情報処理学会研究報告
IPSJ SIG Technical Report

ファイル構造検査による悪性 MS 文書ファイルの検知
大坪 雄平1,a)

三村 守2,b)

田中 英彦2

概要：今日，標的型攻撃は増加傾向にあり，多くの組織にとって真の脅威となってきている．標的型攻撃には様々な手法があるが，受信者の興味を引くメールにマルウェアを添付する方式が最も一般的である．攻撃を秘匿するため，マルウェアが文書ファイルに埋め込まれた場合，一般に，受信者にはマルウェアを見抜く手段がない．われわれが実行ファイル形式のマルウェアが埋め込まれた悪性 MS 文書ファイル（RichText または Compound File Binary）を分析したところ，多くの悪性 MS 文書ファイルで通常の MS 文書
ファイルとファイル構造に違いがあることが分かった．本論文では，悪性 MS 文書ファイルの検知手法として，ファイル構造検査をすることを提案する．具体的には，５種類の新しいマルウェア検知法を提案する．提案の有効性を検証する実験を行った結果，98.4%の悪性 MS 文書ファイルを検知することができた．
キーワード：標的型攻撃，マルウェア，MS 文書ファイル，静的解析，検知

Methods to Detect Malicious MS Document Fileusing File Structure Inspection
Abstract: Today, the number of targeted attacks is increasing, and targeted attacks are becoming a serious
threat for many organizations. There are various kinds of targeted attacks. Above all, a method to attachmalware to interesting e-mail for the recipient is the most popular. In general, there is no way to distinguisha malicious document file from a normal one, because malware is embedded in a document file to hide oneself
during an attack. We analyzed malicious MS document (Rich Text or Compound File Binary) files containing malware. Then, we found that there are diﬀerences in file structure between normal MS document files
and malicious ones. In this paper, we propose detection methods of malicious MS document files using filestructure inspection. Specifically, we propose five novel malware detection methods. The experimental resultshows the eﬀectiveness of the methods. The methods could detect 98.4% of the malicious MS document files
in the experiment.
Keywords: targeted attack, malware, MS document file, static analysis, detection

1. はじめに人に送付された場合，マルウェアに気づいた組織や個人がウイルス対策ソフトのベンダに検体を提供しなければ，パ

近年では，特定の組織や個人を狙って情報窃取等を行う

ターンファイルを作成することが難しい．したがって，最標的型攻撃が顕在化している．経済産業省が実施した調査

新のパターンファイルを適用したウイルス対策ソフトでもによると，2007 年には標的型攻撃を受けた経験がある企業

マルウェアを検知できないことがほとんどである．

は 5.4%にとどまっていたが，2011 年には約６倍の 33%に拡大 [1] するなど，大きな脅威となっている．
標的型攻撃に用いられるマルウェアが，特定の組織や個標的型攻撃に用いられる悪性文書ファイルの典型的な動作を以下に示す．悪性文書ファイルを開くと，閲覧ソフトの脆弱性を攻撃する exploit が動作し，shellcode（侵入したマシンを制御できるようにするためのコード）が実行さ

1

2

a)
b)

内閣官房情報セキュリティセンター
NISC, Chiyoda, Tokyo 100–0014, Japan
情報セキュリティ大学院大学
IISEC, Yokohama, Kanagawa 221–0835, Japanyuhei.otsubo@cas.go.jp
dgs104101@iisec.ac.jp

c 2012 Information Processing Society of Japan⃝れる．shellcode は文書ファイルに埋め込まれたマルウェ
アやダミー表示用の文書ファイルを取り出し，実行する．
これによってマルウェアに感染する．一方，表示内容は通常の文書ファイルと変わらないため，一般に，受信者には

1

情報処理学会研究報告
IPSJ SIG Technical Report

マルウェアの埋め込まれた悪性文書ファイルと通常の文書{\rtf
Hello,\par{\b world}!\par}

ファイルとを区別する手段がない．
閲覧ソフトに読み込ませて脆弱性を攻撃する exploit と違い，文書ファイルに埋め込まれたマルウェアやダミー表
示用の文書ファイルは閲覧ソフトが通常読み込まない場所

図 1

Rich Text の例

Fig. 1 An example of a Rich Text format file.

に埋め込まれることが多い．われわれが CFB（Compound

File Binary）[2]（doc，xls，ppt 拡張子）や Rich Text[3]より悪性 MS 文書ファイルを検知することを目的として（rtf 拡張子）の悪性 MS 文書ファイルを分析したところ，

おり，悪性 MS 文書ファイル特有のファイル構造に絞って多くの悪性 MS 文書ファイルで通常の MS 文書ファイル

ファイル構造を検査することで，悪性 MS 文書ファイルをとファイル構造に違いがあることが明らかになった．よっ

検知する確率を高くしている．

て，悪性 MS 文書ファイルのファイル構造を検査し，悪性MS 文書ファイル特有の特徴を検知すれば，悪性 MS 文書

3. 悪性 MS 文書ファイルのファイル構造

ファイルの検知ができるものと考えられる．そこで本論文

exploit は閲覧ソフトの誤動作を目的としており，閲覧ソの目的を，MS 文書ファイルが悪性 MS 文書ファイルか否

フトが通常読み込む部分に埋め込まれている．一方，閲覧かを効率的に検知することとする．

ソフトの誤動作を防いだり，表示される内容がいわゆる文

2. 関連研究
本論文では，MS 文書ファイルが悪性 MS 文書ファイル
であるか否かを，exploit を動作させずに検査する．この

字化け状態になることを防ぐため，マルウェアやダミー表
示用の文書ファイルは閲覧ソフトが通常読み込まない場所に埋め込まれることが多い．その結果，ファイル構造に通常の文書ファイルとは異なる特徴が表れる．

検査では実際にマルウェアは動作しないため，本論文の研われわれが悪性 MS 文書ファイルのファイル構造を分析

究内容は静的解析の一種といえる．静的解析によってマル

し，判明した悪性 MS 文書ファイルの特徴を以下に示す．

ウェアを検知する手法としては，実行ファイルを分析する
手法，それ以外のファイルも分析できる手法および文書

3.1 Rich Text の場合

ファイルを分析する手法に分類される．MS 文書ファイル

3.1.1 基本構造を検査対象としているため，本論文の研究内容は文書ファイルを分析する手法に分類される．

Rich Text のデータは通常，7bit の ASCII 文字列で記述されており，プレーンテキストに装飾やレイアウトのため

文献 [4] では，様々な形式の悪性文書ファイルに埋め込の制御用の文字列を付加した形式となっている．単純なまれた実行ファイルを自動的に抽出するツールが提案されRich Text の例を図 1 に示す．ファイルの最初の文字は，ている．この手法では，実行ファイルを埋め込む際に使用“{” である．Rich Text は入れ子構造となっており，ファイ

される様々なエンコード方式を自動的に解読し，実行ファ

ルの最後の文字は，ファイルの最初の “{” に対応する “}”

イルを抽出することができる．しかしながら，新たなエン（EOF）となっている．

コード方式が現れるたびに検知手法を検討しなければなら

3.1.2 特徴 1：EOF 違反

ないという課題がある．MS 文書ファイル専用の解析ツー

一般的な Rich Text では “}”（EOF）がファイルの末尾ルである OﬃceMalScanner[5] は，MS 文書ファイルからとなっていたが，マルウェアを埋め込まれた Rich Text で

不正なコードによく利用されるコードを検索したり，文書

は EOF の後にデータが追加されているものがほとんどでファイルに埋め込まれた実行ファイルや別の文書ファイル

あった．

をヘッダに使われる文字列を検索することにより抽出することができる．
本論文では，MS 文書ファイルの構造のみを検査しており，不正なコードやヘッダに使われる文字列の検索は行わない．

3.2 CFB の場合
3.2.1 基本構造
Microsoft Word，Microsoft Excel や Microsoft PowerPoint 等で保存されるときに使用される doc，xls，ppt と文献 [6] では，MS 文書ファイルの構造を検査するこという拡張子のファイルは CFB と呼ばれるファイルの一種

により，MS 文書ファイルに埋め込まれた，表示内容と関であり，文書ファイルに利用される様々なデータを１つ

係のないデータを解析するツールが提案されている．こののファイルに集約して保存している．CFB の階層構造は

ツールは MS 文書ファイル内でデータが秘匿される可能性

ファイルシステムによく似た構造となっており，ファイルがある 4 種類の場所を検索する．この 4 種類の中で本論文に相当する Stream とディレクトリに相当する Storage のの提案手法と類似するものが 1 種類あった．

集合体となっている．CFB のファイル構造は 512Byte の本論文では，MS 文書ファイルの構造を検査することにc 2012 Information Processing Society of Japan⃝

ヘッダと sector と呼ばれる一連の index 番号が振られた小2

情報処理学会研究報告
IPSJ SIG Technical Report

さなブロックの集合で構成されている．Stream に格納す

3.2.5 特徴 5：使途不明の sector

るデータが sector サイズより大きい場合，複数の sector にCFB では，sector は，DIFAT（Double-Indirect FAT），

分割される．各 sector がどう連結しているかという情報は

FAT，miniFAT，DE，Stream または Free Sector の 6 種類

FAT（File Allocation Table）という領域で管理されていに分類される．ここでいう DIFAT は，FAT に使用されてる．n 番目の sector の次に連結する sector の番号が FAT

いる sector を管理するための領域であり，miniFAT はあの n × 4Byte 目のデータに格納されている．ただし，次にる一定サイズ未満の Stream をまとめて管理するための領連結する sector がない場合は”-2“が，該当 sector が Free

域である．

Sector（未使用の sector）の場合は”-1“が格納されている．
各 Stream，Storage の名称，サイズ，親子関係などの情報
は DE（Directory Entry）という領域で管理されている．

3.2.2 特徴 2：ファイルサイズ違反

一方，マルウェアを埋め込まれた CFB の中には，上記6 種類に分類できない sector を持つものがあった．

4. 試験プログラムの実装

一般的な CFB のファイルサイズはヘッダサイズを除く

これまでに示した５つのファイル構造上の特徴を検知すと sector サイズの倍数であり，ファイルサイズからヘッるプログラムを，オープンソースのプログラミング言語でダサイズを除いたものを sector サイズで割った時の余りある Python を用いて実装した．

は 0 となる．ファイルサイズを Sizefile ，sector サイズを4.1 動作の概要

Sizesector とすると，以下の数式が成り立つ．
(Sizefile − 512) mod Sizesector = 0(1)

実装したプログラムの概要を示す．試験プログラムは文書ファイルを引数として受け取り，悪性 MS 文書ファイル

一方，マルウェアを埋め込まれた CFB の中には，CFB特有の特徴を検知するコマンドラインプログラムである．

が sector 単位で区切られているという特徴を無視してマル

まず，文書ファイルを入力として受け付け，ヘッダの文字

ウェアを埋め込んでいるものがあり，上記 (1) 式が成り立たないものがあった．

れば特徴１に該当するか判定し，特徴に合致すればマル

3.2.3 特徴 3：FAT 参照不可能領域

ウェア検知とする．CFB 形式であれば特徴２から特徴５

FAT において sector1 個分を管理するために必要な領域 は 4Byte で あ る ．し た が っ て ，FAT の sector1 個 でSizesector ÷ 4 個の sector を管理できる．FAT に割り当てられている sector の数を CountFAT とすると，FAT で理論的に参照可能な領域の大きさ SizeFAT は以下の数式で表される．

SizeFAT = CountFAT × Sizesector ÷ 4に該当するか否かを独立して判定し，判定終了後，いずれかの特徴に合致すれば悪性 MS 文書ファイル検知とした．

4.2 特徴１の判定
文書ファイルを 1Byte ずつ読み込み，EOF に該当する“}” を読み込んだ時点で，まだ読み込まれていないデータ(2)

一般的な CFB のファイルサイズは，ヘッダサイズを除くと，FAT で理論的に参照可能な領域の大きさに収まっており，以下の数式が常に成り立っていた．

Sizefile − 512 ≤ SizeFAT

列から Rich Text か，CFB かを判定する．Rich Text であがある場合に特徴１の検知とした．

4.3 特徴２の判定
CFB のヘッダの 30Byte 目に sector サイズに関する情報
が 2Byte の数値で格納されている．この値を SectorShift(3)

一方，マルウェアを埋め込まれた CFB の中には，FATで参照可能な領域の上限を超えたファイルサイズのものがとすると sector サイズ Sizesector は 2SectorShift で表される．
この値を用いて 3.2.2 の (1) 式が成り立たない場合に特徴２の検知とした．

あり，上記 (3) 式が成り立たないものがあった．

3.2.4 特徴 4：Free Sector 位置違反

4.4 特徴３の判定

文献 [6] で検索している Free Sector についてファイル末

CFB のヘッダの 44Byte 目に FAT に使用している sector

尾に該当する sector に絞って一般的な CFB を調べると，

数が 4Byte の数値で格納されている．この値を CountFAT

すべて Free Sector ではなかった．これは，MS 文書ファイとし，3.2.3 の (2) 式から SizeFAT を計算し，3.2.3 の (3) 式

ルのファイルサイズを小さくするため，文書編集ソフトでが成り立たない場合に特徴３の検知とした．

末尾の Free Sector を削るように実装されているものと思われる．
一方，マルウェアを埋め込まれた CFB の中には，ファ4.5 特徴４の判定
CFB のファイル末尾に該当する sector の index 番号を

イル末尾に該当する sector で Free Sector であるものがみn とすると，CFB の中には 512Byte のヘッダと n + 1 個のられた．

sector があるため，Sizefile は以下の数式で表される．

c 2012 Information Processing Society of Japan⃝3

情報処理学会研究報告
IPSJ SIG Technical Report

Sizefile = 512 + (n + 1) × Sizesector

表 1

(4)

この式を n について解き，n 番目の FAT の値が”-1“（Free

マルウェア
平均容量
検体数
(KB)

Sector）であった場合に特徴４の検知とした．
拡張子

4.6 特徴５の判定

検体の概要

Table 1 A summary of the speciments.
マルウェアではない
平均容量
検体数
(KB)

rtf

98

266.5

199

516.2

CFB のヘッダには FAT 等に使用している sector 数が格

doc

36

252.2

1195

106.1

納されている．sector1 個ずつ種類を調べることはせずに

xls

49

180.4

298

191.7

ヘッダの情報を活用すると実装が単純で高速となる．したがって，CFB のファイルサイズから求めた実際の sector 数

表 2

実験環境

Table 2 An experimental environment.

とヘッダ，FAT および DE から導き出せる理論上の sector
CPU

数を比較することにより，特徴５の判定を行う．
実際の sector 数 Countreal は，ヘッダサイズを除いたファイルサイズを sector サイズで割ったものであり，以下の数(5)

FAT に使用している sector 数 CountFAT は，CFB のヘッ
ダの 44Byte 目に 4Byte の数値で格納されている．

miniFAT に使用している sector 数 CountminiFAT は，CFBのヘッダの 64Byte 目に 4Byte の数値で格納されている．

DIFAT に使用している sector 数 CountDIFAT は，CFBの 72Byte 目に 4Byte の数値で格納されている．

Memory8.0GB

OSWindows 7 SP1Memory(VM)

2.0GB

OS(VM)

Windows XP SP3

Interpreter(VM)

Python 2.7.3式で表される．

Countreal = (Sizefile − 512) ÷ Sizesector

Core i5-3450 3.1GHz数と理論上の sector 数は同じ値であり，異なる値をとった場合に特徴５の検知とした．

5. 実験
5.1 実験内容
試験プログラムの性能を評価するため，悪性 MS 文書

DE が格納されている Stream の最初の sector の index

ファイルを入力して結果を分析する．実験の対象となる番号が CFB のヘッダの 48Byte 目に 4Byte の数値で格納

MS 文書ファイルの概要を表 1 に示す．表 1 の左側の検されている．この index 番号をもとに FAT の情報を参照

体は，2009 年から 2012 年までに複数の組織において採取

し，DE に使用している sector 数 CountDE を数えることした固有のハッシュ値を持つ MS 文書ファイルで，分析にで求める．

より実行ファイル（マルウェア）が埋め込まれていること

Stream に使用している sector 数は DE の情報から計算をあらかじめ確認しているものである．ただし，拡張子はする．DE は１エントリあたり 128Byte のデータとなってdoc であるものの実際の中身は Rich Text であるものは rtf

おり，120Byte 目に Stream のサイズを示す 4Byte の数値としている．これらの検体を試験プログラムに入力し，検が格納されている．Stream のサイズが一定サイズ未満の場

知の成功率および平均実行時間を求める．また，試験プロ合，当該 Stream は Root Entry という Stream にまとめてグラムの検知率と，採取した当時の最新パターンファイル格納される．Root Entry に格納される Stream のサイズのを適用した大手ベンダのウイルス対策ソフトの検知率及び上限は，CFB のヘッダの 56Byte 目に 4Byte の数値で格納

OﬃceMalScanner の検知率を比較する．

されており Sizemini とする．Directory Entry に n 番目に

表 1 の右側の検体はマルウェアダンプサイト contagio で登録されているエントリの Stream のサイズを Sizen ，当該

マルウェアではない（clean）とされ，研究用に公開された

Stream の使用している sector 数を Countn とする．Sizen

検体 [7] である．ただし，ファイルの先頭に html が付加さが Sizemini より小さい場合，当該 Stream は Root Entry にれ，文書ファイルとして認識できない状態のものがあった

格納されるため，Countn は 0 となる．Sizen が Sizemini 以

ことから，拡張子とヘッダの中身が一致しない検体を除外上の場合，Sizen を sector サイズで割った値の小数点以下している．マルウェアではないとされた検体で悪性 MS 文を切り上げた値が Countn となる．Stream に使用してい書ファイル特有の特徴を検知した場合を誤検知とする．こる sector 数 CountStream は，すべてのエントリの Stream

れらのマルウェアではないとされた検体を試験プログラムに使用している sector 数の合計である．

に入力し，誤検知率を確認する．

Free Sector の数 Countfree は，FAT の値が”-1“となっている sector を数えることで求める．

実験を実施する環境は表 2 に示すとおりであり，実験は
すべて仮想マシン上で行った．

理 論 上 の sector 数 Counttheoretical は ，CountFAT ，CountminiFAT ，CountDIFAT ，CountDE ，CountStream およびCountfree の合計となり，一般的な CFB では実際の sector
c 2012 Information Processing Society of Japan
⃝5.2 実験結果
検体の拡張子ごとの検知率を表 3 に示す．検知の成功率

4

情報処理学会研究報告
IPSJ SIG Technical Report
表 3 試験プログラムの検知率

Table 3 Detection rates of the test program.
拡張子

検知数

検知率

平均実行時間

rtf

97

99.0%

0.021s

doc

35

97.2%

ウイルス対策ソフト等との検知率の比較

etc.
検知数

検知率

0.062s試験プログラム

180

98.4%

T 社 AV

41

22.4%

xls

48

98.0%

0.051s

合計

180

98.4%

0.037s

表 4

表 5

Table 5 Comparing detection rates with antivirus softwares,

検体の特徴ごとの検知状況

Table 4 Detection rates of the features.
検知数

検知率

特徴 1

97 / 98

99.0%

特徴 2

65 / 85

76.4%

特徴 3

77 / 85

90.6%

特徴 4

82 / 85

96.5%

特徴 5

81 / 85

95.3%

S 社 AV37

20.2%

M 社 AV

42

23.0%

T,S,M 社 AV

82

44.8%

OﬃceMalScanner

167

91.3%

表 6

試験プログラムの誤検知率

Table 6 False positive rate of the test program.
拡張子

誤検知数

誤検知率

rtf

0

0.0%

doc

2

0.2%

xls

14

4.7%

合計

16

0.9%

は全体で 98.4%であった．また，平均実行時間は約 0.037s
であり，最も実行時間が長いもので 0.125s であった．

• exploit の中にマルウェアが埋め込まれている．

検知に成功した 180 体の検体の特徴ごとの検知状況はexploit のみが埋め込まれた悪性 MS 文書ファイルには本論

表 4 に示すとおりである．表中の特徴１は rtf 拡張子の文で論じたような特徴は現れない．exploit とマルウェア

ファイルの検知数であり，特徴２から特徴５までは doc 拡

やダミー表示用の文書ファイルが別の場所に埋め込まれて張子のファイルの検知数と xls 拡張子のファイルの検知数

いる場合は本論文の提案手法で検知することができるが，を合算した値である．

exploit とマルウェアやダミー表示用の文書ファイルが一次に，試験プログラムの検知率と，大手ベンダのウイル

体化している場合は本論文の提案手法で検知することはでス対策ソフトの検知率および OﬃceMalScanner の検知率

きない．検知に失敗した 3 個のうち 2 個は，文献 [4] またとの比較結果を表 5 に示す．標的型攻撃に対しては，最は OﬃceMalScanner で検知をすることができた．

新のパターンファイルを適用した大手ベンダのウイルス対策ソフトでも 20.2%から 23.0%の低い確率でしかマルウェ
アを検知することができなかった．しかも，ウイルス対策
ソフトで検知できるマルウェアの種類には重複があったた

6.2 誤検知の原因
試験プログラムが誤検知した検体を分析した結果，誤検知の原因は以下の 2 点に集約された．

め，3 種類のウイルス対策ソフトを組み合わせた場合でも，• ファイルの末尾に不要な html が付加されている．

検知率は 44.8%であった．

• ファイルが途中で切れている．

OﬃceMalScanner は，一般的な shellcode のパターンをまず最初に誤検知の原因としてあげられるのは，ファイ検索する SCAN オプションおよび，総当たりで実行ファルの末尾に不要な html が付加されている場合である．今イル等を検索する BRUTE オプションを使用して実行し回検知したデータは，すべて 4KByte 弱の同一の html デー

た．また，Rich Text については，OﬃceMalScanner にタであった．この中にマルウェアが埋め込まれている可能

同封されている RTFScan を，SCAN オプションを使用性は低いと考えられるため，付加されたデータのサイズでして実行した．表中の OﬃceMalScanner の検知数は Of-

フィルタリングすることで当該誤検知を回避することは可

ficeMalScanner，RTFScan いずれかで検知した数を示す．

能ではある．しかしながら，ファイルの末尾に不要な html

OﬃceMalScanner の検知率は 91.3%であった．

が付加されている MS 文書ファイルは，一般的な文書編集

マルウェアではないとされた検体 1,692 体に関する誤検知率を表 6 に示す．誤検知率は全体で 0.9%であったが，特に xls 拡張子において 4.7%という高い誤検知率となった．

6. 考察
6.1 検知に失敗した原因
試験プログラムが検知に失敗した検体を分析した結果，
失敗の原因は以下の 1 点に集約された．

c 2012 Information Processing Society of Japan⃝

ソフトは作成することはないため，異常な MS 文書ファイ
ルとして検知するという運用も考えられる．
次の原因としては，ファイルが途中で切れている場合である．ファイルが途中で切れているため，• ヘッダを除いたファイルサイズが sector サイズ単位になっていない．（特徴２）• ファイルサイズから求めた sector 数とヘッダ情報等から計算した sector 数が一致しない．（特徴５）5情報処理学会研究報告
IPSJ SIG Technical Reportなどの特徴により，悪性 MS 文書ファイル特有の特徴としはできない．したがって，exploit の中にマルウェアが埋て誤検知していた．しかしながら，ファイルが途中で切れ

め込まれているものや exploit のみが埋め込まれてるもの，ている MS 文書ファイルは，閲覧ソフトで正しく内容を表

例えばマルウェアを外部のサーバ等からダウンロードする

示することができないため，一般的な MS 文書ファイルとようなものは検知することができない．

して使用されることはほぼないと考えて良いだろう．
したがって，今回誤検知した検体はいずれも，通常使用

7. おわりにしないファイルであり，contagio において検体を収集する

本論文では，マルウェアが埋め込まれた MS 文書ファイ際にダウンロードに失敗したもの等が混在した可能性が考ルのファイル構造を分析し，マルウェアが埋め込まれたえられる．

MS 文書ファイル特有の特徴を 5 つ明らかにした．さらに，
悪性 MS 文書ファイルの検知手法として，ファイル構造検6.3 試験プログラムの効果

査により当該 5 つの特徴を検知することを提案し，提案の試験プログラムは，検査処理に要する時間の平均値は有効性を検証する実験を行った結果，平均実行時間 0.037s

わずか 0.037s で，98.4%という高い確率で悪性 MS 文書

で 98.4%の悪性文書ファイルを検知することができた．

ファイルを検知することに成功した．さらに，誤検知率が今後の課題としては，悪性 MS 文書ファイル特有の 5

0.9%であったが，誤検知したファイルはすべて通常は使用つの特徴がない場合への対策があげられる．2009 年からしないファイルであったことから, 試験プログラムで検知

2012 年に発見された悪性 MS 文書ファイルでは，ほとんどしたものはほぼ間違いなく不審なものと考えて問題ないでの文書ファイルに悪性 MS 文書ファイル特有の特徴があっあろう．試験プログラムは高速に検査することが可能であたため，高い確率で悪性 MS 文書ファイルを検知することることから，試験プログラムを組織内のメールサーバ等でができた．しかしながら，マルウェアを Stream に偽装し自動実行させれば，組織内に到達するメールの簡易チェッて埋め込むという方式も考えられる．PDF ファイルでは，クを実施することが可能である．添付ファイルがパスワー

マルウェアを正規のオブジェクトに偽装して埋め込んだ悪ドで暗号化された zip ファイルであった場合，ウイルス対性文書ファイルも確認されている．このようにマルウェア

策ソフトでは通常中身を検査することができない．しかしを正規のオブジェクトに偽装して埋め込む手法が主流にながら，パスワードで暗号化された zip ファイルであってなった場合には，より詳細なファイル構造検査を実施するも，格納されているファイルの名称とサイズは復号しなく必要がある．

ても判明する．一方，特徴２の判定に関しては，拡張子とファイルサイズだけで 76.4%の悪性 MS 文書ファイルを検参考文献

知することができる．したがって，特徴２の判定について[1]はパスワードで暗号化された圧縮ファイルに格納された悪性 MS 文書ファイルにも適用可能である．
ウイルス対策ソフトはマルウェアに対応するパターン[2]

ファイルを作成して検知するが，マルウェアは日々新たなものが出現している．OﬃceMalScanner は不正なコードに[3]

よく利用されるコードを検知するが，エンコードされたり
未知の不正なコードは検知できない．文献 [4] はエンコード方式を解析し埋め込まれた実行ファイルを検知するが，[4]

未知のエンコード方式を利用したものは検知することができない．試験プログラムはパターンファイルを用いずに高[5]い確率で悪性 MS 文書ファイルを検知することに成功した．さらに，試験プログラムは悪性 MS 文書ファイルに埋め込まれていた exploit やマルウェアのエンコード方式を解析することなく高い確率で悪性 MS 文書ファイルを検知[6]することに成功した．試験プログラムは MS 文書ファイルの構造というマルウェアやエンコード方式と比較して時間に対する変化が少ないものを検査対象としている．したがって，今後プログラムを更新しなくても高い検知率を維持することが可能であろう．
一方，本論文の提案手法は，exploit 部分は検知すること

c 2012 Information Processing Society of Japan⃝[7]

経済産業省：最近の動向を踏まえた情報セキュリティ対策の提示と徹底 (online)，入手先 ⟨http://www.meti.go.jp/
press/2011/05/20110527004/20110527004.html⟩ (201305-08).
Microsoft：[MS-CFB]: Compound File Binary File
Format(online)，入手先 ⟨http://msdn.microsoft.com/enus/library/dd942138.aspx⟩ (2013-05-22).
Microsoft：Rich
Text
Format(RTF)
Specification,version
1.9.1(online)，入 手 先⟨http://www.microsoft.com/en-us/download/
details.aspx?id=10725⟩ (2013-05-22).
三村守，田中英彦：Handy Scissors：悪性文書ファイルに埋め込まれた実行ファイルの自動抽出ツール，情報処理学会論文誌, Vol.54, No.3, pp.1211-1219 (2013).
Boldewin, F.：Analyzing MSOﬃce malware with OﬃceMalScanner(online)，入手先 ⟨http://
www.reconstructer.org/papers/Analyzing%20MSOﬃce%20malware%20with%20OﬃceMalScanner.zip⟩ (201305-08).
Hyukdon, K. Yeog, K. Sangjin, L. and Jongin, L.：A Toolfor the Detection of Hidden Data in Microsoft Compound
Document File Format，ICISS ’08 Proceedings of the2008 International Conference on Information Scienceand Security, pp.141-146 (2008).
Mila, P.：16,800 clean and 11,960 malicious files
for signature testing and research(online)，入 手 先⟨http://contagiodump.blogspot.jp/2013/03/16800clean-and-11960-malicious-files.html⟩ (2013-05-21).

6