマルウェア解析システム５０は、マルウェア解析装置１０と、疑似応答をマルウェアが期待する応答としてマルウェアに送信する疑似応答サーバ２０（実施形態では、シンクホールサーバ２００で実現される。）とを含み、マルウェア解析装置１０は、マルウェアの動的解析を行う動的解析部１１と、動的解析部１１が動的解析を行っているときに、マルウェアによる通信が発生したか否か判定する通信判定部１２と、通信判定部１２がマルウェアによる通信が発生したと判定した場合に、通信を一時停止させて、静的解析の実行の要請を提示する静的解析要求部１３と、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように、該装置を設定する設定変更部１４とを有する。
【００５８】
図９は、本発明による他の態様のマルウェア解析システムの主要部を示すブロック図である。図９に示すマルウェア解析システム５０において、マルウェア解析装置１０は、マルウェアが期待する応答を行うように疑似応答サーバを設定した後、マルウェアによる通信を再開させる通信再開部１５をさらに有する。
【００５９】
図１０は、本発明によるさらに他の態様のマルウェア解析システムの主要部を示すブロック図である。図１０に示すマルウェア解析システム５０において、マルウェア解析装置１０は、オープンフローコントローラ３００によって管理されるオープンフロースイッチ３０１を介して疑似応答サーバ２０と通信を行うように構成され、設定変更部１４は、マルウェアの通信先が疑似応答サーバ２０になるようにオープンフロースイッチ３０１のフローテーブルを更新する指示をオープンフローコントローラ３００に送信する。
【００６０】
上記の実施形態の一部または全部は以下の付記のようにも記載されうるが、本発明の構成は以下の構成に限定されない。
【００６１】
（付記１）コンピュータに、マルウェアが動的解析されているときに、マルウェアによる通信が発生したか否か判定する処理と、マルウェアによる通信が発生したときに、通信を一時停止させて、静的解析の実行の要請を提示する処理と、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように該装置を設定する処理と、マルウェアが期待する応答を行うようにマルウェアの通信先の装置を設定した後、マルウェアによる通信を再開させる処理とを実行させるためのマルウェア解析プログラム。
【００６２】
（付記２）コンピュータに、静的解析によって得られた前記マルウェアが期待する応答を応答設定データベースに保存する処理を実行させるための付記１に記載のマルウェア解析プログラム。
【００６３】
（付記３）マルウェア解析プログラムを格納する非一時的な記録媒体であって、コンピュータによって実行されるときに、マルウェア解析プログラムが、マルウェアが動的解析されているときにマルウェアによる通信が発生したか否か判定し、マルウェアによる通信が発生したときに、通信を一時停止させて、静的解析の実行の要請を提示し、マルウェアの通信先の装置が、静的解析によって得られたマルウェアが期待する応答を行うように、該装置を設定する。
【００６４】
（付記４）コンピュータによって実行されるときに、マルウェア解析プログラムが、マルウェアが期待する応答を行うようにマルウェアの通信先の装置を設定した後、マルウェアによる通信を再開させる付記３に記載の記録媒体。
【００６５】
（付記５）コンピュータによって実行されるときに、マルウェア解析プログラムが、静的解析によって得られたマルウェアが期待する応答を応答設定データベースに保存する付記３または付記４に記載の記録媒体。
【符号の説明】
【００６６】
１０      マルウェア解析装置
１１      動的解析部
１２      通信判定部
１３      静的解析要求部
１４      設定変更部
１５      通信再開部
１６      応答設定データベース
２０      疑似応答サーバ
５０      マルウェア解析システム
１００    マルウェア解析装置
１０１    制御部
１０２    静的解析制御部
１０３    動的解析制御部
１０４    設定変更部
１０５    解析結果データベース
１０６    マルウェア実行部
１０７    通信部
１０８    応答設定データベース
２００    シンクホールサーバ
２０１    応答生成部
２０２    通信部
３００    オープンフローコントローラ
３０１    オープンフロースイッチ
１００１  プロセッサ
１００２  プログラムメモリ
１００３  記憶媒体
【図１】
2018169792.tif 000003
【図２】
2018169792.tif 000004
【図３】
2018169792.tif 000005
【図４】
2018169792.tif 000006
【図５】
2018169792.tif 000007
【図６】
2018169792.tif 000008
【図７】
2018169792.tif 000009
【図８】
2018169792.tif 000010
【図９】
2018169792.tif 000011
【図１０】
2018169792.tif 000012