情報処理学会研究報告
IPSJ SIG Technical Report

複数のエンコード方式に対応した実行ファイル自動抽出ツール
三村 守1,a)

田中 英彦1,b)

概要：今日，機密情報や個人情報の搾取を目的とする標的型攻撃は，多くの組織にとって脅威である．標的型攻撃に利用されるマルウェア本体がドキュメントファイルに埋め込まれた場合には，発見・解析はより困難となる．標的型メールに添付された不審なドキュメントファイルの動作を解析するためには，ドキュメントファイルから速やかにエンコードされた実行ファイル（マルウェア本体）を抽出する必要がある．
しかしながら，exploit の動作条件が判明せず，動的解析によって実行ファイルを抽出することが困難なケースが増えている．そこで本稿では，ドキュメントファイルから実行ファイルを自動的に抽出するツールを試作し，実験によりその性能を評価する．
キーワード：マルウェア，標的型攻撃，悪性文書ファイル，シェルコード，動的解析

An automated tool that extracts an executable file
encoded with multiple methods
Mimura Mamoru1,a)Tanaka Hidehiko1,b)Abstract: Today, targeted attacks that exploit confidential information or personal information are serious
threats for many organizations. If the malware is concealed in document files, it is more difficult to reveal
and analyze it. Analyzing malicious document files attached to spear phishing e-mails requires extracting an
encoded executable file swiftly. However, if we don’t know the condition that an exploit code runs normally,
it is difficult to extract the executable file by dynamic analysis. In this paper, we develop an automated toolthat extracts an executable file from the document files, and the experimental results show the performance.
Keywords: Malware, Targeted Attack, Malicious Document File, Shellcode, Dynamic Analysis

1. はじめに

経済産業省が実施した調査によると，2007 年には標的型攻撃を受けた経験がある企業は 5.4%に留まっていたが，2011

近年，組織が保有する機密情報や個人情報の搾取を目的年には約６倍の 33%に拡大している [1]．標的型攻撃の中とするサイバー攻撃の脅威が顕在化している．2011 年にでも，ある組織に特化した，時間および手法を問わずに継は国会，政府関係機関，民間企業等において大規模なサイ続的に行われる一連の攻撃は APT (Advanced Persistent

バー攻撃が相次いで発生し，大きな社会問題となったのはThreat) と呼ばれており，大きな脅威となっている．

記憶に新しいところである．サイバー攻撃の中でも特に目典型的な標的型攻撃の概要を図 1 に示す．まず攻撃者立つのは，主に機密情報や個人情報の搾取を目的とし，あは，業務を装った件名やファイル名をつけた標的型メール

る組織や個人に標的を絞って実施される標的型攻撃である．

で不正プログラム（マルウェア）を送信する．標的型メー1ルを受信したユーザが，業務を装った件名やファイル名をa)b)

情報セキュリティ大学院大学
IISEC, Kanagawa, Yokohama 221–0835, Japandgs104101@iisec.ac.jp
tanaka@iisec.ac.jp

c 2012 Information Processing Society of Japan

不審に思わず，添付ファイルを開封した場合，その端末で不正な命令が実行され，マルウェアに感染する．マルウェ

1情報処理学会研究報告
IPSJ SIG Technical Reportアに感染した端末は踏み台とされ，攻撃者の遠隔操作によがある．

り任意の命令が実行され，不正な情報の搾取に利用される．

マルウェア本体を抽出する最も簡単な方法は，実際に隔搾取された情報は，ファイアウォールやプロキシを介して離された安全な環境でマルウェアが埋め込まれたドキュメ

コマンド＆コントロールサーバに送信される．最後に，コントファイルを実行し，作成されるファイル等の挙動を観マンド＆コントロールサーバに送信された情報は攻撃者に測する動的解析と呼ばれる手法である．動的解析の概要をよって回収される．攻撃者はまた，発信元を秘匿するため

図 2 に示す．動的解析では，exploit（脆弱性を利用した悪に，すでにマルウェアに感染させ，遠隔操作が可能な一般意あるコード）が正常に動作すれば，実行ファイルを取りユーザの端末を利用して標的型メールを送信している可能出すことが可能となる場合がほとんどである．しかしなが性も考えられる．さらに，不正に搾取した情報を用い，新ら，サンドボックス内で exploit が正常に動作せず，実行たに業務を装った件名やファイル名を付与する悪質なケーファイルを取り出すことができない場合もある．また，ソスも目立つようになってきている．

フトウェアの脆弱性の数は年々増加しており，exploit の動標的型攻撃に用いられるマルウェアは，かつての無作為作条件（特定のソフトウェアのバージョンやそれらの組みに拡散するウイルスとは異なる特徴が指摘されている [2]．

合わせ）を特定できず，やはり動的解析で実行ファイルをたとえば，特定の組織にのみ送信されるため，すべてのウ取り出せないケースが増加している．動的解析で実行ファ

イルス対策ソフトのベンダが定義ファイルを作成するこイルが取り出せない場合には，バイナリエディタ等を利用とができず，結果としてウイルス対策ソフトで検出されにしてドキュメントファイルから手動で実行ファイルを抽出くいという特徴がある．実例としては，Microsoft Word，する必要があるため，多大な労力となってしまう．

Adobe Reader 等のアプリケーションに存在する脆弱性をよって，ドキュメントファイルから実行ファイルを短時悪用する添付ファイルを開いた際に感染する事象が報告さ間で自動的に抽出することができれば，exploit の動作条件れている．これらの事象では，最新の定義ファイルを適用が判明しない場合でも，マルウェアの解析を迅速に実施すしたウイルス対策ソフトでも，添付ファイルを検出できなることが可能になるものと考えられる．

いケースがほとんどである．
マルウェアが埋め込まれたドキュメントファイル

標的型メールを送信

直感で動作環境に当たりをつけて逐次投入

情報を回収

攻撃者

C&CサーバInternet
分析者

マルウェア本体（実行ファイル）を抽出

Exploitが動作しない。

情報を送信

様々な環境のサンドボックス開封して感染・・・
Ver. 1.1
一般ユーザ

遠隔操作により発信元を秘匿

図 1

Ver. 1.2

Ver. 1.21

・・・
Ver. 2.0

一般
ユーザ

図 2 動的解析の概要
標的型攻撃の概要

3. 実行ファイルのエンコード方式
2. 標的型攻撃に用いられるマルウェア分析の課題

ントファイルに埋め込まれる．実行ファイルの主なエン標的型攻撃に用いられる多くのマルウェアの本体は実行コード方式を表 1 に示す．表 1 の中でも最も頻繁に用いらファイル (exe) であり，そのまま拡張子やアイコンが偽装れるエンコード方式は XOR である．XOR の場合にはエされる場合や，doc 形式や pdf 形式のドキュメントファイ

ンコード演算とデコード演算は同一となるが，他の算術演ルに埋め込まれて偽装される場合がある．本稿では，マル算や論理演算を用いる形式ではエンコードとデコードは逆ウェアがドキュメントファイルに埋め込まれた場合を対象の演算となる．

実行ファイルは様々な形式でエンコードされ，ドキュメとする．実際に，実行ファイルと元となるダミーのドキュXOR によるエンコード方式はさらに，通常の XOR にメントファイルを指定するだけで，容易にマルウェアを作よる方式と NULL-Preserving XOR による方式に分類さ成するツールの存在が確認されている [3]．このようなマれる．

ルウェアの機能を分析するためには，ドキュメントファイ

通常の XOR による方式では，実行ファイルにおけるルからマルウェアの本体（実行ファイル）を抽出する必要

NULL の部分は XOR 演算によってエンコードキーと同一

c 2012 Information Processing Society of Japan2

情報処理学会研究報告
IPSJ SIG Technical Reportの値となるため，容易にエンコードキーを特定することが可能である．図 3 に通常の XOR でエンコードされた実行ファイルのバイナリデータの例を示す．図中の文字列は，ドキュメントファイル（バイナリデータ）の一部を１６進数で表示したものである．図中の破線で囲まれた部分は，

AC AC AC AC AC AC AC AC AC AC AC AC AC AC AC AC
AC AC AC AC AC AC AC AC AC AC AC AC AC AC AC AC
AC AC AC AC AC AC AC AC AC AC AC AC AC AC AC AC
AC AC AC AC AC AC AC AC E1 F6 3C AC AF AC AC AC
A8 AC AC AC 53 53 AC AC 14 AC AC AC AC AC AC AC
EC AC AC AC AC AC AC AC AC AC AC AC AC AC AC AC
AC AC AC AC AC AC AC AC AC AC AC AC AC AC AC AC
AC AC AC AC 7C AC AC AC A2 B3 16 A2 AC 18 A5 61

ドキュメントファイルに埋め込まれた実行ファイルの先頭の部分に該当する．破線で囲まれた部分を見ると，AC という文字コードが多く分布していることが確認できるため，この実行ファイルは AC というエンコードキーで，通常の XOR によりエンコードされたものと推定できる．
一方の NULL-Preserving XOR では，エンコードキーまたは NULL の部分には XOR 演算を実施しないため，一見してエンコードキーが分かりにくいという特徴がある．
図 4 に NULL-Preserving XOR でエンコードでされた実行

図 3

通常の XOR でエンコードでされた実行ファイルの例

37 34 35 30 66 66 37 35 37 30 35 36 66 66 37 3536 34 66 66 35 35 32 30 38 31 65 62 30 30 30 3430 30 30 30 38 33 66 62 30 30 37 66 61 38 66 66
37 35 36 34 66 66 35 35 32 38 38 31 63 34 31 30
C8 DF 15 00 86 00 00 00 81 00 00 00 7A 7A 00 00
3D 00 00 00 00 00 00 00 C5 00 00 00 00 00 00 0000 00 00 00 00 00 00 00 00 00 00 00 00 00 00 0000 00 00 00 00 00 00 00 00 00 00 00 4D 00 00 00

ファイルのバイナリデータの例を示す．図中の文字列は図3 と同様に，ドキュメントファイル（バイナリデータ）の一部を１６進数で表示したものである．図 3 と比較すると，

図 4 NULL-Preserving XOR でエンコードされた実行ファイルの例

図 4 からは NULL 以外の特定の多く分布する文字コード

HEX

ASCIIを確認することができないため，一見してエンコードキー

20 54 4F 43 20 48 65 61 64 6C 6F 63 6B 65 64 30
5C 2A 5C 64 61 74 61 73 74 6F 72 65 20 66 32 65
35 32 66 62 66 62 63 62 66 62 66 62 66 62 62 6266 62 66 62 66 34 30 34 30 62 66 62 66 30 37 6266 62 66 62 66 62 66 62 66 62 66 62 66 66 66 6266 62 66 62 66 62 66 62 66 62 66 62 66 62 66 6266 62 66 62 66 62 66 62 66 62 66 62 66 62 66 6266 62 66 62 66 62 66 62 66 62 66 62 66 62 66 6266 62 66 62 66 62 66 62 66 62 66 62 66 62 66 6266 62 66 62 66 34 66 62 66 62 66 62 66 62 31 6130 30 35 62 31 62 66 30 62 62 36 37 32 39 65 3037 62 65 66 33 37 32 39 65 65 62 64 37 64 36 63

TOC Heading;}}{¥*¥datastore f2e
52fbfbcbfbfbfbbb
fbfbf4040bfbf07b
fbfbfbfbfbfbfbfb
fbfbfbfbfbfbfbfb
fbfbfbfbfbfbfbfb
fbfbfbfbfbfbfbfb
fbfbfbfbfbfbfbfb
fbfbf4fbfbfbfb1a005b1bf0bb6729e0
7bef3729eebd7d6cを推定することが困難であることが確認できる．
さらに，XORsearch[4] 等のバイナリファイルにエンコードされた文字列を検索するツールを回避するため，2byte のASCII 文字にエンコードする方式で埋め込まれた実行ファイルも確認されている．ASCII 文字でエンコードされた実行ファイルの例を図 5 に示す．図中の左側 (HEX) は図 3および図 4 と同様にドキュメントファイル（バイナリデータ）の一部を１６進数で表示したものであり，図中の右側

図 5 ASCII 文字でエンコードされた実行ファイルの例

出するツールを試作する．

(ASCII) は左側の１６進数に対応する部分を ASCII 文字で表示したものである．右側 (ASCII) の２行目の右端部分か

4.1 動作の概要

ら，ASCII 文字でエンコードされた１６進数の部分を確認

試作する自動抽出ツールの動作の概要を図 6 に示す．自することができる．ASCII 文字でエンコードされた１６進動抽出ツールはドキュメントファイルを入力として受け付数は，２文字で元の実行ファイルの 1byte を示している．

け，実行ファイル固有のパターンを検索し，発見した実行よってこの方式でエンコードした場合，元の実行ファイルファイルを出力する．STEP1 ではまず，一定の長さ以上の２倍の容量が必要になるため，ドキュメントファイルのの ASCII 文字列を抽出し，抽出した文字列をバイナリに変容量が大きくなる特徴がある．

換してパターンの検索を実施する．STEP2 ではドキュメ

表 1 実行ファイルの主なエンコード方式エンコード方式

説明XOR

排他的論理和ADD, SUB

加算または減算

ROL, ROR

左シフトまたは右シフト

ROT

表示可能文字でのシフト

Multi Byte

複数 byte の鍵による XOR

ントファイル全体のバイナリファイルに対してパターンの検索を実施する．STEP1 および STEP2 のいずれの場合においても，実行ファイル固有のパターンを発見した場合には，実行ファイルをバイナリの形式で出力する．

4.2 実行ファイルの検索
実行ファイルを検索する手法として，指定した長さのすべての考えられる値をエンコードキーとして試すブルー
ト・フォース攻撃を用いる．Windows の実行ファイル固4. 自動抽出ツールの試作

有のパターンである”This program cannot be run in DOSmode”や”This program must be run under Win32”といっマルウェアの解析を迅速に実施するため，先に示したた文字列を，生成したキーでエンコードし，エンコードし様々な形式でエンコードされた実行ファイルを自動的に抽た文字列を対象とするドキュメントファイルから検索すc 2012 Information Processing Society of Japan3

情報処理学会研究報告
IPSJ SIG Technical Report
表 2 自動抽出ツールの仕様
ドキュメントファイルを入力
STEP1

2byte ASCII文字を抽出

バイナリコードに変換

LOOP

パターンを検索

STEP2

パターンを検索

実行ファイルを出力

OSWindows XP

実装言語

Python 2.7

対応ファ

doc,rtf,xls 等

イル形式
対応エンコ

XOR,NULL-Preserving XOR

ード方式

ADD,SUB,ROL,ROR,ROT
2byte ASCII

図 6 自動抽出ツールの動作る．ブルート・フォース攻撃のプロセスでボトルネックとなるのは，すべての考えられるエンコードキーを生成するループ内における処理である．よってまず”This”という短い文字列を検索し，ヒットした場合にのみ全文字列を検索する２段階検索を実施することで処理の高速化を図る．

4.3 NULL-Preserving XOR の自動判定
実行ファイルの固有のパターンを発見した後，通常のXOR によるエンコードか NULL-Preserving XOR によるエンコードかの自動判定を試みる．まず，実行ファイルの検索可能

1byte〜指定可能

鍵長

ADD,SUB は 4byte までして結果を分析する．実験の対象となるドキュメントファイルの概要を表 3 に示す．これらは 2012 年に採取した固有のハッシュ値を持つ検体（マルウェア）であり，不審な動作を実行することがあらかじめ確認されている．これ
らの検体を自動抽出ツールに入力し，自動抽出の成功率，XOR と NULL-Preserving XOR の自動判定の成功率および平均実行時間を求める．指定する鍵長については 1byteとする．また，同期間に採取した不審な動作を実行しない
検体 18 体を入力し，誤抽出がないことを確認する．実験を実施する環境は表 4 に示すとおりである．

最初の 64byte 内における最頻出の文字コードの数を数え

表 3 検体の概要

る．この時，NULL-Preserving XOR では NULL の部分には XOR 演算を実施しないため，図 4 の破線で囲まれた部

拡張子

数量平均容量doc49280.0(KB)

分のように，最頻出文字コードの値は NULL となっているものと考えられる．一方の通常の XOR 演算では，図 3 のxls8171.4

pdf14209.7

すべて71253.9

ように最頻出文字コードの値はエンコードキー自身となっているものと考えられる．よって実行ファイルの最初の64byte 内の最頻出文字コードの数が 32byte 以上であり，かつその文字コードが NULL の場合には，NULL-Preserving

XOR と判定することとする．

表 4 実験環境

4.4 試作したツールの仕様

CPU

Core2 Duo 2.4GHz

MemoryDDR2 SDRAM 3.0GB

ルの仕様を表 2 に示す．試作したツールの動作確認は Win-OS

Windows XP SP3

dows XP の Python 2.7 で実施したが，Python が動作すInterpreter

Python 2.7.3

これまでに説明した手法を用いて最終的に試作したツーる環境であれば他の OS でも動作可能である．また，対応ファイルについても同様に３種類のファイル形式で動作を確認したが，ファイル形式固有の処理を実施していないた

5.2 実験結果

め，他のファイル形式にも対応は可能である．エンコード

実験結果を表 5 に示す．自動抽出の成功率は全体で方式については，XOR 演算，ADD および SUB の算術演71.8%であり，特に doc 形式において 87.5%の高い成功率

算，ROL および ROR の論理演算等を併用して検索するこが得られた．しかしながら，xls 形式および pdf 形式ではとが可能である．

３〜５割の低い成功率であった．

5. 実験
5.1 実験内容

自動抽出に成功した 51 体の検体は，すべて 1byte の算術加減算，論理シフト等を組み合わせた XOR 演算でエンコードされていた．このうち通常の XOR でエンコードされて試作した自動抽出ツールの性能を評価するため，実際にいた検体は 20 体，NULL-Preserving XOR でエンコードさ実行ファイルが埋め込まれたドキュメントファイルを入力れていた検体は９体であった．XOR と NULL-Preservingc 2012 Information Processing Society of Japan4

情報処理学会研究報告
IPSJ SIG Technical Report

XOR の自動判定の成功率は 100%であり，誤判定は発生しび dll 形式以外の実行形式に相当するファイルが埋め込まなかった．

れていた場合には，試作したツールでは発見することがで

1byte の鍵を検索した場合の平均実行時間は約 2.4(s) できない．また，そもそも実行形式に相当するファイルが埋あり，実行ファイルの抽出処理が発生する場合には数秒をめ込まれておらず，直接インターネットからマルウェア本要した．

体をダウンロードするタイプの検体も確認されている．し不審な動作を実行しない検体 18 体（doc 9 体，xls 1 体，pdf 8 体）については，誤抽出は発生しなかった．
表 5 実験結果
拡張子

成功数

たがって，これらの場合にも自動的に抽出することはできない．

6.2 自動抽出ツールの効果

成功率

平均実行(%)

時間 (s)

試作した自動抽出ツールは，exploit の動作条件が不明な場合でも，速やかにドキュメントファイルから埋め込まdoc

42

87.5

2.62れた実行ファイルを自動的に抽出することを可能とする．

xls

450.0

1.89

exploit を動作させることができない場合，バイナリエディ

pdf

535.7

2.06

タ等を用いて手動で実行ファイルを抽出するための多大なすべて

51

71.8

2.43

労力が必要となる．したがって試作した自動抽出ツールにより，マルウェア解析に要する時間を短縮することが可能

6. 考察
6.1 自動抽出に失敗した原因
自動抽出に失敗した原因として，以下の５つが考えられる．

• 実行ファイルが 2byte 以上の鍵でエンコードされている．

• 試作したツールで対応していないエンコード方式が利用されている．となる．
試作した自動抽出ツールの副次的効果として，未知のマルウェアの有無を簡易にチェックする用途にも応用が可能であると考えられる．実験に用いた検体は，少なくとも解析時点ではほとんどのウイルス対策ソフトで検知できない未知のマルウェアであった．それにもかかわらず，自動抽出ツールはパターンファイルを用いずにある程度の確率で埋め込まれた実行ファイルを抽出することに成功した．
実行ファイルが埋め込まれたドキュメントファイルは，ほ• 難読化した JavaScript に埋め込まれている．

ぼ間違いなくマルウェアと考えて問題ないであろう．この• exe および dll 以外の実行形式に相当するファイルがツールを他のツールと組み合わせ，組織内のメールサーバ埋め込まれている．

• 実行形式に相当するファイルが埋め込まれていない．

で自動実行すれば，組織内に到達するメールの簡易チェックを実施することが可能である．

今回の実験では，鍵の検索は 1byte しか実施していない．
よって実行ファイルが 2byte 以上の長さの鍵でエンコード

6.3 既存のツールとの比較されていた場合には，実行ファイルを発見することができ試作した自動抽出ツールと，既存の類似の機能を有するない．また，試作したツールが対応していないエンコードツールである OfficeMalScanner[6] および Cryptam Multi

方式で埋め込まれた場合も同様に，実行ファイルを発見すtool[7] との違いについて考察する．

ることができない．よってこれらの場合には，自動的に抽各ツールの違いを表 6 に示す．対応するエンコード方式出することはできない．自動抽出に失敗した検体の中にについては，OfficeMalScanner では XOR のみ対応していは，4byte の長さの鍵で実行ファイルがエンコードされたるのに対し，試作したツールおよび Cryptam Multi tool

検体や，動的解析で実行ファイルが埋め込まれていることは他の複数のエンコード方式にも対応している．特に，を確認することができた検体も含まれていた．

2byte の ASCII 文字のエンコード方式への対応や，NULL-別の原因としては，実行ファイルが難読化した JavaScript

Preserving XOR 方式の自動判定機能は試作したツール独に埋め込まれている可能性も考えられる．pdf 形式におい自の機能であり，有益であると考えられる．また，ブルーて成功率が低かったのは，このケースに該当するものと考

ト・フォース攻撃の機能に関しても，OfficeMalScanner でえられる．このような難読化された JavaScript に対しては 1byte の XOR のみ可能であるのに対し，試作したツーは，jsunpack[5] 等の別のツールを使用して難読化を解除す

ルでは複数 byte の多様なエンコード方式への攻撃に対応しる必要がある．ている．Cryptam Multi tool については，単体ではブルー試作したツールでは，exe および dll 形式の実行ファイト・フォース攻撃の機能は有していない．実行ファイルのルに固有に含まれているパターンを検索し，実行ファイル抽出については，OfficeMalScanner では手動で実施する必の抽出を実施している．ゆえに，pif，scr 等の，exe およ要があるのに対し，試作したツールおよび Cryptam Multi

c 2012 Information Processing Society of Japan5

情報処理学会研究報告
IPSJ SIG Technical Report

tool は自動で実施することが可能である．試作したツール

撃のメールに対応することが可能になるものと考えられる．

および OfficeMalScanner は，スタンドアロン環境で動作することが可能であるが，Cryptam Multi tool はハッシュ値

参考文献

か検体をアップロードする必要があるため，スタンドアロ[1]

ン環境で完全な機能を利用することができない．試作したツールを用いれば，スタンドアロン環境で安全にマルウェアの解析を実施することが可能である．
[2]
表 6 既存のツールとの違い対応する
エンコード方式

試作した

OfficeCryptam

ツール

Mal

MultiScanner

tool

XOR,ADDXOR

XOR,ROL

SUB,ROL

のみ

ROR,NOTROR,ROT
2byte ASCII

自動検索

××

NULL-Preserving

自動判定

××

Brute ForceMulti Byte

1byte

単体ではのみ不可

exe の抽出

自動×

自動

検体または不要

不要

必要

XOR

[3]

[4]

[5]
[6]

[7]

ハッシュ提供[8]

7. おわりに
本稿では，標的型メールに添付されたドキュメントファ

経済産業省：最近の動向を踏まえた情報セキュリティ対策の提示と徹底，経済産業省（オンライン），入手先
hhttp://www.meti.go.jp/press/2011/05/
20110527004/20110527004.htmli （ 参 照 2012-05-31）(2011).
情 報 処 理 推 進 機 構：コ ン ピ ュ ー タ ウ イ ル ス・不 正 ア
ク セ ス の 届 出 状 況 [12 月 分 お よ び 2011 年 年 間] に
つ い て ，情 報 処 理 推 進 機 構（ オ ン ラ イ ン ），入 手 先
hhttp://www.ipa.go.jp/security/txt/
2012/01outline.htmli （参照 2012-05-31）(2009).
情報処理推進機構：脆弱性を利用した新たなる脅威の監視・分析による調査，情報処理推進機構（オンライン），入手先 hhttp://www.ipa.go.jp/security/vuln/
report/newthreat200907.htmli（参照 2012-05-31）(2009).
DidierStevens：XORSearch，入手先
hhttp://blog.didierstevens.com/programs/
xorsearch/i （参照 2012-05-31）.
jsunpack - a generic JavaScript unpacker，入 手 先
hhttp://jsunpack.jeek.org/i （参照 2012-05-31）.
OfficeMalScanner，Aldeid，入手先
hhttp://www.aldeid.com/wiki/OfficeMalScanneri （ 参照 2012-05-31）.
Cryptam Multi tool，malware tracker blog，入 手 先
hhttp://blog.malwaretracker.com/2012/03/
cryptam-multi-tool-automatic-extraction.htmli （ 参 照2012-05-31）.
日本アイ・ビー・エム株式会社：2011 年下半期 TokyoSOC 情報分析レポート，IBM - Japan（オンライン），入手先 hhttp://www-935.ibm.com/services/jp/its/
pdf/tokyo soc report2011 h2.pdfi （ 参 照 2012-05-31）(2012).

イルから実行ファイルを検索し，自動的に抽出するツールを試作した．さらに，実験によってその性能を評価し，自動抽出ツールの効果について考察した．
今後の課題としては，自動抽出の成功率の向上が挙げられる．自動抽出の成功率を向上させるためには，自動抽出に失敗した原因をよく分析し，検証する必要がある．
実行ファイルが埋め込まれているにもかかわらず，自動抽出に失敗した検体については，エンコード方式の分析が必要である．シェルコードを解読し，エンコード方式を特定することができれば，対応できるようにツールを改良することで成功率の向上が期待できる．複数のエンコード方式を組み合わせる方式についても考慮が必要であり，常に実行ファイルのエンコード方式の傾向には留意する必要があるものと考える．
また，exe および dll 形式以外の実行形式に相当するファイルが埋め込まれている可能性についても検証が必要である．そのためには，自動抽出に失敗した検体をさらに詳しく分析する必要がある．
今回検証した doc，xls および pdf 形式のファイルは，2011 年に発生した標的型攻撃のメールに添付されたドキュ
メントファイルのほとんどを占めている [8]．ゆえに自動抽出の成功率を向上させることができれば，大半の標的型攻c 2012 Information Processing Society of Japan

6