(57)【要約】  コンピュータ・システムにおいてマルウェアを識別するためのコンピュータ実装方法は、悪意があるまたは良性であるとラベル付けされた複数の実行可能ファイルを受信するステップと、受信されたラベル付けされた複数の実行可能ファイルの各々と関連付けられたオーバーレイから抽出されたプロパティを用いて機械学習モデルをトレーニングするステップと、ラベル付けされていない実行可能ファイルを受信するステップと、受信された実行可能ファイルと関連付けられたオーバーレイから抽出されたプロパティに基づいて、トレーニングされた機械学習モデルを用いて、受信された実行可能ファイルは悪意があるかまたは良性であるかどうかを判定するステップと、受信された実行可能ファイルは悪意があると判定された場合に、受信されたラベル付けされていない実行可能ファイルを悪意があるものとして識別する情報を伝送するステップとを含む。
2021523434.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータ・システムにおいてマルウェアを識別するためのコンピュータ実装方法であって、
悪意があるまたは良性であるとラベル付けされた複数の実行可能ファイルを受信するステップと、
受信された前記ラベル付けされた複数の実行可能ファイルの各々と関連付けられたオーバーレイから抽出されたプロパティを用いて機械学習モデルをトレーニングするステップと、
ラベル付けされていない実行可能ファイルを受信するステップと、
受信された前記ラベル付けされていない実行可能ファイルと関連付けられたオーバーレイから抽出されたプロパティに基づいて、トレーニングされた前記機械学習モデルを用いて、受信された前記ラベル付けされていない実行可能ファイルは悪意があるかまたは良性であるかどうかを判定するステップと、
受信された前記ラベル付けされていない実行可能ファイルは悪意があると判定された場合に、受信された前記ラベル付けされていない実行可能ファイルを悪意があるものとして識別する情報を伝送するステップと
を含む、方法。
【請求項２】
前記抽出されたプロパティは、前記オーバーレイの存在、前記オーバーレイのサイズ、前記オーバーレイの前記サイズと前記実行可能ファイルのサイズとの間の比のうちの少なくとも１つを含む基本的オーバーレイ・プロパティ、前記実行可能ファイル、前記オーバーレイ、または両方のデータのブロックの統計的コンテンツ・プロパティ、前記オーバーレイ中で発見されたＵＲＬ、ドメインおよびＩＰアドレスの評判、前記オーバーレイのバイナリ・コード中で発見された署名または指紋および前記オーバーレイの可読コンテンツのテキスト解析のうちの少なくとも１つを含む前記オーバーレイのコンテンツを特徴付けるディープ・コンテンツ・プロパティ、ならびに前記オーバーレイのＮ−Ｇｒａｍを含むオーバーレイ解析に対して修正または適合されたファイル解析技法に基づく他のプロパティを備える群から選択された少なくとも１つのプロパティを含む、請求項１に記載の方法。
【請求項３】
前記機械学習モデルは、分類器モデル、ニューラル・ネットワーク・モデル、ベイジアン・モデル、決定木モデルおよびサポート・ベクタ・マシン・モデルを含む教師あり学習モデル、ならびにクラスタリング・モデルおよびニューラル・ネットワーク・モデルを含む教師なし学習モデルを備える群から選択された少なくとも１つのモデルを含む、請求項１に記載の方法。
【請求項４】
前記プロパティは、静的解析によって前記オーバーレイから抽出され、前記実行可能ファイルおよびオーバーレイが、それらが実行されていないときに検査される、請求項１に記載の方法。
【請求項５】
前記受信された実行可能ファイルは、ｗｅｂブラウザ、電子メール・メッセージ、およびファイル・システムのうちの少なくとも１つを含むソースから受信される、請求項１に記載の方法。
【請求項６】
前記オーバーレイは、ポータブル実行可能ファイルであり、前記判定するステップは、受信された前記実行可能ファイルの他のセクションの解析とは別に前記オーバーレイを解析することによって行われる、請求項１に記載の方法。
【請求項７】
コンピュータ・システムにおいてマルウェアを識別するためのシステムであって、前記システムは、プロセッサ、前記プロセッサによってアクセス可能なメモリ、ならびに前記メモリに格納されて、
悪意があるまたは良性であるとラベル付けされた複数の実行可能ファイルを受信するステップと、
受信された前記ラベル付けされた複数の実行可能ファイルの各々と関連付けられたオーバーレイから抽出されたプロパティを用いて機械学習モデルをトレーニングするステップと、
ラベル付けされていない実行可能ファイルを受信するステップと、
受信された前記ラベル付けされていない実行可能ファイルと関連付けられたオーバーレイから抽出されたプロパティに基づいて、トレーニングされた前記機械学習モデルを用いて、受信された前記ラベル付けされていない実行可能ファイルは悪意があるかまたは良性であるかどうかを判定するステップと、
受信された前記ラベル付けされていない実行可能ファイルが悪意があると判定された場合に、受信された前記ラベル付けされていない実行可能ファイルを悪意があるものとして識別する情報を伝送するステップと
を行うために前記プロセッサによって実行可能であるコンピュータ・プログラム命令
を備える、システム。
【請求項８】
前記抽出されたプロパティは、前記オーバーレイの存在、前記オーバーレイのサイズ、前記オーバーレイの前記サイズと前記実行可能ファイルのサイズとの間の比のうちの少なくとも１つを含む基本的オーバーレイ・プロパティ、前記実行可能ファイル、前記オーバーレイ、または両方のデータのブロックの統計的コンテンツ・プロパティ、前記オーバーレイ中で発見されたＵＲＬ、ドメインおよびＩＰアドレスの評判、前記オーバーレイのバイナリ・コード中で発見された署名または指紋、および前記オーバーレイの可読コンテンツのテキスト解析のうちの少なくとも１つを含む前記オーバーレイのコンテンツを特徴付けるディープ・コンテンツ・プロパティ、ならびに前記オーバーレイのＮ−Ｇｒａｍを含むオーバーレイ解析に対して修正または適合されたファイル解析技法に基づく他のプロパティを備える群から選択された少なくとも１つのプロパティを含む、請求項７に記載のシステム。
【請求項９】
前記機械学習モデルは、分類器モデル、ニューラル・ネットワーク・モデル、ベイジアン・モデル、決定木モデル、サポート・ベクタ・マシン・モデルを含む教師あり学習モデル、ならびにクラスタリング・モデルおよびニューラル・ネットワーク・モデルを含む教師なし学習モデルを備える群から選択された少なくとも１つのモデルを含む、請求項７に記載のシステム。
【請求項１０】
前記プロパティは、静的解析によって前記オーバーレイから抽出され、前記実行可能ファイルおよびオーバーレイが、それらが実行されていないときに検査される、請求項７に記載のシステム。
【請求項１１】
前記受信された実行可能ファイルは、ｗｅｂブラウザ、電子メール・メッセージ、およびファイル・システムのうちの少なくとも１つを含むソースから受信される、請求項７に記載のシステム。
【請求項１２】
前記オーバーレイは、ポータブル実行可能ファイルであり、前記判定するステップは、受信された前記実行可能ファイルの他のセクションの解析とは別に前記オーバーレイを解析することによって行われる、請求項７に記載のシステム。
【請求項１３】
コンピュータ・システムにおいてマルウェアを識別するためのコンピュータ・プログラム製品であって、前記コンピュータ・プログラム製品は、それをもって具現されたプログラム命令を有する非一時的コンピュータ可読ストレージを備え、前記プログラム命令は、
悪意があるまたは良性であるとラベル付けされた複数の実行可能ファイルを受信するステップと、
受信された前記ラベル付けされた複数の実行可能ファイルの各々と関連付けられたオーバーレイから抽出されたプロパティを用いて機械学習モデルをトレーニングするステップと、
ラベル付けされていない実行可能ファイルを受信するステップと、
受信された前記ラベル付けされていない実行可能ファイルと関連付けられたオーバーレイから抽出されたプロパティに基づいて、トレーニングされた前記機械学習モデルを用いて、受信された前記ラベル付けされていない実行可能ファイルは悪意があるかまたは良性であるかどうかを判定するステップと、
受信された前記ラベル付けされていない実行可能ファイルは悪意があると判定されたときに、受信された前記ラベル付けされていない実行可能ファイルを悪意があるものとして識別する情報を伝送するステップと
を含む方法を前記コンピュータに行わせるために、コンピュータによって実行可能である、コンピュータ・プログラム製品。
【請求項１４】
前記抽出されたプロパティは、前記オーバーレイの存在、前記オーバーレイのサイズ、前記オーバーレイの前記サイズと前記実行可能ファイルのサイズとの間の比のうちの少なくとも１つを含む基本的オーバーレイ・プロパティ、前記実行可能ファイル、前記オーバーレイ、または両方のデータのブロックの統計的コンテンツ・プロパティ、前記オーバーレイ中で発見されたＵＲＬ、ドメインおよびＩＰアドレスの評判、前記オーバーレイのバイナリ・コード中で発見された署名または指紋、および前記オーバーレイの可読コンテンツのテキスト解析のうちの少なくとも１つを含む前記オーバーレイのコンテンツを特徴付けるディープ・コンテンツ・プロパティ、ならびに前記オーバーレイのＮ−Ｇｒａｍを含むオーバーレイ解析に対して修正または適合されたファイル解析技法に基づく他のプロパティを備える群から選択された少なくとも１つのプロパティを含む、請求項１３に記載のコンピュータ・プログラム製品。
【請求項１５】
前記機械学習モデルは、分類器モデル、ニューラル・ネットワーク・モデル、ベイジアン・モデル、決定木モデルおよびサポート・ベクタ・マシン・モデルを含む教師あり学習モデル、ならびにクラスタリング・モデルおよびニューラル・ネットワーク・モデルを含む教師なし学習モデルを備える群から選択された少なくとも１つのモデルを含む、請求項１３に記載のコンピュータ・プログラム製品。
【請求項１６】
前記プロパティは、静的解析によって前記オーバーレイから抽出され、前記実行可能ファイルおよびオーバーレイが、それらが実行されていないときに検査される、請求項１３に記載のコンピュータ・プログラム製品。
【請求項１７】
前記受信された実行可能ファイルは、ｗｅｂブラウザ、電子メール・メッセージ、およびファイル・システムのうちの少なくとも１つを含むソースから受信される、請求項１３に記載のコンピュータ・プログラム製品。
【請求項１８】
前記オーバーレイは、ポータブル実行可能ファイルであり、前記判定するステップは、受信された前記実行可能ファイルの他のセクションの解析とは別に前記オーバーレイを解析することによって行われる、請求項１３に記載のコンピュータ・プログラム製品。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、実行可能ファイルのオーバーレイについて静的解析を行うことによって悪意がある実行可能ファイルを検出するための技法に関する。
【０００２】
悪意があるファイル（マルウェア）は、プライベート・ユーザおよび組織に大きなリスクを提起する。マルウェアを検出するタスクは、マルウェア検体の数が増大し、マルウェア・マスカレーディング技法が継続的に改良されるにつれて、近年、主要な問題であった。
【０００３】
現在の悪意がある実行ファイルは、アンチウィルス・システム（ＡＶ：ａｎｔｉ−ｖｉｒｕｓ  ｓｙｓｔｅｍｓ）による検出を逃れるために様々な複数の技法を用いる。これらの技法、例えば、コード・パッキング、ポリモーフィズム、メタモーフィズム、暗号化などは、典型的に、「その場で（in-place）」、すなわち、ファイルが実行し始めるときにメモリへ読み込まれる悪意があるファイルの部分上で行われる。かかる悪意があるコードを検出するための既存のメカニズムは、高効率かつ高確率で機能し、従って、かかる攻撃が成功することをより難しくする。それゆえに、マルウェアは、ファイルが実行されるときにメモリへロードされない、すなわち、悪意があるペイロードが予想されないファイルのセクション中に悪意があるペイロードを隠そうとするように進化した。それらの「良性の」コンテンツをメモリへロードした後に、かかるマルウェアは、それらの悪意があるコンテンツを他のソースからロードし、結果として、既存の防衛メカニズムを回避することになる。この回避的な技法を行うための最もポピュラーな技法の１つは、悪意があるペイロードをファイルのためのオーバーレイとして追記することによる。
【０００４】
実行可能ファイルのオーバーレイは、そのヘッダにおいて宣言されていない、そのファイルへの追加として定義されうる。従って、ファイルにはオーバーレイの存在またはコンテンツについて情報がない。オーバーレイは、ファイルが実行されるときにメモリへロードされない。しかしながら、簡単なプログラミングによって、「良性の」作動中プロセスが、オーバーレイの悪意があるコンテンツを読み取り、実行時にそれをコンピュータのメインメモリへロードするようになされうる。このコード・ローディング・プロセスは、従来のファイル実行とは本質的に異なり、従って、当今のＡＶの既存の検出メカニズムは、かかる動作を悪意があるとして検出しない可能性がある。そのうえ、既存の良性のコードへのオーバーレイの追加は、その電子署名メカニズムを壊すことなくオーバーレイを任意の実行可能ファイルへ添付できるので、比較的容易である。署名メカニズムは、「問題の」実行ファイルの作成者の起源また名称の検証を可能にする。
【０００５】
オーバーレイがマルウェア作者によって用いられることがあるが、オーバーレイの単なる存在がそれ自体でファイルに「罪を負わせる」ことはできない。実行可能ファイルのオーバーレイのための正規の使用法が良性のソフトウェアにはある。例えば、余分のファイルを加えることなくデータをプログラムへ加える必要があるときにそれが有用でありうる。従って、既存の技法は、実行可能ファイルのオーバーレイ中に存在する悪意があるコンテンツを検出する課題に適切に対処しない。
【０００６】
実行可能ファイルのオーバーレイ中に存在する悪意があるソフトウェアを検出するための技法の必要性が生じる。
【発明の概要】
【０００７】
本システムおよび方法の実施形態は、実行可能ファイルのオーバーレイに基づいて悪意がある実行可能ファイルを検出してよく、現在の技術に優る改良を提供する。実施形態において、疑わしい実行可能ファイルは、ファイルのオーバーレイを（そのようなものが存在するならば）抽出し、オーバーレイを解析して、その解析を用いてオーバーレイに関する種々のプロパティを判定することによって解析されてよい。これらのプロパティは（場合によっては、ファイルの他のプロパティとともに）、ファイルは悪意があるかまたは良性であるかを決定することになる分類器へ送られてよい。
【０００８】
例えば、ある実施形態では、コンピュータ・システムにおいてマルウェアを識別するためのコンピュータ実装方法は、悪意があるまたは良性であるとラベル付けされた複数の実行可能ファイルを受信するステップと、受信されたラベル付けされた複数の実行可能ファイルの各々と関連付けられたオーバーレイから抽出されたプロパティを用いて機械学習モデルをトレーニングするステップと、ラベル付けされていない実行可能ファイルを受信するステップと、受信されたラベル付けされていない実行可能ファイルと関連付けられたオーバーレイから抽出されたプロパティに基づいて、トレーニングされた機械学習モデルを用いて、受信されたラベル付けされていない実行可能ファイルは悪意があるかまたは良性であるかどうかを判定するステップと、受信されたラベル付けされていない実行可能ファイルは悪意があると判定されたときに、受信されたラベル付けされていない実行可能ファイルを悪意があるとして識別する情報を伝送するステップとを含んでよい。
【０００９】
実施形態において、抽出されたプロパティは、オーバーレイの存在、オーバーレイのサイズ、オーバーレイのサイズと実行可能ファイルのサイズとの間の比のうちの少なくとも１つを含む基本的オーバーレイ・プロパティ、実行可能ファイルのオーバーレイのデータのブロックの統計的コンテンツ・プロパティ、オーバーレイ中で発見されたＵＲＬ、ドメインおよびＩＰアドレスの評判、オーバーレイのバイナリ・コード中で発見された署名または指紋、およびオーバーレイの可読コンテンツのテキスト解析のうちの少なくとも１つを含むオーバーレイのコンテンツを特徴付けるディープ・コンテンツ・プロパティ、ならびにオーバーレイのＮ−Ｇｒａｍを含むオーバーレイ解析に対して修正または適合されたファイル解析技法に基づく他のプロパティを備える群から選択された少なくとも１つのプロパティを含んでよい。機械学習モデルは、分類器モデル、ニューラル・ネットワーク・モデル、ベイジアン・モデル、決定木モデル、サポート・ベクタ・マシン・モデルを含む教師あり学習モデル、ならびにクラスタリング・モデルおよびニューラル・ネットワーク・モデルを含む教師なし学習モデルを備える群から選択された少なくとも１つのモデルを含んでよい。これらのプロパティは、実行可能ファイルおよびオーバーレイが、それらが実行されていないときに検査される、静的解析によってオーバーレイから抽出されてよい。受信された実行可能ファイルは、ｗｅｂブラウザ、電子メール・メッセージ、およびファイル・システムのうちの少なくとも１つを含むソースから受信されてよい。オーバーレイは、ポータブル実行可能ファイルであってよく、判定するステップは、受信された実行可能ファイルの他のセクションの解析とは別にオーバーレイを解析することによって行われる。
【００１０】
ある実施形態では、コンピュータ・システムにおいてマルウェアを識別するためのシステムは、プロセッサ、プロセッサによってアクセス可能なメモリ、ならびにメモリに格納されて、悪意があるまたは良性であるとラベル付けされた複数の実行可能ファイルを受信するステップと、受信されたラベル付けされた複数の実行可能ファイルの各々と関連付けられたオーバーレイから抽出されたプロパティを用いて機械学習モデルをトレーニングするステップと、ラベル付けされていない実行可能ファイルを受信するステップと、受信されたラベル付けされていない実行可能ファイルと関連付けられたオーバーレイから抽出されたプロパティに基づいて、トレーニングされた機械学習モデルを用いて、受信されたラベル付けされていない実行可能ファイルは悪意があるかまたは良性であるかどうかを判定するステップと、受信されたラベル付けされていない実行可能ファイルは悪意があると判定されたときに、受信されたラベル付けされていない実行可能ファイルを悪意があるとして識別する情報を伝送するステップとを行うためにプロセッサによって実行可能であるコンピュータ・プログラム命令を備えてよい。
【００１１】
ある実施形態では、コンピュータ・システムにおいてマルウェアを識別するためのコンピュータ・プログラム製品は、それをもって具現されたプログラム命令を有する非一時的コンピュータ可読ストレージを備えてよく、プログラム命令は、悪意があるまたは良性であるとラベル付けされた複数の実行可能ファイルを受信するステップと、複数の受信されたラベル付けされた実行可能ファイルの各々と関連付けられたオーバーレイから抽出されたプロパティを用いて機械学習モデルをトレーニングするステップと、ラベル付けされていない実行可能ファイルを受信するステップと、受信されたラベル付けされていない実行可能ファイルと関連付けられたオーバーレイから抽出されたプロパティに基づいて、トレーニングされた機械学習モデルを用いて、受信されたラベル付けされていない実行可能ファイルは悪意があるかまたは良性であるかどうかを判定するステップと、受信されたラベル付けされていない実行可能ファイルは悪意があると判定されたときに、受信されたラベル付けされていない実行可能ファイルを悪意があるとして識別する情報を伝送するステップとを含む方法をコンピュータに行わせるためにコンピュータによって実行可能である。
【００１２】
本発明の詳細は、その構造およびオペレーションのいずれについても、同様の参照番号および指定が同様の要素を参照する、添付図面を参照することによって最もよく理解されうる。
【図面の簡単な説明】
【００１３】
【図１】本システムおよび方法の技法が実装され得るシステムの例示的なブロック図を示す。
【図２】トレーニング・フェーズ・プロセスのある実施形態の例示的なフロー図である。
【図３】運用フェーズ・プロセスのある実施形態の例示的なフロー図である。
【図４】図２および３に示されるプロセスによって抽出されてよいプロパティのカテゴリの例示的な図である。
【図５】本明細書に記載される実施形態に含まれるプロセスが実装されてよいコンピュータ・システムの例示的なブロック図である。
【発明を実施するための形態】
【００１４】
本システムおよび方法の実施形態は、実行可能ファイルのオーバーレイ中に存在する悪意があるコンテンツを検出してよく、現在の技術に優る改良を提供する。実施形態において、疑わしい実行可能ファイルは、ファイルのオーバーレイを（そのようなものが存在するならば）抽出し、オーバーレイを解析して、その解析を用いてオーバーレイに関する種々のプロパティを判定することによって解析されてよい。これらのプロパティは（場合によっては、ファイルの他のプロパティとともに）、ファイルは悪意があるかまたは良性であるかを決定することになる分類器へ移されてよい。
【００１５】
本システムおよび方法の実施形態は、教師あり機械学習に基づいた自動静的解析を用いる。マルウェア検出メカニズムは、ポータブル実行可能（ＰＥ：Ｐｏｒｔａｂｌｅ  Ｅｘｅｃｕｔａｂｌｅ）ファイルのオーバーレイを実行ファイルの他のセクションとは別に解析する。ポータブル実行可能オーバーレイのプロパティ（すなわち、特徴）のセットが抽出され、機械学習アルゴリズムがこれらの抽出された特徴に対してトレーニングされて、悪意があるソフトウェアと良性のソフトウェアとが弁別される。
【００１６】
本システムおよび方法の技法が実装され得る、システム１００の例示的なブロック図が図１に示される。この例では、システム１００は、コンピュータ・システム１０２およびネットワーク１０４を含む。典型的に、コンピュータ・システム１０２は、１つ以上のプログラムされた汎用コンピュータ・システム、例えば、パーソナル・コンピュータ、スマートフォン、タブレットもしくはタブレット・コンピュータ、ワークステーション、サーバ・システム、ミニコンピュータまたはメインフレーム・コンピュータなどを用いて実装されてよい。ネットワーク１０４は、典型的にインターネットであるが、いずれかの標準的またはプロプライエタリ・ネットワーク、あるいはパブリックまたはプライベート・ネットワークであってもよい。典型的に、コンピュータ・システム１０２は、インターネットに接続されてユーザによって操作されるシステムであるが、いずれかのタイプのネットワークに接続されたいずれかのタイプのコンピュータ・システムが用いられてよい。典型的に、コンピュータ・システム１０２は、実行可能ファイル１０６を、例えば、ｗｅｂブラウザ、電子メール・サービス、ファイル・システムなどを介してネットワーク１０４から受信してよい。かかる実行可能ファイルは、オーバーレイ１０８を含んでもよく、またはそれと関連付けられてもよい。例えば、実行可能ファイル１０６は、受信されたときに、別の状況ではファイルのヘッダまたは他のメタデータにおいて参照されないオーバーレイ１０８部分を含んでよい。同様に、実行可能ファイル１０６は、受信されたときに、オーバーレイ１０８部分を含まなくてよいが、オーバーレイ１０８をネットワーク１０４、または他のストレージから取得してよく、オーバーレイ１０８がメモリへロードされるようにしてもよい。実行可能ファイル１０６およびオーバーレイ１０８は、実行可能ファイル１０６もしくはオーバーレイ１０８またはその両方がマルウェアであるもっともらしさを判定するために、マルウェア検出システム１１０によって解析されてよい。
【００１７】
実施形態において、本マルウェア検出技法は、２つの作動フェーズ：トレーニング・フェーズおよび運用もしくはオンライン・フェーズを含んでよい。トレーニング・フェーズは、トレーニングされた分類器モデル１１２を生成するために、ラベル付けされた悪意があるおよび良性のファイルのコーパス上で分類モデルをトレーニングするステップを含んでよい。トレーニング・フェーズは、運用フェーズより前に行われてよい。運用フェーズでは、疑わしいポータブル実行可能ファイルのサンプルがコンピュータ・システム１０２に到着してよく、トレーニングされた分類器モデル１１２は、サンプルを良性または悪意があるものとして分類するために用いられてよい。
【００１８】
本技法に含まれるトレーニング・フェーズ・プロセス２００のある実施形態の例示的なフロー図が図２に示される。トレーニング・フェーズ・プロセス２００は、２０２で開始してよく、ここで、悪意があるまたは良性とラベル付けされた実行可能ファイルがトレーニング・フェーズ・プロセス２００によって受信されてよい。２０４では、受信された実行可能ファイルが解析されてよく、いずれかのオーバーレイ部分が抽出または取得されてよい。２０６では、抽出または取得されたオーバーレイが、存在しうるプロパティを判定するために解析されてよい。実施形態において、静的解析が行われてよく、すなわち、実行可能ファイルおよび関連付けられたオーバーレイが、それらが実行されていないときに検査される。２０８では、該当する判定されたプロパティがオーバーレイから抽出されてよい。２１０では、抽出されたプロパティおよびラベルを用いて悪意があるを認識するため、およびかかる悪意がある例を良性の例から弁別するために機械学習モデルがトレーニングされてよい。典型的に、機械学習モデルは、分類器モデルであってよいが、任意の機械学習モデルが用いられてよい。例えば、他の教師あり学習モデル、例えば、ニューラル・ネットワーク・モデル、ベイジアン・モデル、決定木モデル、サポート・ベクタ・マシンなどのいくつかのタイプが用いられてよい。同様に、ラベル付けされたデータが存在しうるが、または代わりに、ラベル付けされていないデータが存在するならば、教師なし学習モデル、例えば、クラスタリング・モデル、いくつかのタイプのニューラル・ネットワークなどが用いられてよい。実施形態において、２１２では、他のまたは追加のプロパティが抽出されて、機械学習モデルをトレーニング２１０するために用いられてよい。
【００１９】
本技法に含まれる運用フェーズ・プロセス３００の例示的なフロー図が図３に示される。運用フェーズ・プロセス３００は、３０２で開始してよく、ここでは、悪意があるまたは良性であると判定されることになる、実行可能ファイルが運用フェーズ・プロセス３００によって受信されてよい。３０４では、受信された実行可能ファイルが解析されてよく、いずれかのオーバーレイ部分が抽出または取得されてよい。３０６では、抽出または取得されたオーバーレイが、存在しうるプロパティを判定するために解析されてよい。実施形態において、静的解析が行われてよく、すなわち、実行可能ファイルおよび関連付けられたオーバーレイが、それらが実行されていないときに検査される。３０８では、該当する判定されたプロパティがオーバーレイから抽出されてよい。３１０では、各受信された実行可能ファイルは悪意があるまたは良性であるのいずれであるかを決定すべく、抽出されたプロパティおよびラベルを分類するために機械学習モデルが用いられてよく、判定について関連付けられる信頼水準を決定してよい。典型的に、機械学習モデルは、分類器モデルであってよいが、任意の機械学習モデルが用いられてよい。例えば、他の教師あり学習モデル、例えば、ニューラル・ネットワーク・モデル、ベイジアン・モデル、決定木モデル、サポート・ベクタ・マシンなどのいくつかのタイプが用いられてよい。３１２では、判定された決定、およびいずれかの関連付けられた信頼水準が提供されてよい。実施形態において、３１４では、他のまたは追加のプロパティが抽出されて、機械学習モデルによる分類３１０のために用いられてよい。
【００２０】
抽出され得るプロパティ４００のカテゴリの例が図４に示される。この例では、示されるオーバーレイ・プロパティ・カテゴリは、基本的オーバーレイ・プロパティ４０２、統計的コンテンツ・プロパティ４０４、ディープ・コンテンツ・プロパティ４０６、およびファイル解析技法の調整に関係するプロパティを含んでよい。基本的オーバーレイ・プロパティ４０２は、オーバーレイについての簡単なプロパティ、例えば、オーバーレイの存在（Ｂｏｏｌｅａｎまたは真／偽値）、オーバーレイのサイズ、オーバーレイのサイズとファイル全体のサイズとの間の比などを含んでよい。統計的コンテンツ・プロパティ４０４は、オーバーレイをデータのブロック（例えば、バイト、キロバイトなど）として扱うステップと、これらのブロック上で統計的尺度を適用するステップとを含んでよい。例えば、オーバーレイのバイト分布およびオーバーレイのＳｈａｎｎｏｎエントロピーがバイト・ブロックに対して用いられてよい。
【００２１】
ディープ・コンテンツ・プロパティ４０６は、オーバーレイのコンテンツを特徴付けてよい。より具体的には、これらのプロパティは、オーバーレイがカプセル化するコンテンツのタイプおよびこのコンテンツ・タイプについての情報を反映してよい。典型的に、ディープ・コンテンツ・プロパティは、オーバーレイ中で発見された特定のデータに基づいて生成されたオーバーレイのコンテンツの特徴付けであってよい。例えば、オーバーレイ中で発見されたＵＲＬ、ドメインおよびＩＰアドレスの評判、バイナリ・コード中で発見された署名／指紋、および可読コンテンツのテキスト解析が生成されてよい。加えて、マルウェア検出のためにプロパティを抽出するための他の技法、例えば、バイトｎ−ｇｒａｍ解析がオーバーレイへ適用されてよい。ファイル解析技法４０８の調整は、オーバーレイ解析に対して修正または適合されたファイル解析技法に基づいたプロパティを含んでよい。例えば、１）オーバーレイ・コンテンツについて「良性の」および「悪意がある」Ｎ−Ｇｒａｍの新しいリポジトリを作成するステップと、２）ファイル全体についてではなく、オーバーレイそれ自体について用語頻度のプロパティを算出するステップとによって、ファイルにおける「良性の」および「悪意がある」Ｎ−Ｇｒａｍの用語頻度がオーバーレイ解析に対して調整されてよい。例えば、あるｎ−ｇｒａｍは、テキストの所定のサンプル、例えば、バイト、オペコード、アセンブリ命令、システム・コールなどからのｎ個のバイナリ項目の連続シーケンスであってよい。任意の他のかかる技法がオーバーレイ解析に対して修正または適合されてよい。例は、交差／相対エントロピー・プロパティ、画像処理プロパティなどを含んでよい。
【００２２】
本明細書に記載される実施形態に含まれるプロセスが実装され得る、コンピュータ・システム５０２の例示的なブロック図が図５に示される。コンピュータ・システム５０２は、１つ以上のプログラムされた汎用コンピュータ・システム、例えば、埋め込みプロセッサ、システム・オン・チップ、パーソナル・コンピュータ、ワークステーション、サーバ・システムおよびミニコンピュータもしくはメインフレーム・コンピュータを用いて、または分散型ネットワーク・コンピューティング環境において実装されてよい。コンピュータ・システム５０２は、１つ以上のプロセッサ（ＣＰＵ）５０２Ａ〜５０２Ｎ、入力／出力回路素子５０４、ネットワーク・アダプタ５０６、およびメモリ５０８を含んでよい。ＣＰＵ５０２Ａ〜５０２Ｎは、本通信システムおよび方法の機能を実施するためにプログラム命令を実行する。典型的に、ＣＰＵ５０２Ａ〜５０２Ｎは、１つ以上のマイクロプロセッサ、例えば、ＩＮＴＥＬ  ＣＯＲＥ（登録商標）プロセッサである。図５は、コンピュータ・システム５０２が単一のマルチ・プロセッサ・コンピュータ・システムとして実装されたある実施形態を示し、このコンピュータ・システムでは複数のプロセッサ５０２Ａ〜５０２Ｎがシステム・リソース、例えば、メモリ５０８、入力／出力回路素子５０４、およびネットワーク・アダプタ５０６を共有する。しかしながら、本通信システムおよび方法は、コンピュータ・システム５０２が、シングル・プロセッサ・コンピュータ・システム、マルチプロセッサ・コンピュータ・システム、またはそれらの混合であってよい、複数のネットワーク化コンピュータ・システムとして実装された実施形態を含んでもよい。
【００２３】
入力／出力回路素子５０４は、コンピュータ・システム５０２へデータを入力し、それからデータを出力するための能力を提供する。例えば、入力／出力回路素子は、入力デバイス、例えば、キーボード、マウス、タッチパッド、トラックボール、スキャナ、アナログーディジタル変換器など、出力デバイス、例えば、ビデオ・アダプタ、モニタ、プリンタなど、および入力／出力デバイス、例えば、モデムなどを含んでよい。ネットワーク・アダプタ５０６は、デバイス５００をネットワーク５１０とインターフェース接続する。ネットワーク５１０は、インターネットを含むが、それには限定されない任意のパブリックまたはプロプライエタリＬＡＮもしくＷＡＮであってよい。
【００２４】
メモリ５０８は、コンピュータ・システム５０２の機能を行うためにＣＰＵ５０２によって実行されるプログラム命令、およびＣＰＵ５０２によって用いられて処理されるデータを格納する。メモリ５０８は、例えば、電子メモリ・デバイス、例えば、ランダム・アクセス・メモリ（ＲＡＭ：ｒａｎｄｏｍ−ａｃｃｅｓｓ  ｍｅｍｏｒｙ）、リード・オンリ・メモリ（ＲＯＭ：ｒｅａｄ−ｏｎｌｙ  ｍｅｍｏｒｙ）、プログラマブル・リード・オンリ・メモリ（ＰＲＯＭ：ｐｒｏｇｒａｍｍａｂｌｅ  ｒｅａｄ−ｏｎｌｙ  ｍｅｍｏｒｙ）、電気的消去可能プログラマブル・リード・オンリ・メモリ（ＥＥＰＲＯＭ：ｅｌｅｃｔｒｉｃａｌｌｙ  ｅｒａｓａｂｌｅ  ｐｒｏｇｒａｍｍａｂｌｅ  ｒｅａｄ−ｏｎｌｙ  ｍｅｍｏｒｙ）、フラッシュ・メモリなど、および電気機械メモリ、例えば、磁気ディスク・ドライブ、テープ・ドライブ、光ディスク・ドライブなどを含んでよく、これらのメモリは、ｉｎｔｅｇｒａｔｅｄ  ｄｒｉｖｅ  ｅｌｅｃｔｒｏｎｉｃｓ（ＩＤＥ）インターフェース、またはそれらのバリエーションもしく拡張、例えば、ｅｎｈａｎｃｅｄ  ＩＤＥ（ＥＩＤＥ）またはｕｌｔｒａ−ｄｉｒｅｃｔ  ｍｅｍｏｒｙ  ａｃｃｅｓｓ（ＵＤＭＡ）、あるいはｓｍａｌｌ  ｃｏｍｐｕｔｅｒ  ｓｙｓｔｅｍ  ｉｎｔｅｒｆａｃｅ（ＳＣＳＩ）ベース・インタフェース、またはそれらのバリエーションもしくは拡張、例えば、ｆａｓｔ−ＳＣＳＩ、ｗｉｄｅ−ＳＣＳＩ、ｆａｓｔ  ｗｉｄｅ−ＳＣＳＩなど、あるいはＳｅｒｉａｌ  Ａｄｖａｎｃｅｄ  Ｔｅｃｈｎｏｌｏｇｙ  Ａｔｔａｃｈｍｅｎｔ（ＳＡＴＡ）、またはそれらのバリエーションもしくは拡張、あるいはｆｉｂｅｒ  ｃｈａｎｎｅｌ−ａｒｂｉｔｒａｔｅｄ  ｌｏｏｐ（ＦＣ−ＡＬ）インターフェースを用いてよい。
【００２５】
メモリ５０８のコンテンツは、コンピュータ・システム５０２が行うようにプログラムされた機能に依存して変化してよい。図５に示される例では、例示的なメモリ・コンテンツが上記のプロセスの実施形態のためのルーチンおよびデータを表すことが示される。しかしながら、これらのルーチンは、それらのルーチンに関係するメモリ・コンテンツとともに、１つのシステムまたはデバイス上に含まれなくてもよく、むしろ、よく知られた工学的考察に基づいて、複数のシステムまたはデバイス間に分散されてもよいことを当業者は認識するであろう。本通信システムおよび方法は、あらゆるかかる配置を含んでよい。
【００２６】
図５に示される例では、メモリ５０８は、オーバーレイ抽出ルーチン５１２、プロパティ解析および抽出ルーチン５１４、モデル・トレーニング・ルーチン５１６、オーバーレイ分類ルーチン５１８、決定ルーチン５２０、モデル・データ５２２、ならびにオペレーティング・システム５２４を含んでよい。オーバーレイ抽出ルーチン５１２は、受信された実行可能ファイルを解析するため、およびいずれかの関連付けられたオーバーレイ部分を抽出または取得するためのソフトウェア・ルーチンを含んでよい。プロパティ解析および抽出ルーチン５１４は、抽出または取得されたオーバーレイを解析し、存在しうるプロパティを判定するため、および該当する判定されたプロパティをオーバーレイから抽出するためのソフトウェア・ルーチンを含んでよい。モデル・トレーニング・ルーチン５１６は、ラベル付けされた実行可能ファイルから抽出されたプロパティおよびラベルを用いて悪意がある例を認識するため、およびかかる悪意がある例を良性の例から弁別するために機械学習モデルをトレーニングするためのソフトウェア・ルーチンを含んでよい。オーバーレイ分類ルーチン５１８は、受信されたラベル付けされていない各実行可能ファイルは悪意があるまたは良性であるのいずれかであるかを決定すべく、ラベル付けされていない実行可能ファイルから抽出されたプロパティを分類するためのソフトウェア・ルーチンを含んでよく、判定について関連付けられる信頼水準を決定してよい。決定ルーチン５２０は、判定された決定を提供または伝送するためのソフトウェア・ルーチンを含んでよく、いずれかの関連付けられた信頼水準を提供または伝送してよい。モデル・データ５２２は、機械学習モデルの構造を定義するデータ、ならびにトレーニングされた機械学習モデルを実装するデータを含んでよい。オペレーティング・システム５２４は、総合的なシステム機能を含んでよい。
【００２７】
図５に示されるように、本通信システムおよび方法は、マルチ・プロセッサ、マルチ・タスキング、マルチ・プロセスおよび／またはマルチ・スレッド・コンピューティングを提供する１つもしくは複数のシステム上の実装、ならびにシングル・プロセッサ、シングル・スレッド・コンピューティングのみを提供する複数のシステム上の実装を含んでよい。マルチ・プロセッサ・コンピューティングは、１つより多いプロセッサを用いてコンピューティングを行うステップを含む。マルチ・タスキング・コンピューティングは、１つより多いオペレーティング・システム・タスクを用いてコンピューティングを行うステップを含む。タスクとは、実行されているプログラムとオペレーティング・システムによって用いられるブックキーピング情報との組み合わせを指すオペレーティング・システム概念である。プログラムが実行されるたびに、オペレーティング・システムがそのための新しいタスクを生み出す。タスクは、タスク番号をもつプログラムをそれが識別して、他のブックキーピング情報をそれにアタッチするという点においてプログラムのためのエンベロープのようなものである。Ｌｉｎｕｘ（登録商標）、ＵＮＩＸ（登録商標）、ＯＳ／２（登録商標）およびＷｉｎｄｏｗｓ（登録商標）を含む、多くのオペレーティング・システムは、多くのタスクを同時に作動させることが可能であり、マルチ・タスキング・オペレーティング・システムと呼ばれる。マルチ・タスキングは、１つより多い実行ファイルを同時に実行するためのオペレーティング・システムの能力である。各実行ファイルは、それ自体のアドレス・スペース内で作動しており、つまり、複数の実行ファイルがそれらのメモリのいずれも共有することはできない。これは、いずれかのプログラムがシステム上で作動している他のプログラムのいずれかの実行を損なうことが不可能であるため、有利である。しかしながら、これらのプログラムは、オペレーティング・システムを通じて（またはファイル・システム上に格納されたファイルを読み取ることによる）以外、いずれかの情報を交換することができない。タスクおよびプロセスという用語がしばしば同義で用いられるので、マルチ・プロセス・コンピューティングは、マルチ・タスキング・コンピューティングと同様であるが、いくつかのオペレーティング・システムは、２つを区別する。
【００２８】
本発明は、いずれか可能な技術的に詳細な統合レベルにおけるシステム、方法、および／またはコンピュータ・プログラム製品であってよい。コンピュータ・プログラム製品は、本発明の態様をプロセッサに実施させるためのコンピュータ可読プログラム命令をその上に有する（１つもしくは複数の）コンピュータ可読ストレージ媒体を含んでよい。コンピュータ可読ストレージ媒体は、命令実行デバイスによる使用のための命令を保持して格納できる有形のデバイスとすることができる。
【００２９】
コンピュータ可読ストレージ媒体は、例えば、以下には限定されないが、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁ストレージ・デバイス、半導体ストレージ・デバイス、または前述のものの任意の適切な組み合わせであってよい。コンピュータ可読ストレージ媒体のより具体的な例の非網羅的なリストは、ポータブル・コンピュータ・ディスケット、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ）、消去可能プログラマブル・リード・オンリ・メモリ（ＥＰＲＯＭ：ｅｒａｓａｂｌｅ  ｐｒｏｇｒａｍｍａｂｌｅ  ｒｅａｄ−ｏｎｌｙ  ｍｅｍｏｒｙまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：ｓｔａｔｉｃ  ｒａｎｄｏｍ  ａｃｃｅｓｓ  ｍｅｍｏｒｙ）、ポータブル・コンパクト・ディスク・リード・オンリ・メモリ（ＣＤ−ＲＯＭ：ｐｏｒｔａｂｌｅ  ｃｏｍｐａｃｔ  ｄｉｓｃ  ｒｅａｄ−ｏｎｌｙ  ｍｅｍｏｒｙ）、デジタル多用途ディスク（ＤＶＤ：ｄｉｇｉｔａｌ  ｖｅｒｓａｔｉｌｅ  ｄｉｓｋ）、メモリ・スティック、フレキシブル・ディスク、パンチ・カードもしくはその上に記録された命令を有する溝中の隆起構造のような、機械的に符号化されたデバイス、および前述のものの任意の適切な組み合わせを含む。コンピュータ可読ストレージ媒体は、本明細書では、それ自体が一時的な信号、例えば、電波または他の自由伝搬する電磁波、導波路もしくは他の伝送媒体を通って伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、または線を通って伝送される電気信号であると解釈されるべきではない。
【００３０】
本明細書に記載されるコンピュータ可読プログラム命令をコンピュータ可読ストレージ媒体からそれぞれのコンピューティング／処理デバイスへ、あるいはネットワーク、例えば、インターネット、ローカル・エリア・ネットワーク、ワイド・エリア・ネットワークおよび／または無線ネットワークを介して外部コンピュータもしくは外部ストレージ・デバイスへダウンロードできる。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイヤ・ウォール、スイッチ、ゲートウェイ・コンピュータ、および／またはエッジ・サーバを備えてよい。各コンピューティング／処理デバイス中のネットワーク・アダプタ・カードまたはネットワーク・インターフェースは、コンピュータ可読プログラム命令をネットワークから受信して、それらのコンピュータ可読プログラム命令をそれぞれのコンピューティング／処理デバイス内のコンピュータ可読ストレージ媒体に格納するために転送する。
【００３１】
本発明のオペレーションを実施するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：ｉｎｓｔｒｕｃｔｉｏｎ−ｓｅｔ−ａｒｃｈｉｔｅｃｔｕｒｅ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路素子のための構成データ、あるいはＳｍａｌｌｔａｌｋ、Ｃ＋＋、または同様のもののようなオブジェクト指向プログラミング言語、ならびに「Ｃ」プログラミング言語または同様のプログラミング言語のような手続き型プログラミング言語を含めて、１つ以上のプログラミング言語のいずれかの組合せで書かれたソース・コードまたはオブジェクト・コードのいずれかであってよい。コンピュータ可読プログラム命令は、全体的にユーザのコンピュータ上で、部分的にユーザのコンピュータ上で、スタンド・アローンのソフトウェア・パッケージとして、部分的にユーザのコンピュータ上かつ部分的にリモート・コンピュータ上で、あるいは全体的にリモート・コンピュータまたはサーバ上で実行してよい。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ）またはワイド・エリア・ネットワーク（ＷＡＮ）を含めて、いずれかのタイプのネットワークを通してユーザのコンピュータへ接続されてよく、あるいは（例えば、インターネット・サービス・プロバイダを用いてインターネットを通して）外部コンピュータへ接続が行われてもよい。いくつかの実施形態において、例えば、プログラマブル・ロジック回路素子、フィールド・プログラマブル・ゲート・アレイ（ＦＰＧＡ：ｆｉｅｌｄ−ｐｒｏｇｒａｍｍａｂｌｅ  ｇａｔｅ  ａｒｒａｙ）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：ｐｒｏｇｒａｍｍａｂｌｅ  ｌｏｇｉｃ  ａｒｒａｙ）を含む電子回路素子は、本発明の態様を行うために、電子回路素子をパーソナライズすべくコンピュータ可読プログラム命令の状態情報を利用することによってコンピュータ可読プログラム命令を実行してよい。
【００３２】
本発明の態様は、本発明の実施形態による方法、装置（システム）、ならびにコンピュータ・プログラム製品のフローチャート説明図および／またはブロック図を参照して本明細書に記載される。フローチャート説明図および／またはブロック図の各ブロック、ならびにフローチャート説明図および／またはブロック図におけるブロックの組み合わせをコンピュータ可読プログラム命令によって実装できることが理解されるであろう。
【００３３】
これらのコンピュータ可読プログラム命令は、コンピュータまたは他のプログラマブル・データ処理装置のプロセッサを介して実行する、それらの命令が、フローチャートおよび／またはブロック図の１つもしくは複数のブロックにおいて指定された機能／作用を実装するための手段を生み出すような、マシンを作り出すために汎用コンピュータ、専用コンピュータ、または他のプログラマブル・データ処理装置のプロセッサへ提供されてよい。これらのコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体に格納されてもよく、これらのプログラム命令は、その中に格納された命令を有するコンピュータ可読ストレージ媒体が、フローチャートおよび／またはブロック図の１つもしくは複数のブロックにおいて指定された機能／作用の態様を実装する命令を含む製造品を備えるような、特定の仕方で機能するようにコンピュータ、プログラマブル・データ処理装置、および／または他のデバイスに命令できる。
【００３４】
コンピュータ可読プログラム命令は、コンピュータ、他のプログラマブル装置、または他のデバイス上で実行する命令が、フローチャートおよび／またはブロック図の１つもしくは複数のブロックにおいて指定された機能／作用を実装するような、コンピュータ実装プロセスを作り出すために一連の動作ステップがコンピュータ、他のプログラマブル装置、または他のデバイス上で行われるようにするためにコンピュータ、他のプログラマブル・データ処理装置、または他のデバイス上へロードされてもよい。
【００３５】
図中のフローチャートおよびブロック図は、本発明の様々な実施形態によるシステム、方法、およびコンピュータ・プログラム製品の可能な実装のアーキテクチャ、機能性、およびオペレーションを示す。この点において、フローチャートまたはブロック図中の各ブロックは、指定された論理機能（単数または複数）を実装するための１つ以上の実行可能命令を備える、モジュール、セグメント、または命令の一部を表してよい。いくつかの代わりの実装では、ブロック中に記された機能が図中に記された順序以外で発生してよい。例えば、連続して示される２つのブロックが、実際には、実質的に同時に実行されてもよく、または含まれる機能性に依存して、ブロックがときには逆の順序で実行されてもよい。ブロック図および／またはフローチャート説明図の各ブロック、ならびにブロック図および／またはフローチャート説明図におけるブロックの組み合わせを、指定された機能または作用を行う、あるいは専用ハードウェアとコンピュータ命令との組み合わせを実施する専用ハードウェア・ベース・システムによって実装できることにも気付くであろう。
【００３６】
本発明の具体的な実施形態が記載されたが、記載された実施形態と同等の他の実施形態があることが当業者によって理解されるであろう。従って、本発明は、具体的に示された実施形態によってではなく、添付される請求項の範囲によってのみ限定されることが理解されるべきである。
【図１】
2021523434.tif 000003
【図２】
2021523434.tif 000004
【図３】
2021523434.tif 000005
【図４】
2021523434.tif 000006
【図５】
2021523434.tif 000007
【手続補正書】
【提出日】令和2年11月18日(2020.11.18)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
コンピュータ・システムにおいてマルウェアを識別するためのコンピュータ実装方法であって、
悪意があるまたは良性であるとラベル付けされた複数の実行可能ファイルを受信するステップと、
受信された前記ラベル付けされた複数の実行可能ファイルの各々と関連付けられたオーバーレイから抽出されたプロパティを用いて機械学習モデルをトレーニングするステップと、
ラベル付けされていない実行可能ファイルを受信するステップと、
受信された前記ラベル付けされていない実行可能ファイルと関連付けられたオーバーレイから抽出されたプロパティに基づいて、トレーニングされた前記機械学習モデルを用いて、受信された前記ラベル付けされていない実行可能ファイルは悪意があるかまたは良性であるかどうかを判定するステップと、
受信された前記ラベル付けされていない実行可能ファイルは悪意があると判定された場合に、受信された前記ラベル付けされていない実行可能ファイルを悪意があるものとして識別する情報を伝送するステップと
を含む、方法。
【請求項２】
前記抽出されたプロパティは、前記オーバーレイの存在、前記オーバーレイのサイズ、前記オーバーレイの前記サイズと前記実行可能ファイルのサイズとの間の比のうちの少なくとも１つを含む基本的オーバーレイ・プロパティ、前記実行可能ファイル、前記オーバーレイ、または両方のデータのブロックの統計的コンテンツ・プロパティ、前記オーバーレイ中で発見されたＵＲＬ、ドメインおよびＩＰアドレスの評判、前記オーバーレイのバイナリ・コード中で発見された署名または指紋および前記オーバーレイの可読コンテンツのテキスト解析のうちの少なくとも１つを含む前記オーバーレイのコンテンツを特徴付けるディープ・コンテンツ・プロパティ、ならびに前記オーバーレイのＮ−Ｇｒａｍを含むオーバーレイ解析に対して修正または適合されたファイル解析技法に基づく他のプロパティを備える群から選択された少なくとも１つのプロパティを含む、請求項１に記載の方法。
【請求項３】
前記機械学習モデルは、分類器モデル、ニューラル・ネットワーク・モデル、ベイジアン・モデル、決定木モデルおよびサポート・ベクタ・マシン・モデルを含む教師あり学習モデル、ならびにクラスタリング・モデルおよびニューラル・ネットワーク・モデルを含む教師なし学習モデルを備える群から選択された少なくとも１つのモデルを含む、請求項１または２に記載の方法。
【請求項４】
前記プロパティは、静的解析によって前記オーバーレイから抽出され、前記実行可能ファイルおよびオーバーレイが、それらが実行されていないときに検査される、請求項１〜３のいずれか１項に記載の方法。
【請求項５】
前記受信された実行可能ファイルは、ｗｅｂブラウザ、電子メール・メッセージ、およびファイル・システムのうちの少なくとも１つを含むソースから受信される、請求項１〜４のいずれか１項に記載の方法。
【請求項６】
前記オーバーレイは、ポータブル実行可能ファイルであり、前記判定するステップは、受信された前記実行可能ファイルの他のセクションの解析とは別に前記オーバーレイを解析することによって行われる、請求項１〜５のいずれか１項に記載の方法。
【請求項７】
コンピュータ・システムにおいてマルウェアを識別するためのシステムであって、前記システムは、プロセッサ、前記プロセッサによってアクセス可能なメモリ、ならびに前記メモリに格納されて、
悪意があるまたは良性であるとラベル付けされた複数の実行可能ファイルを受信するステップと、
受信された前記ラベル付けされた複数の実行可能ファイルの各々と関連付けられたオーバーレイから抽出されたプロパティを用いて機械学習モデルをトレーニングするステップと、
ラベル付けされていない実行可能ファイルを受信するステップと、
受信された前記ラベル付けされていない実行可能ファイルと関連付けられたオーバーレイから抽出されたプロパティに基づいて、トレーニングされた前記機械学習モデルを用いて、受信された前記ラベル付けされていない実行可能ファイルは悪意があるかまたは良性であるかどうかを判定するステップと、
受信された前記ラベル付けされていない実行可能ファイルが悪意があると判定された場合に、受信された前記ラベル付けされていない実行可能ファイルを悪意があるものとして識別する情報を伝送するステップと
を行うために前記プロセッサによって実行可能であるコンピュータ・プログラム命令
を備える、システム。
【請求項８】
前記抽出されたプロパティは、前記オーバーレイの存在、前記オーバーレイのサイズ、前記オーバーレイの前記サイズと前記実行可能ファイルのサイズとの間の比のうちの少なくとも１つを含む基本的オーバーレイ・プロパティ、前記実行可能ファイル、前記オーバーレイ、または両方のデータのブロックの統計的コンテンツ・プロパティ、前記オーバーレイ中で発見されたＵＲＬ、ドメインおよびＩＰアドレスの評判、前記オーバーレイのバイナリ・コード中で発見された署名または指紋、および前記オーバーレイの可読コンテンツのテキスト解析のうちの少なくとも１つを含む前記オーバーレイのコンテンツを特徴付けるディープ・コンテンツ・プロパティ、ならびに前記オーバーレイのＮ−Ｇｒａｍを含むオーバーレイ解析に対して修正または適合されたファイル解析技法に基づく他のプロパティを備える群から選択された少なくとも１つのプロパティを含む、請求項７に記載のシステム。
【請求項９】
前記機械学習モデルは、分類器モデル、ニューラル・ネットワーク・モデル、ベイジアン・モデル、決定木モデル、サポート・ベクタ・マシン・モデルを含む教師あり学習モデル、ならびにクラスタリング・モデルおよびニューラル・ネットワーク・モデルを含む教師なし学習モデルを備える群から選択された少なくとも１つのモデルを含む、請求項７または８に記載のシステム。
【請求項１０】
前記プロパティは、静的解析によって前記オーバーレイから抽出され、前記実行可能ファイルおよびオーバーレイが、それらが実行されていないときに検査される、請求項７〜９のいずれか１項に記載のシステム。
【請求項１１】
前記受信された実行可能ファイルは、ｗｅｂブラウザ、電子メール・メッセージ、およびファイル・システムのうちの少なくとも１つを含むソースから受信される、請求項７〜１０のいずれか１項に記載のシステム。
【請求項１２】
前記オーバーレイは、ポータブル実行可能ファイルであり、前記判定するステップは、受信された前記実行可能ファイルの他のセクションの解析とは別に前記オーバーレイを解析することによって行われる、請求項７〜１１のいずれか１項に記載のシステム。
【請求項１３】
コンピュータ・システムにおいてマルウェアを識別するためのコンピュータ・プログラムであって、コンピュータに、
悪意があるまたは良性であるとラベル付けされた複数の実行可能ファイルを受信するステップと、
受信された前記ラベル付けされた複数の実行可能ファイルの各々と関連付けられたオーバーレイから抽出されたプロパティを用いて機械学習モデルをトレーニングするステップと、
ラベル付けされていない実行可能ファイルを受信するステップと、
受信された前記ラベル付けされていない実行可能ファイルと関連付けられたオーバーレイから抽出されたプロパティに基づいて、トレーニングされた前記機械学習モデルを用いて、受信された前記ラベル付けされていない実行可能ファイルは悪意があるかまたは良性であるかどうかを判定するステップと、
受信された前記ラベル付けされていない実行可能ファイルは悪意があると判定されたときに、受信された前記ラベル付けされていない実行可能ファイルを悪意があるものとして識別する情報を伝送するステップと
を実行させるためのコンピュータ・プログラム。
【請求項１４】
前記抽出されたプロパティは、前記オーバーレイの存在、前記オーバーレイのサイズ、前記オーバーレイの前記サイズと前記実行可能ファイルのサイズとの間の比のうちの少なくとも１つを含む基本的オーバーレイ・プロパティ、前記実行可能ファイル、前記オーバーレイ、または両方のデータのブロックの統計的コンテンツ・プロパティ、前記オーバーレイ中で発見されたＵＲＬ、ドメインおよびＩＰアドレスの評判、前記オーバーレイのバイナリ・コード中で発見された署名または指紋、および前記オーバーレイの可読コンテンツのテキスト解析のうちの少なくとも１つを含む前記オーバーレイのコンテンツを特徴付けるディープ・コンテンツ・プロパティ、ならびに前記オーバーレイのＮ−Ｇｒａｍを含むオーバーレイ解析に対して修正または適合されたファイル解析技法に基づく他のプロパティを備える群から選択された少なくとも１つのプロパティを含む、請求項１３に記載のコンピュータ・プログラム。
【請求項１５】
前記機械学習モデルは、分類器モデル、ニューラル・ネットワーク・モデル、ベイジアン・モデル、決定木モデルおよびサポート・ベクタ・マシン・モデルを含む教師あり学習モデル、ならびにクラスタリング・モデルおよびニューラル・ネットワーク・モデルを含む教師なし学習モデルを備える群から選択された少なくとも１つのモデルを含む、請求項１３または１４に記載のコンピュータ・プログラム。
【請求項１６】
前記プロパティは、静的解析によって前記オーバーレイから抽出され、前記実行可能ファイルおよびオーバーレイが、それらが実行されていないときに検査される、請求項１３〜１５のいずれか１項に記載のコンピュータ・プログラム。
【請求項１７】
前記受信された実行可能ファイルは、ｗｅｂブラウザ、電子メール・メッセージ、およびファイル・システムのうちの少なくとも１つを含むソースから受信される、請求項１３〜１６のいずれか１項に記載のコンピュータ・プログラム。
【請求項１８】
前記オーバーレイは、ポータブル実行可能ファイルであり、前記判定するステップは、受信された前記実行可能ファイルの他のセクションの解析とは別に前記オーバーレイを解析することによって行われる、請求項１３〜１７のいずれか１項に記載のコンピュータ・プログラム。
【国際調査報告】
2021523434.tif 000008
2021523434.tif 000009