情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

推薦論文

悪性文書ファイルに埋め込まれた RAT の検知手法
三村 守1,a)

大坪 雄平2

田中 英彦1

受付日 2013年6月3日, 採録日 2013年11月1日

概要：今日，機密情報や個人情報の搾取を目的とする標的型攻撃は，多くの組織にとって脅威である．標的型攻撃の初期段階では，攻撃者は RAT（Remote Access Trojan または Remote Administration Tool）と呼ばれる実行ファイルをメールで送付し，コンピュータの遠隔操作を試みることが多い．近年では RAT が文書ファイルに埋め込まれることが多くなっており，検知はより困難となってきている．よって，標的型攻撃を防ぐためには，悪性文書ファイルに埋め込まれた RAT を検知する必要がある．本論文では，RATがどのように悪性文書ファイルに埋め込まれているのかを調査し，その方式を体系化する．さらに，悪性文書ファイルへの RAT の埋め込み方式を解読し，RAT を検知する手法を提案するとともに，実験により提案手法の有効性を定量的に示す．
キーワード：標的型攻撃，RAT，マルウェア，悪性文書ファイル，静的解析

How to Detect an Embedded RAT in a Malicious Document File
Mamoru Mimura1,a)Yuhei Otsubo2

Hidehiko Tanaka1

Received: June 3, 2013, Accepted: November 1, 2013

Abstract: Today, targeted attacks that exploit conﬁdential information or personal information are serious
threats for many organizations. At an early phase of a targeted attack, most attackers send a executable ﬁlecalled RAT (Remote Access Trojan or Remote Administration Tool) by e-mails, and attempt to control thecomputer. Recently a document ﬁle in which embedded a RAT is increasing, and it is diﬃcult to reveal it.
Thus, to defeat targeted attacks, it is necessary to detect RATs in malicious document ﬁles. In this paper,
we investigate how to embed a RAT in a malicious document ﬁle, and classify the methods. Moreover, weconsider how to break the embedding methods and propose how to detect an embedded RAT in a malicious
document ﬁle. The experimental results quantitatively show the validity and eﬀectiveness of the methods.
Keywords: targeted attack, RAT, malware, malicious document ﬁle, static analysis

1. はじめにている．サイバー攻撃の中でも特に目立つのは，主に機密情報や個人情報の搾取を目的とし，ある組織や個人に標的

近年，組織が保有する機密情報や個人情報の搾取を目的を絞って実施される標的型攻撃である．経済産業省が実施とするサイバー攻撃の脅威が顕在化している．2011 年にした調査によると，2007 年には標的型攻撃を受けた経験がは国会，政府関係機関，民間企業等において大規模なサイある企業は 5.4%にとどまっていたが，2011 年には約 6 倍

バー攻撃が相次いで発生し，2012 年には遠隔操作ウイルスの 33%に拡大している [1]．標的型攻撃の中でも，ある組にともなう誤認逮捕が発覚する等，大きな社会問題となっ織に特化した，時間および手法を問わずに継続的に行われる一連の攻撃は APT（Advanced Persistent Threat）や新

1

2

a)

情報セキュリティ大学院大学
Institute of Information Security, IISEC, Yokohama,
Kanagawa 221–0835, Japan
内閣官房情報セキュリティセンター
National Information Security Center, NISC, Chiyoda,
Tokyo 100–0014, Japandgs104101@iisec.ac.jp

c 2014 Information Processing Society of Japan

しいタイプの攻撃 [2] と呼ばれることもあり，大きな脅威となっている．
本論文の内容は 2013 年 3 月のコンピュータセキュリティ研究発表会にて報告され，同研究会主査により情報処理学会論文誌
ジャーナルへの掲載が推薦された論文である．

1089

情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

典型的な標的型攻撃の概要を以下に示す．まず攻撃者
は，業務等を装った件名やファイル名をつけたメールで不正プログラム（マルウェア）を送信する．そのメールを受信したユーザが，業務等を装った件名やファイル名を不審に思わず，添付ファイルを開封した場合，その端末で不正な命令が実行され，攻撃者の管理下に入る．攻撃者の管理下に入った端末は，遠隔操作によって踏み台とされ，不正な情報の搾取に利用される．搾取された情報は，コマンド

図 1

悪性文書ファイルの構成

Fig. 1 Structure of a malicious document file.

&コントロールサーバ等に送信され，攻撃者によって回収される．攻撃者はまた，発信元を秘匿するために，Tor [4]

きるものと考えられる．そこで本論文の目的を，文書ファ等の匿名性を向上させるソフトウェアを利用したり，すで

イルに RAT が埋め込まれているか否かを自動的に判定すに管理下にある遠隔操作が可能な端末を利用したりしてマることとする．

ルウェアを送信している可能性も考えられる．さらに近年
では，不正に搾取した情報を用い，新たに業務等を装った

2. 関連研究

件名，ファイル名，あるいは搾取したファイルそのものをファイルに埋め込まれたマルウェアを検知する手法とし付与した巧妙な手口も確認されている．標的型攻撃に用いては，実行ファイルを対象としたものが提案されている．

られるマルウェアは特定の組織に特化したものも多く，最文献 [5] では，静的解析と動的解析を組み合わせ，実行ファ

新のパターンファイルを適用したウイルス対策ソフトでイルに隠されたコードを自動的に展開する手法が提案されも，検知できないケースがほとんどである．

ている．文献 [6] では，マルウェアを逆アセンブルして特標的型攻撃に用いられるマルウェアの本体は，RAT（Re-

定の機械語命令の類似性を検査することで，自身を書き換

mote Access Trojan または Remote Administration Tool）

えるマルウェアを検知する手法が提案されている．文献 [7]と呼ばれる実行ファイル（EXE および DLL）である場合

では，難読化された実行ファイルの様々な統計データからが多く，メールの添付ファイルで直接送付される場合と，難読化の方式を特定し，マルウェアの亜種を検知する手法

メールのリンクや添付ファイルからネットワーク経由でダを提案している．これらの手法は，実行ファイル形式のマ

ウンロードされる場合がある．メールの添付ファイルで直ルウェアを対象としている．しかしながら，文書ファイル接送付される場合はさらに，ほかのファイルには埋め込ま形式のマルウェアの場合には，実行ファイルは何らかの方れずに拡張子やアイコンが偽装される場合と，DOC 形式，式でエンコードされて隠されることが多い．したがって，

PDF 形式等の文書ファイルに埋め込まれて偽装される場

これらの手法をそのまま文書ファイル形式のマルウェアに合が考えられる．実行ファイルがほかのファイルに埋め込

適用することは困難である．

まれていない場合には，利用者は拡張子やアイコンの偽装ほかに関連する研究としては，難読化されたマルウェア等に注意すれば不審なメールを見抜くことができる．しかの通信内容を検知するための研究があげられる．文献 [8]しながら，実行ファイルが文書ファイルに埋め込まれて偽では，仮想環境で機械語命令を実行し，XOR 等でエンコー装された場合には，利用者は一般的な手法で不審なメールドされた不正なコードを検知する手法が提案されている．

を見抜くのは困難である．実際に，実行ファイルと埋め込

文献 [9] では，XOR 等でエンコードされたマルウェアのみ対象となる文書ファイルを指定するだけで，容易にマル

通信内容の特徴を学習することで，通信内容を動的に変化

ウェアを作成するツールの存在が確認されている [3]．実させるマルウェアを検知する手法が提案されている．これ

行ファイルが埋め込まれた悪性文書ファイルの一般的な構らの手法はマルウェアの通信内容を対象としたものである

成を図 1 に示す．文書ファイルを開くと，まず閲覧ソフト

が，文書ファイル形式のマルウェアを検知するために応用

ウェアの脆弱性を突くコードである Exploit が動作し，コンすることも可能である．本論文で提案する手法は，機械語

ピュータの制御を奪って Shellcode を実行する．Shellcode

命令の実行を必要とせず，事前に学習を必要としない単一は，文書ファイルに隠されたマルウェア本体である RATの文書ファイルを対象とした方式である．

（実行ファイル）をデコードし，ファイルに出力して実行す

本論文では，文書ファイルに RAT（実行ファイル）が埋る．通常の文書ファイルには，このように実行ファイルがめ込まれているか否かを，脆弱性を突くコード（Exploit）

偽装されて埋め込まれているとは考え難い．よって，文書や，RAT を展開・実行するコード（Shellcode）を動作さ

ファイルに実行ファイルが埋め込まれていれば，マルウェ

せずに検査する．この検査では実際にマルウェアは動作しアと判定して差し支えないものと考えられる．そのようにないため，本論文の研究内容は文書ファイルを対象とする

考えると，文書ファイルに実行ファイルが埋め込まれてい静的解析の一種といえる．文献 [10] では，バイナリデータ

るか否かを判定できれば，マルウェアを検知することがでの値を統計的に分析することによって，文書ファイルに隠c 2014 Information Processing Society of Japan

1090

情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

された不正なコードを検出する手法が提案されている．こ表 1 エンコードに用いられる主な演算の手法では，ファイルに隠された脆弱性を突く不正なコー

Table 1 Main instructions to encode executable files.

ドを検出することにより，マルウェアか否かの判定を試み演算説明ている．文献 [11] では，DOC 形式等の文書ファイルを対XOR

排他的論理和象とし，主として RAT を展開・実行する際の典型的な機械語のパターンを検索することにより，マルウェアか否か

ADD, SUB

算術加算または算術減算

ROL, ROR

左論理シフトまたは右論理シフトを判定するツールが提案されている．本論文では，脆弱性を突くコードや RAT を展開・実行するコード等の不正な2009 年から 2012 年の間に複数の組織の標的型攻撃に用いコードは検査せず，マルウェア本体である RAT を直接検られたマルウェアから，RAT を展開・実行するコードを抽出することによってマルウェアか否かの判定を試みる．文出して逆アセンブラで解読した．その結果，判明したエン

献 [12] では，DOC 形式等の文書ファイルの構造を検査す

コード方式に用いられていた主な演算を表 1 に示す．エンることにより，文書ファイルの表示内容と関係がないデー

コード方式は，主としてこれらの基本的な演算を組み合わタを抽出するツールが提案されている．このツールで表示せて構成されており，換字による方式，転置による方式お内容と関係がないデータが検出された文書ファイルは，不よびファイル形式固有の方式に分類することができる．換審である可能性が考えられるが，その文書ファイルがマル

字による方式は，実行ファイルをエンコードする場合に必ウェアであるか否かの判定は実施していない．また，このず使用される基本的なエンコード方式である．転置によるツールでは PDF 形式の文書ファイルを分析することがで

方式およびファイル形式固有の方式は，換字による方式にきない．文献 [13] では，マルウェアが用いる潜在的に危険加えて使用される付加的なエンコード方式であり，複数のな活動をともなうフィルタ（データに適用する変換方法）

方式を組み合わせている場合もある．

を学習させることで，PDF 形式のファイルをマルウェアか否か判断する手法が提案されている．この手法では，教3.1 換字による方式

師あり学習モデルを用いているため，学習するためのサン

換字による方式は，何らかの方式で作成した鍵との排他プルを集める必要があるだけでなく，その精度は学習のサ的論理和（XOR）を計算することで，実行ファイルを別のンプルに依存する．また，PDF 形式のファイル以外の文

文字列に変換する方式である．換字による方式では，元の書ファイルを分析することができない．本論文では，DOC

実行ファイルのオフセット（先頭から所定の位置までのバ形式および PDF 形式を含む，様々な形式の文書ファイル

イト数）はエンコード後にも変化しない．

を分析の対象としている．文献 [14] では，様々な形式の文

3.1.1 XOR

書ファイルに埋め込まれた実行ファイルを自動的に抽出す実行ファイルと任意の 1 byte の鍵を XOR 演算するエンるツールが提案されている．この手法では，DOC 形式おコード方式であり，最も基本的かつ頻繁に用いられている．

よび PDF 形式を含む様々な文書ファイルを分析すること

通常の XOR による方式では，実行ファイルと鍵の XORが可能であり，学習するためのサンプルを集める必要もな演算を実施すると，実行ファイルの NULL の部分は鍵と同い．通常の文書ファイルには，実行ファイルが偽装されて一の値となる．そのため，実行ファイルの NULL の部分に埋め込まれているとは考え難いことから，このツールで文着目することで，容易にエンコードに用いる鍵を特定する

書ファイルから実行ファイルを抽出することができた場合ことが可能である．

には，その文書ファイルをマルウェアとして検知するとい3.1.2 Multibyte XOR

う利用法が考えられる．しかしながら，このツールには，

実行ファイルと任意の 2 byte 以上の鍵を XOR 演算する

PDF 形式の悪性文書ファイルの検知率が低いという課題がエンコード方式である．この方式もやはり，実行ファイル

ある．本論文では，文書ファイルに埋め込まれた実行ファの NULL の領域に 2 byte 以上の鍵の値がそのまま表れる

イルの検知率を向上させるため，実際に標的型攻撃に用い傾向がある．したがって，実行ファイルの NULL の部分られた検体を分析し，RAT がどのように文書ファイルにに着目し，2 byte 以上の繰返し文字列を検出することで，埋め込まれているかを明らかにする．さらに，RAT の埋

エンコードに用いる鍵を推定することが可能である．ただめ込み方式を体系化して整理するとともに，効率的な解読

し，繰返し文字列を検出することで鍵を特定するためには，手法を検討する．

実行ファイルに鍵の長さの 2 倍以上の NULL の領域が存

3. RAT の埋め込み方式

在する必要がある．

3.1.3 NULL-Preserving XOR

実行ファイルである RAT は，そのまま文書ファイルに

NULL-Preserving XOR は，エンコードに用いる任意の埋め込まれる場合もあるが，多くの場合には何らかの方式

1 byte の鍵の値と一致する場合，または NULL の場合は演でエンコードされて文書ファイルに埋め込まれる．我々は，算を実施せず，それ以外の場合のみ XOR 演算を実施する

c 2014 Information Processing Society of Japan


1091

情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

方式である．NULL-Preserving XOR では実行ファイルのつ順番に読み込み，次の 1 byte の値を鍵として XOR 演算

NULL の部分は鍵の値とならず，NULL のままとなっていを実施する方式も確認されている．

るため，一見しただけでは鍵を特定することができない．
したがって，鍵を特定するためには，すべての考えうる鍵を総当たりで試す必要がある．

3.1.4 Multibyte NULL-Preserving XOR
Multibyte NULL-Preserving XOR は，鍵と同じ長さの3.2 転置による方式
転置による方式は，何らかの方式で実行ファイルある
いは鍵の順序を並べ替える方式である．並べ替えの単位
は，方式によって byte 単位の場合と bit 単位の場合があ領域がすべて NULL の場合には演算を実施せず，それ以る．byte 単位の転置による方式では，元の実行ファイルの外の場合には任意の 2 byte 以上の鍵を XOR 演算するエン

オフセットはエンコード後に変化する．

コード方式である．Multibyte NULL-Preserving XOR で3.2.1 論理シフト

は，Multibyte XOR のように実行ファイルの NULL の領対象とする 1 byte の値を，1〜4 bit 単位で左論理シフト

域に 2 byte 以上の鍵の値がそのまま表れることがない．しまたは右論理シフトする方式である．4 bit 左論理シフト

たがって，2 byte 以上の繰返し文字列を検出することで，した値と 4 bit 右論理シフトした値は同一となる．論理シ

エンコードに用いる鍵を推定することができない．ただ

フトは，実行ファイルに対して実施される場合と，Rolling

し，Multibyte NULL-Preserving XOR では鍵と同じ長さ

XOR の鍵に対して実施される場合がある．周期が 256 のの領域に 1 byte でも NULL 以外の値が含まれている場合

Rolling XOR の鍵に対して論理シフトが実施された場合にには XOR 演算を実施するため，文字コードの頻度分析にも，結果として生成される鍵の周期は変わらない．なぜなよって鍵を推定できる可能性がある．

らば，論理シフトの周期である 8 は，256 の約数となるか

3.1.5 Rolling XOR

らである．よって，Rolling XOR に論理シフトが併用されRolling XOR は 1 byte 単位の鍵による XOR 演算と考えた場合にも，2 byte 以上の繰返し文字列を検出することで，た場合，鍵の値がある周期で 1 byte ごとに変化するエンエンコードに用いる鍵を推定できる可能性がある．

コード方式である．最も基本的な鍵の値の変化の方式は，13.2.2 SWAP

ずつ加算するインクリメント方式および 1 ずつ減算するデ対象とする 2 byte の値を，1 byte 単位で順序を入れ換クリメント方式である．これらの方式の場合，256 byte ごえる方式である．SWAP 演算を実施した文字列に対し，とに鍵の値が元の値となるため，その周期は 256 となる．2

オフセットを 1 byte ずらして再度 SWAP 演算を実施する

周目以降は，1 周目と同じ 256 byte の値が鍵としてエンコー

Double SWAP 方式も確認されている．また，1 byte 単位

ドに用いられる．そのエンコードの結果は，256 byte の鍵

ではなく，対象とする 1 byte を half byte 単位で順序を入を用いた Multibyte XOR と同じである．つまり，Rolling

れ換える Nibble SWAP 方式もある．なお，Nibble SWAPXOR を 2 byte 以上の鍵による XOR 演算と考えた場合に方式は，4 bit 左論理シフトおよび 4 bit 右論理シフトと同は，Multibyte XOR と実質的に同義である．この場合，義である．

Rolling XOR の鍵の周期が Multibyte XOR の鍵の長さに相当する．したがって，Multibyte XOR と同様に実行ファ

3.3 ファイル形式固有の方式

イルの NULL の部分に着目し，2 byte 以上の繰返し文字

ファイル形式固有の方式は，対象とする文書ファイルの列を検出することで，エンコードに用いる鍵を推定するこ形式に依存しており，特定のファイル形式のみで用いられとが可能である．Rolling XOR や Multibyte XOR によるているエンコード方式である．

エンコード結果は，Rolling XOR と XOR による多重エン3.3.1 RTF ファイルコードの結果と同義となる．なぜならば，Rolling XOR とほとんどの RTF（Rich Text Format）形式のファイルに

XOR による多重エンコード演算には結合法則が成り立つ

おいては，実行ファイルの 1 byte を 2 byte の 0〜f の 16 進ため，結果として生成される鍵の長さは元の Rolling XOR

数にエンコードする方式が用いられている．この方式は，の周期となるからである．よって多重にエンコード方式が他の方式と組み合わせて使用され，単独で用いられること用いられている場合にも，2 byte 以上の繰返し文字列を検はほとんどない．この方式でエンコードされた実行ファイ

出することで，エンコードに用いる鍵を推定できる可能性

ルは，元の実行ファイルの長さの 2 倍の長さの 0〜f の 16がある．

進数にエンコードされているため，容易に発見することが3.1.6 そのほかの方式可能である．

そのほかの換字によるエンコード方式としては，特定の3.3.2 PDF ファイル

周期のオフセットの場合にのみ演算を実施する方式や，独PDF（Portable Document Format）形式のファイルに

自のストリーム暗号を用いる方式等があげられる．また，

おいては，換字による方式および転置による方式で直接実少し変わった方式としては，ファイルの先頭から 1 byte ず

行ファイルを埋め込む以外にも，Java Script を用いたエc 2014 Information Processing Society of Japan


1092

情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

ンコード方式が確認されている．Java Script には，最終的字列を検出することで，エンコードに用いる鍵を推定する手に実行ファイルの 1 byte を 2 byte の 0〜f の 16 進数にエン法が考えられる．この手法が機能するためには，実行ファ

コードして埋め込まれていた．ただし，PDF 形式の場合にイルに鍵の長さの 2 倍以上の NULL の領域が存在し，鍵がは，実行ファイルが埋め込まれた Java Script が，さらにそのままの状態で悪性文書ファイルに含まれている必要がこれまでに示した方式等でエンコードされることになるたある．この手法は，XOR，Multibyte XOR，Rolling XOR

め，それらの方式も組み合わせて検索する必要がある．

および多重エンコードに対して有効であると考えられる．

3.3.3 そのほかの方式

同様に，転置による方式やファイル形式固有の方式につい

これまでに示した方式以外にも，VBScript や，Flash にても，並行して検索することで実用的な時間内での解読は使用されるプログラム言語である Action Script を用いて可能であると考えられる．しかしながら，鍵がそのままの実行ファイルをエンコードする方式が確認されている．こ状態で悪性文書ファイルに含まれない NULL-Preserving

れらの方式では，文書ファイル内で用いるプログラム言語

XOR や Multibyte NULL-Preserving XOR に対しては，原に命令として実行ファイルと同等の内容を記述する．その理的に解読は不可能である．

プログラム言語をサポートしている文書ファイルであれ
ば，文書ファイルを開く際にプログラム言語で記述された

4.3 手法 3：文字コードの頻度分析

命令が実行される．そのため，文書ファイルがサポートす鍵長が長い Multibyte NULL-Preserving XOR に対してるプログラム言語を用いて，実行ファイルをエンコードすは，総当たりでも繰返し文字列の検出でも実用的な時間内でることが可能である．VBScript や Action Script を用いた解読することは困難である．Multibyte NULL-Preserving

方式は，Microsoft Word や Excel で用いられていることがXOR では，鍵と同じ長さの領域に 1 byte でも NULL 以外確認されている．

の値が含まれている場合には XOR 演算を実施する．ゆえ

4. 埋め込み方式の解読手法に，実行ファイルのある程度以上の NULL の領域が含まれていれば，鍵はそのままの状態では含まれていないが，悪性文書ファイルに埋め込まれた RAT を検知するため

文字コードの頻度分析によって鍵を推定できる可能性がには，その埋め込み方式を解読する必要がある．RAT の考えられる．この手法は，XOR，Multibyte XOR および埋め込み方式を解読する手法としては，手法 1：総当たり，

Rolling XOR に対してもある程度有効であると考えられ

手法 2：繰返し文字列の検出および，手法 3：文字コード

る．同様に，転置による方式やファイル形式固有の方式にの頻度分析が考えられる．

ついても，並行して検索することで実用的な時間内での解読は可能であると考えられる．しかしながら，ファイル形

4.1 手法 1：総当たり
何らかの方式で作成した鍵と XOR を計算する換字に式固有で使用頻度が高い文字コードがある場合には，文字コードの頻度に偏りが生じてしまい，正しい鍵が推定できよる方式は，RAT を埋め込む場合に必ずといっていいほ

ない可能性が考えられる．たとえば，RTF 形式や PDF 形

どつねに用いられる方式である．換字による方式の最も式では，データに表示可能な文字コードが多く含まれるた

単純な解読手法は，すべての考えられうる鍵を総当たりめ，その影響を緩和する必要がある．

で試す手法である．任意の方式である転置による方式やファイル形式固有の方式は，換字による方式の解読と並

5. RAT の検知手法

行して検索すれば効率が良い．総当たりによる手法は，本論文では，通常の文書ファイルには実行ファイルが偽XOR や NULL-Preserving XOR 等の鍵長が短い場合に有装されて埋め込まれているとは考え難いことから，文書効である．特に，NULL-Preserving XOR は他の手法ではファイルに埋め込まれている実行ファイルを RAT と判断

解読できないため，唯一の解読手法であると考えられる．

する．悪性文書ファイルに埋め込まれた RAT を検知する

しかしながら，鍵長が長い Multibyte XOR や Multibyte

ためには，解読した埋め込み方式を用いてデコードした

NULL-Preserving XOR に対しては，現在のコンピュータ

データから，実行ファイルが含まれていることを確認するでは実用的な時間内での解読は困難である．Rolling XOR必要がある．実行ファイルが含まれていることを確認するについては，単純なインクリメント方式やデクリメント方

手法は，MS-DOS 用スタブプログラムを検索する方式と，式であれば，実用的な時間内での解読は可能である．

実行ファイルのヘッダを検索する方式が考えられる．

4.2 手法 2：繰返し文字列の検出

5.1 MS-DOS 用スタブプログラムを検索する方式

鍵長が長いエンコード方式に対しては，総当たりでは実RAT を検知するためには，実行ファイルの MS-DOS 用

用的な時間内で解読することは困難である．そこで，実行スタブプログラムに含まれる文字列を検索するのが基本

ファイルの NULL の領域に着目し，2 byte 以上の繰返し文である．MS-DOS スタブプログラムは，実行ファイルがc 2014 Information Processing Society of Japan


1093

情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

MS-DOS 上で実行された場合に実行されるプログラムであり，一般的には “This program cannot be run in DOS

mode” や “This program must be run under Win32” という文字列を表示して終了するプログラムである．しかしな
がら，MS-DOS 用スタブプログラムに含まれる文字列は任意に設定することが可能であるため，この文字列のみ
で RAT を検知することはできない．我々が分析したマル
ウェアには，この方式による検知を回避するため，これらの文字列を 1 byte のみ変更した実行ファイルも含まれていた．また，“PE for Win32” や “Win32 only!” のようなまったく異なる文字列が含まれている場合や，あるいは空白となっている実行ファイルも確認された．

5.2 ヘッダを検索する方式

図 2 試験プログラムの動作の概要

Fig. 2 The algorithm of the build test program.

MS-DOS 用スタブプログラムを検索するよりも確実なのは，実行ファイルのヘッダを検索する方式である．実行め込み方式の解読（手法 1〜3）および RAT 検知のアルゴ

ファイルの先頭には，MZ ヘッダおよび PE ヘッダがついリズムは同一である．以下，その詳細について説明する．

ているため，“MZ” や “PE” といったこれらのヘッダに含まれる固有のパターンを検索することで，実行ファイルで6.1 埋め込み方式の解読手法ある RAT を検知することができる．しかしながら，この試験プログラムは，以下に示す 3 つの手法で埋め込み方方式による検知を回避するため，“MZ” や “PE” の文字列式の解読を試みる．実用性を考慮すると，いずれかの手法を削除した実行ファイルを埋め込んでいるマルウェアも確

で RAT の埋め込み方式を解読した場合には，他の手法に認された．“MZ” や “PE” の文字列は，Shellcode が実行さよる解読は不要となる．しかしながら今回は，これらの 3

れた場合には復元されるため，実行ファイルは正常に動作つの手法による解読の成功率を比較するため，最後まですする．このような場合には，MS-DOS 用スタブプログラム

べての手法により解読を試みるように実装した．

を検索する方式と合わせて総合的に検索する手法が有効で6.1.1 手法 1：総当たりある．実行ファイルの NULL が含まれるオフセット等も，

0x00〜0xFF までの 256 通りの 1 byte の鍵候補を作成し，RAT を検知するための有効な手がかりとなるものと考え各鍵候補によりエンコードした RAT の検知のための固有られる．

のパターンを検索する．各鍵候補を用いて検索するエン

6. 試験プログラムの実装

コード方式を以下に示す．
必須である換字による方式については，XOR，NULL-

これまでに示した 3 つの RAT の埋め込み方式の解読手

Preserving XOR および Rolling XOR の一部であるインク法および 2 つの RAT の検知方式を組み合わせた手法を，リメント方式およびデクリメント方式を検索する．Multi-

オープンソースのプログラミング言語である Python を用

byte XOR，NULL-Preserving XOR およびその他の Rolling

いて実装した．実装した試験プログラムの動作の概要を

XOR 方式については，実用的な時間内での解読は困難で

図 2 に示す．試験プログラムは，文書ファイルを引数としあるため検索しない．任意である転置による方式についてて受け取り，埋め込まれた RAT を検知するコマンドライ

は，実行ファイルまたは鍵の論理シフト，SWAP およびンプログラムである．STEP1 では，RTF ファイル固有でDouble SWAP 方式を同時に検索する．また，PDF ファイ

ある 2 byte の 0〜f の 16 進数にエンコードする方式を解読

ル固有である 2 byte の 0〜f の 16 進数にエンコードする方するため，指定長以上の連続する 0〜f の 16 進数の文字列式を同時に検索する．

を抽出し，バイナリコードに変換する．次に，変換したバ

6.1.2 手法 2：繰返し文字列の検出

イナリコードから，提案する手法 1〜3 を用いて埋め込み

総当たりによる鍵の検索では，多バイト長の鍵の検索に方式を解読し，RAT の検知を試みる．STEP1 で RAT が時間を要してしまい，RAT を短時間で検知することがで検知できなかった場合には STEP2 に進む．STEP2 では，きない．したがってそれを緩和するために，文書ファイル

入力したファイル全体から，手法 1〜3 を用いて埋め込みから繰返し文字列を検出し，多バイト長の鍵の推定を試み方式を解読し，RAT の検知を試みる．ファイルの検索をる．以下，具体的な手順を示す．

終了するか，RAT を検知した場合にはマルウェアを検知

まず，文書ファイルを 256 byte の長さで分割し，その各したものと判定し，動作を終了する．各 STEP における埋

バイナリデータを順番に並べたリストを作成する．このc 2014 Information Processing Society of Japan


1094

情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

256 byte は，推定する鍵候補の長さである．次に，連続すたは MS-DOS スタブプログラムの文字列のオフセットかるリストのバイナリデータを比較し，一致するリストのバら一定の範囲内であれば，実行ファイル（RAT）を検知しイナリデータを鍵候補として蓄積する．以後，分割する文たものと判定する．このオフセット間の距離の制約は，PE

書ファイルの長さ（鍵候補の長さ）を半分とし，その長さヘッダのシグネチャまたは MS-DOS スタブプログラムのが 2 byte になるまで同手順を繰り返す．この手順により抽

文字列と，MZ ヘッダのシグネチャが同一の RAT のもの

出された鍵候補は，手法 1 における鍵候補に換字による方であることを確認するために設定している．なお，今回の式を組み合わせた出力結果に相当するものである．任意で実験では，MS-DOS スタブプログラムの文字列には “This

ある転置による方式については，実行ファイルまたは鍵のprogram” を用いることとする．

論理シフト，SWAP および Double SWAP 方式を同時に検索する．また，PDF ファイル固有である 2 byte の 0〜f の

16 進数にエンコードする方式を同時に検索する．
6.1.3 手法 3：文字コードの頻度分析
鍵長が長い Multibyte NULL-Preserving XOR に対して

7. 実験提案する埋め込み方式の解読手法および RAT の検知手法の効果を確認するため，実装した試験プログラムを用いて実験を実施する．

は，総当たりでも繰返し文字列の検出でも実用的な時間内で解読することは困難である．そこで，文字コードの頻度分析によって鍵の推定を試みる．以下，具体的な手順を示す．

7.1 実験内容
実験の対象となる文書ファイルの概要を表 2 に示す．これらの文書ファイルは，複数の組織において採取した固有

まず，文書ファイルの文字コードを，そのオフセットののハッシュ値を持つ検体であり，あらかじめ不審な挙動を

256 の剰余ごとに配分する．ここで，256 は推定する鍵候補示すマルウェアであることが確認されている．我々が逆アの長さを示す．次に，256 通りの各オフセットの剰余ごと

センブラで解読した検体も，これらの文書ファイルに含まに文字コードを集計し，最も使用頻度が高い文字コードをれている．検体に偏りが生じるのを防ぐため，検体の採取求める．この際に，文書ファイル固有の使用頻度が高い文

期間は 2009 年 1 月から 2012 年 12 月とし，特定の拡張子

字コードの影響を緩和するため，表示可能な文字コードがのものを機械的に選定した．doc 拡張子の検体には，拡張多く含まれる領域を集計の対象から除外する．次に，各オ子を偽装した RTF 形式の検体も含まれている．これらのフセットごとの最頻出文字コードを順に連結し，鍵候補とマルウェアを試験プログラムに入力し，RAT の検知率と，する．以後，鍵候補の長さを半分とし，その長さが 2 byte

採取した当時の最新のパターンファイルを適用した大手ベになるまで同手順を繰り返す．任意である転置による方式

ンダのウイルス対策ソフトの検知率を比較する．また，各については，実行ファイルまたは鍵の論理シフト，SWAP

埋め込み方式の解読手法ごとの成功率を比較する．実験をおよび Double SWAP 方式を同時に検索する．また，PDF

実施する環境は表 3 に示すとおりである．

ファイル固有である 2 byte の 0〜f の 16 進数にエンコードする方式を同時に検索する．

7.2 実験結果

6.1.4 そのほかの方式への対応

7.2.1 検知率の比較試験プログラムには，3 つの埋め込み方式の解読手法の検体の拡張子ごとの RAT の検知率を表 4 に示す．354

ほかに，ファイルの先頭から 1 byte ずつ順番に読み込み，
次の 1 byte の値を鍵として XOR 演算を実施する方式の検索機能を実装した．

表 2 検体の概要

Table 2 A summary of the specimens.
拡張子

検体数

平均容量

doc（rtf）

135

262.7

（KB）

6.2 RAT の検知手法
各手法による埋め込み方式の解読の成否の判定は，以下に示す RAT の検知手法によって実施する．
まず，PE ヘッダのシグネチャおよび MS-DOS スタブ

xls

49

180.4

pdf

170

351.2

合計

354

293.8

プログラムの文字列の一部を検索する．各々の文字列の一部を発見した場合には，PE ヘッダのシグネチャまたは

表 3 実験環境

MS-DOS スタブプログラムの文字列のすべてを検索する．

Table 3 An experimental environment.

PE ヘッダのシグネチャまたは MS-DOS スタブプログラム

CPU

Core2 Duo 2.4 GHzの文字列が見つかった場合には，そのオフセットの直前のMemoryDDR2 SDRAM 3.0 GB

MZ ヘッダのシグネチャを検索する．発見した MZ ヘッダ

OS

Windows XP SP3のシグネチャのオフセットが，PE ヘッダのシグネチャまInterpreter

Python 2.7.3

c 2014 Information Processing Society of Japan


1095

情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

表 4

表 6 エンコード方式ごとの検知率

RAT の検知率

Table 4 Detection rates of RAT.

Table 6 Detection rates that correspond to each encoding
method.

拡張子

成功数

成功率

doc（rtf）

131

98.5

xls

45

91.8

XOR

pdf

160

98.2

Multibyte

合計

336

97.4

XOR

（%）

エンコード方式

NULL-Preserving
表 5 ウイルス対策ソフトとの検知率の比較

XOR

Table 5 Comparing detection rates with antivirus softwares.

Multibyte NULL-

検知数

検知率
（%）

試験プログラム

336

94.9

T 社 AV57

16.1

S 社 AV69

19.5

M 社 AV47

13.3

T, S, M 社 AV

128

手法 1

手法 2

150

150

150

124

100%

100%

82.7%

7
28
15

Preserving XOR
Rolling XOR

77（Inc or Dec）

Rolling XOR

27（Other）

304
計

36.2

体の検体のうち，実行ファイル（RAT）が含まれていた

検体数

手法 3

0

7

4

0%

100%

57.1%

28

0

0

100%

0%

0%

0

0

15

0%

0%

100%

77

76

65

100%

98.7%

84.4%

0

27

14

0%

100%

51.9%

266

260

222

83.9%

85.5%

73.0%

メント方式以外の Rolling XOR でエンコードされた検体に検体は 345 体であり，このうちの 97.4%にあたる 336 体のついては，まったく検知することができなかった．手法 2 で検体を検知することができた．さらに，検知した検体にはは，XOR，Multibyte XOR，Rolling XOR でエンコードさ

RAT が含まれており，実行ファイルとして動作することれた検体は，100%に近い確率で検知することができた．鍵を確認した．この結果から，実行ファイルの判定は正しくのパターンがバイナリデータに表れない NULL-Preserving

動作したものと判断できる．RAT が含まれていなかった 9

XOR および Multibyte NULL-Preserving XOR でエンコー体の検体は，Shellcode が RAT をネットワーク経由でダウドされた検体については，まったく検知することができな

ンロードするタイプの検体であった．

かった．手法 3 では，Multibyte NULL-Preserving XOR

次に，ウイルス対策ソフトとの検知率の比較結果を表 5でエンコードされた検体は，100%検知することができた．

に示す．試験プログラムの RAT の検知数をマルウェアの

XOR，Multibyte XOR，Rolling XOR でエンコードされ検知数と見なすと，試験プログラムで検知した 336 体のた検体については，51.9%から 84.4%と検知率にばらつき

検体は，354 体の検体のうちの 94.4%にあたる．これに対がでる結果となった．NULL-Preserving XOR でエンコーし，その検体を採取した当時の最新のパターンファイルをドされた検体については，まったく検知することができな適用した大手ベンダのウイルス対策ソフトでは，13.3%かかった．

ら 19.5%の低い確率でしかマルウェアを検知することができなかった．3 種類のウイルス対策ソフトを組み合わせた
場合でも，検知率は 4 割未満にとどまった．

7.2.2 エンコード方式ごとの検知率

8. 考察
試験プログラムを用いた実験の結果をふまえ，RAT の検知に失敗した原因について考察する．さらに，エンコー

エンコード方式ごとの各手法の検知率を表 6 に示す．

ド方式ごとの検知率から，効率的な RAT のエンコード方RAT の検知に成功した 336 体の検体のうち，304 体の検式の解読手法を導出し，最後に提案手法の効果と限界につ体を本論文で体系化した主要なエンコード方式に分類す

いて考察する．

ることができた．RAT の検知には成功したが，RAT がそのまま埋め込まれていたり，体系化されないそのほかの方式でエンコードされていた 32 体の検体は表 6 から除外している．全体としては，手法 2 の成功率が 85.5%で最も高く，次いで手法 1 の 83.9%，手法 3 の 73.0%という結果と8.1 検知に失敗した原因
まず，試験プログラムが RAT の検知に失敗した原因について考察する．
試験プログラムでは，354 体の検体のうち，RAT が含まなった．各手法に着目すると，手法 1 では，XOR，NULL-

れていなかった 9 体の悪性文書ファイルを検知することがPreserving XOR，インクリメント方式およびデクリメント

できなかった．これらの悪性文書ファイルは，Shellcode が方式の Rolling XOR でエンコードされた検体は，100%検知

ネットワーク経由で RAT をダウンロードするタイプのマすることができた．鍵長が長い Multibyte XOR，Multibyte

ルウェアであった．RAT を悪性文書ファイルに埋め込ま

NULL-Preserving XOR，インクリメント方式およびデクリ

ず，ネットワーク経由でダウンロードするマルウェアに対c 2014 Information Processing Society of Japan


1096

情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

しては，OﬃceMalScanner [11] のように Shellcode を検知する手法が有効である．

RAT が含まれていた 345 体の検体うち，9 体の悪性文書
ファイルの RAT を検知することができなかった．これらの悪性文書ファイルには，VBScript，Action Script，独自のストリーム暗号等を用いて RAT がエンコードされてい表 7

試験プログラムが検知できるエンコード方式

Table 7 Encoding methods that the build test program candetect.
対応可能

対応不可能

XOR

VBScript

Multibyte XOR

Action Script

NULL-Preserving XOR

独自のストリーム暗号

た．VBScript，Action Script によるエンコード方式に対Multibyte NULL-

その他

しては，RAT の検知に用いるシグネチャを追加すること

Preserving XOR

で，対応することは可能である．しかしながら，独自のス

Rolling XOR

トリーム暗号を用いた方式に対しては，Shellcode から初

論理シフト，SWAP

期化ベクトル（同じ暗号鍵で異なるストリームを生成する

RTF, PDF 固有ために用いるビット列）を特定し，キーストリームを生成してエンコードする必要があるため，対応は困難である．

検知するためには，唯一の手法であることが確認できた．

このような複雑なエンコード方式に対しては，固有のシグ

以上の考察から，図 2 中の手法 1〜3 の部分においてネチャを作成して対応せざるをえないものと考える．

は，主として繰返し文字列の検出を行い，補助的に総当た
りで NULL-Preserving XOR を，文字コードの頻度分析で8.2 効率的な解読手法
エンコード方式ごとの検知率から，効率的な RAT のエ

Multibyte NULL-Preserving XOR を解読することで，最も効率良く RAT を検知することができるものと考える．

ンコード方式の解読手法を導出する．
総当たりは，鍵長が 1 byte の場合には，確実にエンコー

8.3 提案手法の効果と限界

ド方式を解読できることが確認できた．特に，NULL-

試験プログラムが対応することができる RAT のエン

Preserving XOR によりエンコードされた RAT を検知す

コード方式を表 7 に示す．試験プログラムでは，論理シるためには，総当たりしかないことが確認できた．しかし

フトや SWAP を組み合わせた様々な XOR を基本とするながら，2 byte 以上の場合には，実用的な時間内での解読

エンコード方式や，RTF 形式および PDF 形式固有のエンは困難である．

コード方式に対応することが可能である．しかしながら，

繰返し文字列の検出は，最も多くのエンコード方式に対VBScript，Action Script，独自のストリーム暗号等を用いして有効であり，ほぼ確実に解読できることが確認できたエンコード方式や，その他の変則的なエンコード方式にた．しかしながら，NULL-Preserving XOR のように鍵のは対応することはできない．これらの方式に対応するためパターンがバイナリデータに表れない場合には，まったくには，固有のシグネチャ等を導入して試験プログラムを改解読できないことが確認できた．この結果から，ほとんど良する必要がある．

の RAT には，鍵長より長い NULL の領域が含まれている提案手法では，標的型攻撃に用いられるマルウェアのう

ものと考えられる．解読に失敗した悪性文書ファイルには，ち，RAT が埋め込まれた悪性文書ファイルを検知するこ

鍵長より長い NULL の領域が含まれていなかったため，鍵とを目的としている．提案手法では，実行ファイルそのもが完全な形で含まれていなかったものと考えられる．

のや RAT が埋め込まれていない悪性文書ファイルは検知

文字コードの頻度分析は，多くのエンコード方式に対しすることができない．しかしながら，今回検証した doc，てある程度有効であるが，解読の成否にばらつきがあるこ

xls および pdf 拡張子のファイルは，2012 年に発生した標とが確認できた．この原因は，文字コードの頻度にファイ的型攻撃のメールに添付された悪性文書ファイルのほとん

ル形式固有の偏りがあったため，正しい鍵が推定できなどを占めている [15], [16]．また，2009 年から 2012 年の間かったためであると考えられる．文書ファイルの表示内容に発生した標的型攻撃では，97.5%の悪性文書ファイルにや属性情報等はファイル形式固有の領域に記録されておRAT が埋め込まれていた．したがって，RAT の検知率をり，これらの領域も文字コードの頻度を分析するための集向上させることができれば，実行ファイルをそのまま用い計の対象となる．これら領域は，利用者が文書ファイルのたものを除く，多くの標的型攻撃を検知することが可能に

表示内容や属性情報等を編集することによって変化してなるものと考えられる．

しまう．ゆえに，ファイル形式固有の偏りを緩和するのは容易ではないものと考えられる．この結果から，文字コー

9. おわりにドの頻度分析は，RAT を検知するために単体で用いるべ

本論文では，実行ファイルである RAT がどのように悪きではないものと考えられる．しかしながら，Multibyte

性文書ファイルに埋め込まれているのかを調査し，その方

NULL-Preserving XOR によりエンコードされた RAT を

式を体系化して整理するとともに，各々の方式の特徴に

c 2014 Information Processing Society of Japan


1097

情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

ついて考察した．そして，各々の特徴を考慮して悪性文書
ファイルからの RAT の埋め込み方式を解読し，RAT を検知する手法を複数提案した．さらに，各々の提案手法を試[6]

験プログラムに実装し，実験によりその効果を定量的に評価した．最後に，その実験結果から，まず繰返し文字列を検出し，次に総当たりで NULL-Preserving XOR を，文字[7]

コードの頻度分析で Multibyte NULL-Preserving XOR を解読する手法を導出した．
今後の課題としては，鍵のパターンがバイナリデータに表れない場合への対策があげられる．2009 年から 2012 年[8]に発見された悪性文書ファイルでは，ほとんどの RAT に鍵長より長い NULL の領域が含まれていたため，高い確率で RAT を検知することができた．しかしながら，最近[9]では実行ファイルである RAT を圧縮したり，より複雑なエンコード方式を用いた悪性文書ファイルも確認されている．RAT が圧縮された場合には，NULL の領域がほとん[10]

どなくなってしまうため，鍵のパターンがバイナリデータに表れにくくなってしまう．しかも，MS-DOS 用スタブプ[11]

ログラムやヘッダのパターンも変化してしまうため，検知はより困難となる．今回実装した試験プログラムでは，このように RAT を圧縮したり，本研究で検討した方式とは異なるエンコード方式を用いたマルウェアは検知すること[12]ができない．これらに対しては，その圧縮方式やエンコード方式に対応した解読手法を実装する必要がある．さらに，近年では RAT を動的に生成するような，より高度なマルウェアも出現しており，そのようなものへの対応は今[13]

後の課題である．また，バイナリデータに含まれる不完全な鍵のパターンから，完全な鍵を復元する手法についても[14]

検討する価値があるものと考える．メールサーバやネット
ワークセンサへの実装も今後の課題である．メールサーバ[15]

やネットワークセンサでリアルタイムに悪性文書ファイルを検知することができれば，より強固な標的型攻撃に対す
る防御システムの構築に寄与するものと考える．
参考文献
[1]

[2]

[3]

[4]
[5]

経済産業省：最近の動向を踏まえた情報セキュリティ対策の提示と徹底（オンライン），入手先http://www.meti.go.jp/press/2011/05/20110527004/
20110527004.html （参照 2013-08-26）.
情報処理推進機構：『新しいタイプの攻撃』に関するレポート—Stuxnet（スタックスネット）等の新しいサイバー
攻撃手法の出現（オンライン），入手先http://www.ipa.go.jp/about/technicalwatch/20101217.html （参照 2013-08-26）.
情報処理推進機構：脆弱性を利用した新たなる脅威の監視・分析による調査（オンライン），入手先http://www.ipa.go.jp/security/vuln/report/
newthreat200907.html （参照 2013-08-26）.
Tor Project: Anonymity Online (online), available fromhttps://www.torproject.org/ (accessed 2013-08-26).
Royal, P., Halpin, M., Dagon, D., Edmonds, R. and Lee,
W.: PolyUnpack: Automating the Hidden-Code Extrac-

c 2014 Information Processing Society of Japan[16]tion of Unpack-Executing Malware, Proc. 22nd Annual
Computer Security Applications Conference, pp.289–
300 (2006).
Leder, F., Steinbock, B. and Martini, P.: Classiﬁcation
and Detection of Metamorphic Malware Using Value Set
Analysis, Proc. 4th International Conference on Malicious and Unwanted Software, pp.39–46 (2009).
Jacob, G., Comparetti, P.M., Neugschwandtner, M.,
Kruegel, C. and Vigna, G.: A Static, Packer-agnostic Filter to Detect Similar Malware Samples, Proc. 9th Conference on Detection of Intrusions and Malware & Vulnerability Assessment, pp.102–122 (2012).
Huang, H.L., Liu, T.J., Chen, K.H., Dow, C.R. and Wuu,
L.C.: A Polymorphic Shellcode Detection Mechanismin the Network, Proc. 2nd International Conference on
Scalable Information Systems, No.64 (2007).
Rossow, C. and Dietrich, C.J.: PROVEX: Detecting
Botnets with Encrypted Command and Control Channels, Proc. 10th Conference on Detection of Intrusions and Malware & Vulnerability Assessment, pp.21–
40 (2013).
Stolfo, S.J., Wang, K. and Li, W.J.: Towards Stealthy
Malware Detection, Advances in Information Security,
Vol.27, pp.231–249 (2007).
Boldewin, F.: Analyzing MSOﬃce malware with OﬃceMalScanner (online), available from http://www.
reconstructer.org/papers/Analyzing%20MSOﬃce%
20malware%20with%20OﬃceMalScanner.zip (accessed
2013-08-26).
Hyukdon, K., Yeog, K., Sangjin, L. and Jongin, L.:
A Tool for the Detection of Hidden Data in Microsoft
Compound Document File Format, Proc. 2008 International Conference on Information Science and Security,
pp.141–146 (2008).
Xu, W., Wang, X., Zhang, Y. and Xie, H.: A Fast andPrecise Malicious PDF Filter, Proc. 22nd Virus BulletinInternational Conference, pp.14–19 (2012).
三村 守，田中英彦：Handy Scissors：悪性文書ファイルに埋め込まれた実行ファイルの自動抽出ツール，情報処理学会論文誌，Vol.54, No.3, pp.1211–1219 (2013).
日本アイ・ビー・エム株式会社：2012 年上半期 Tokyo
SOC 情報分析レポート，IBM - Japan（オンライン），入
手先 http://www-935.ibm.com/services/jp/its/pdf/
tokyo soc report2012 h1.pdf （参照 2013-08-26）.
日本アイ・ビー・エム株式会社：2012 年下半期 Tokyo
SOC 情報分析レポート，IBM - Japan（オンライン），入
手先 http://www-935.ibm.com/services/jp/its/pdf/
tokyo soc report2012 h2.pdf （参照 2013-08-26）.

推薦文
本論文は，文書ファイルに埋め込まれた RAT に関する
実際の検体を多数分析して，その埋め込み方法を整理分類している．その分析結果に基づいて，文書ファイル埋め込
み型 RAT の検知手法を実装し，数百の検体を用いて評価を行っている．今後の同研究分野の発展に有用であるため，推薦論文として推薦したい．
（コンピュータセキュリティ研究会主査 西垣正勝）

1098

情報処理学会論文誌

Vol.55 No.2 1089–1099 (Feb. 2014)

三村 守 （正会員）
2001 年防衛大学校情報工学科卒業．
同年海上自衛隊入隊．2008 年防衛大学校理工学研究科前期課程修了．同年
海上自衛隊保全監査隊勤務．2011 年
情報セキュリティ大学院大学博士後期課程修了．博士（情報学）．同年情報セキュリティ大学院大学客員研究員．マルウェア解析，
標的型攻撃の相関分析に関する研究に従事．2011 年から2013 年の間内閣官房情報セキュリティセンター出向．

大坪 雄平
1981 年生．1987 年頃からプログラム作成に興味を持つ．2005 年東京大学
工学部マテリアル工学科卒業．ナノサ
イズの物性解析に用いるシミュレー
ション手法の開発・研究に従事．同年
警察庁入庁．2012 年政策研究大学院
大学公共政策プログラム（修士課程）修了．同年内閣官房
情報セキュリティセンター出向．

田中 英彦 （名誉会員，フェロー）
1970 年東京大学大学院博士課程修了．
工学博士．東京大学工学部教授，同情
報理工学系研究科教授・研究科長を経て，2004 年情報セキュリティ大学院大学教授，研究科長．2012 年同大学
学長．計算機アーキテクチャ，分散処
理，知識処理，ディペンダブル情報システム等に興味を持
つ．著書に『非ノイマンコンピュータ』，『計算機アーキ
テクチャ』，『Parallel Inference Engine』等がある．電子情報通信学会，人工知能学会，各フェロー，IEEE ライフ
フェロー．

c 2014 Information Processing Society of Japan

1099