Computer Security Symposium 201521 - 23 October 2015

未知マルウェア検知に向けたマルウェア通信の実態調査
畑田 充弘 †‡森 達哉 †† 早稲田大学 基幹理工学研究科
169-8555 東京都新宿区大久保 3-4-1{m.hatada, mori}@nsl.cs.wasead.ac.jp‡NTT コミュニケーションズ株式会社
108-8118 東京都港区芝浦 3-4-1 グランパークタワー 16F
m.hatada@ntt.com
あらまし 膨大な数のマルウェアが多種多様な攻撃に利用され，効率的な解析のために動的解析システムが利用されている．その中でも危険性の高い新種のマルウェアへの対応を早期に行うために，既知マルウェアの自動分類や未知マルウェアの識別といった研究が行われている．本稿では，マルウェア通信に着目し，未知マルウェアの検知に向けた実態調査として，2014 年 12 月からの 6ヶ月間において待受型及び巡回型ハニーポットで収集したマルウェア数万ファイルの動的解析時の通信データの解析結果を報告する．

Characterizing Network Behavior of Malware: TowardDetecting New Malware Families with Network Monitoring
Mitsuhiro Hatada†‡

Tatsuya Mori††Graduate School of Fundamental Science and Engineering, Waseda University
3-4-1 Okubo, Shinjuku, Tokyo 169-8555, JAPAN{m.hatada, mori}@nsl.cs.wasead.ac.jp‡NTT Communications Corporation
GranPark Tower 16F, 3-4-1 Shibaura, Minato-ku, Tokyo 108-8118, JAPANm.hatada@ntt.com

Abstract Dynamic analysis system are widely used to eﬃciently analyze massive malware. In order tohandle new threat on a preferential basis, researches on automated classification of known malware anddetection of unknown malware have been conducted respectively. Several tens of thousands of malware
were collected by server type honeypot and web crawler type honeypot from December 2014 to May 2015.
In this paper, we report the statistics and distinctive trend of recent malware communication captured
in our dynamic analysis environment.

1

はじめに動的解析システムあるいはサンドボックスが多く利用されるようになっている [3], [4], [5], [6]．アンチ

膨大な数のマルウェアが多種多様な攻撃に利用さウイルスソフトの検知結果には，マルウェアのタイれ，関連するインシデント対応も 2013 年に比べ 2014

プ (ワーム，トロイの木馬，バックドア等) ，ファ

年は 9%増加し、43%から 52%へと増加しているとミリー，亜種を区別する検知名を付与したり，検知いう調査結果もある [1]．効率的なマルウェアの解析手法 (ジェネリック手法やヒューリスティック手法)のために，単独のアンチウイルスソフトによる検知よって検知名を付与したりしている．一方で，マルや複数のアンチウイルスソフトによる検知 [2] の他，ウェアの動的解析結果に加えて静的情報を加味して－ 520 －マルウェアの自動分類を行う研究 [7] や，API コー

ルウェア通信を報告する．5 章でデータセット及びルに着目し一定の分類や類似検体の抽出が可能であ分析に関わる課題を議論し，5 章でまとめを行う．

ることを示した研究 [8] もあり，アンチウイルスソフトの検知結果との一致を評価している．
しかしながら，アンチウイルスソフトでは検知できないマルウェアが多数あることや，検知名にも間違いや製品差異があり，また，動的解析を行う環境(OS，ネットワーク等) によって動作が変化するマ
ルウェアも多数あるため，マルウェアの挙動を正しく把握できているかどうか定かではない．膨大なマ
ルウェアの中でも，インシデント対応の優先度を判断する上で，より危険性の高い未知のマルウェアを検知し，対応を早期に行う必要がある．我々は，多くのマルウェアが感染後に何らかのネットワーク挙動を行うことに着目し，マルウェアによる通信に基づいて従来とは異なる分類の定義や未知マルウェアの検知を行うことを検討している．
そのためにも，マルウェアの通信データに基づく検知・分類に有用な特徴や知見を得る必要がある．
本論文では，2014 年 12 月から 2015 年 5 月の 6ヶ月間において，待受型及び Web 巡回型ハニーポットで収集した 78,376 ファイルの動的解析によって得られた通信データの分析結果を報告するとともに，いくつかの特徴的な通信挙動を報告する．本論文の主な貢献を以下に示す．

• 動的解析システムの判定結果に基づいて，78,376ファイルの通信の基本的な傾向を分析し，悪性ファイルによる通信は TCP のセッション数や送受信サイズが大きく，HTTP レスポンスのステー
タス・コードには 410 (Gone) が少ない，といった知見を得た．

• 各プロトコルにおける悪性ファイルの特徴的な通信の事例 (例えば TCP での名前解決，UPnP で関連研究

2

マルウェアをアンパック・逆アセンブルし，プログラムコードの類似性に基づいた自動分類 [9] や，制御フローグラフの類似性で分類を行う [10] などバイナリを対象とした研究は従来から多く存在する．マ
ルウェアの通信に着目して，パケットのヘッダやペイロードから未知マルウェアの検知に有効な特徴量を評価した研究 [11]，[12] や，LPC ケプストラム分析によるマルウェア感染の検知精度を評価した研究[13] があるが，実験データ数が少ないという課題もある．大規模なネットワーク環境におけるマルウェアの伝搬を HTTP 通信に着目して検知する研究 [14]もあり，動的解析システムで解析した数千件のマルウェアの通信の概要が紹介されている．URL ブラックリストを生成するためにマルウェアの動的解析時の通信を調査した研究 [15] もあるが，HTTP に特化した調査に留まる．HTTP と DNS 通信に着目し，対象ホストからの外向き通信の因果関係を分析するアプローチで，発見しにくいマルウェアの検知を試みる研究 [16] も行われている．
文献 [17] では，独立成分分析によりマルウェア通信と正常通信を分離し，Random Forests による分類から 2 種類のマルウェアファミリを判定しており，
文献 [18] では，ネットワークフロー間の遷移をグラフ化し，グラフサイズや枝の数の平均等の特徴量から決定木を用いて 12 種類のマルウェアファミリを分類しているが，マルウェアの通信挙動を広く調査・報告しているものではない．そこで我々は，大量のファイルの動的解析時の通信データを様々な観点での外部通信，DNS シンクホールされている Web分析し，今後の検知・分類に有用な知見を得ること

サーバの HTTP レスポンス等) を示し，上記知見を目的として，マルウェア通信の実態調査を行う．

とともに特徴量を詳細に分解・定義・組み合わせることで，通信データに基づく新たな分類の定義や未知マルウェアの検知の検討の第一歩を進めた．

• 動的解析環境，解析対象データ，インターネットにおける対策など本研究テーマを取り巻く課題
や制約の議論は，新たな研究テーマをも示唆している．

3

実態調査の環境とデータセット

3.1

環境

本論文で対象とする 78,376 ファイルの動的解析時の通信データ (pcap ファイル) は図 1 のような環境

以降．2 章では関連研究を述べ，3 章で分析対象デーで収集・蓄積したものである．待受型ハニーポット

タの取得環境とデータセットの概要を示し，4 章では Windows XP ベースの高対話型ハニーポット数十

主要なプロトコルにおける統計データと特徴的なマ台で構成されており，複数拠点でそれぞれインター－ 521 －表 1: データセットの基本情報
収集期間
pcap ファイル数
データサイズ
IPTCP
UDP
ICMP
Media Types 別対象ファイル数
x-pe-app-32bit
x-dosexeczip
x-pe-dll-32bit
x-dosexec-dll
msoﬃce-doc
x-pe-app-64bit
msoﬃce-xls
x-pe-dll-64bit
msoﬃce-xlsxmsoﬃce-ppt
x-pe-driver-64bit
msoﬃce-pptx
判定結果別対象ファイル数
悪性
不審良性

待受型
ハニーポットインターネット	
巡回型
ハニーポット

動的解析システム
マルウェア	

C2等マルウェア通信先	

2014/12/01 - 2015/05/31
78,37630.9 GB
30.7 GB
174.9 MB
2.7 MB
76,265
1,250
389
249
134
29
26
13
95
3
3
2
38,58834,5465,242

図 1: データ収集・分析環境
ネットに接続している．また，巡回型ハニーポットはWindows XP 及び 7 ベースで Adobe Reader 等の脆弱な複数のプラグインをインストールした Internet
Explorer による高対話型ハニーポット [19] 数台が，複数拠点からインターネットに接続している．Web
空間を巡回するために元となる URL のリストは，独自に収集している URL ブラックリストやその候補のリストである．動的解析システムは，待受型ハ
ニーポットと巡回型ハニーポットの通信からファイルを復元し，Windows XP 及び 7 ベースの仮装環境でファイルを一定時間実行する．複数の拠点のインターネット接続を利用し，C2 等マルウェアが通信する先とのパケットを記録している．通信から復元されるファイルには，脆弱性を悪用した攻撃によってダウンロードさせられるマルウェアの他，特に巡3.2

データセット

今回実態調査を行うデータセットの基本情報として，収集期間，総ファイル数，イーサフレームにおける IP パケット及びその内訳 (TCP，UDP，ICMP)のデータサイズ，Media Types 別の解析対象ファイル数，悪性スコアに基づいた判定結果 (悪性，不審，良性) 別の解析対象ファイル数を表 1 に示す．通信
データでは，TCP が 99%を占め UDP と ICMP は非常に少ない．ファイルの種類では，DLL を含む32bit の PE ファイルが 97%を占める一方で，64bitの PE ファイルや Oﬃce ファイルは非常に少ない．
判定結果は悪性 49%，不審 44%，良性 7%という割合であり，大半が何らか疑わしいファイルであるということになる．

回型ハニーポットでは結果的にマルウェアではないプログラムファイルやドキュメントファイル等も含んでいることが前提であり，何らかの通信が発生し4分析たファイルを対象にしている．なお，動的解析シス

前章で述べたデータセットについて，悪性判定結テムの出力は pcap ファイルの他，静的解析を含む果別に各プロトコルの分析結果を報告する．3 種類

エキスパートのナレッジに基づく解析レポートがあの悪性判定結果以外にも動的解析レポートに基づく

り，ファイルやレジストリ操作，ネットワーク挙動挙動のパターン等をもとにしたより詳細な分類も今等の履歴からマルウェアらしい挙動のリスト (悪性後検討する必要はあるが，本論文では大きな粒度の挙動) やマルウェアらしさのスコア (悪性スコア) が判定結果に基づいて分析を行う．また，各プロトコ記載されている．

ルにおいて特徴的な通信の事例を示す．

－ 522 －

表 2: TCP セッション数，送受信サイズ
判定悪性項目Avg
MaxSDAvg
MaxSD
Avg
MaxSD不審良性

セッション数
5.55
6427
43.24
3.32
1378
9.82
1.87
215
6.44

受信サイズ
0.53 MB11.37 MB799256.16
0.25 MB16.71 MB
1197230.45
0.23 MB14.98 MB1319407.03

表 3: HTTP リクエスト・メソッドのパターン

送信サイズ
0.02 MB30.99 MB
171189.39
0.01 MB0.37 MB
30201.80
0.01 MB0.38 MB30915.24

悪性[%]
不審[%]
良性
G
30
N/A
28
N/A
G,P,P,G,G,G
25
G,G
17
G,G
N/A
10
G,P
8
G
G,P,G,G,G
9
P,G,G,G,G
8
G,P
P,G,G,G,G
7G
7P,G,G,G,G
G:GET，P:POST，N/A:リクエストなし[%]
57111091

表 4: HTTP レスポンスのステータス・コード

4.1

悪性[%]
不審[%]
良性[%]
200
94.4
200
87.1
20076.3
410
5.1
410
8.74041.94031.44042.3302
4.4
302
0.7
304
1.4
304
3.9
301
0.4
302
1.0404
2.3
200:OK，301:Moved Permanently，302:Found，304:Not

TCP

解析対象ファイルによる TCP 通信のセッション数，受信サイズ，送信サイズについて，平均 (Avg)，最大 (Max)，標準偏差 (SD) を表 2 に示す．標準偏Modified，403:Forbidden，404:Not Found，410:Gone

差は大きくなるものの，悪性ファイルはセッション数の平均，送受信サイズの平均ともに大きくなる傾向がある．悪性ファイルによる最大送信サイズ (30.99

ネット接続確認を行う NCSI (Network ConnectivityMB) は，Sality あるいは Padobot と呼ばれるマルウェアであり．445/tcp で 6,000 を超える内外のホストの共有ドライブに感染コードを送ろうとしたもStatus Indicator) の DNS 通信は発生しているものの HTTP 通信には至っていない場合が多く見られる．のであった．

パターンは悪性/不審/良性それぞれで 960/665/167

ここでは，頻度上位 5 種類のみを記載しているが，全種類となっていることからも，より悪性ファイルの方が多様なパターンで HTTP リクエストを行うとHTTPいえる．

スト・メソッドのパターン，レスポンスのステータ

HTTP レスポンスのステータス・コードは悪性/不審/良性で大半が 200 (OK) となっている．しかしながら，Conficker あるいは Downadup と呼ばれるス・コード，レスポンスのコンテンツ・タイプにつマルウェアの接続先は，DGA (Domain Generation

いて，頻度上位 5 種類をそれぞれ表 3，4，5 に示す．

Algorithm) によって生成されるドメイン名またはリクエスト・メソッドのパターンは，解析対象ファ特定のドメイン名となり，多くが CERT 等によりイルが HTTP リクエストを行った順にそのメソッドを表記したものである．例えば”G”であれば GET をDNS シンクホールされている．そして，HTTP の接続先からは，”シンクホールされているドメイン一度だけであり，”G,P”であれば GET の後に POSTへの接続”を示す HTML コンテンツをステータス・TCP の中でも主要なプロトコルといえる HTTPについて分析する．解析対象ファイルによるリクエでリクエストを行ったということを表している．不審/良性ファイルともに上位 2 種類がリクエストなし(N/A) ，GET を 2 回であるのに対して，悪性ファ
イルは 30%が 1 度だけ GET，25%が GET の後に

表 5: HTTP レスポンスのコンテンツ・タイプ判定
悪性POST を 2 回，GET を 3 回というパターンで半数以上を占めている．このようなパターンの一部を目視で確認した範囲では，ファイルをダウンロードするた

不審めの GET リクエストや，インターネットへの接続性を確認するための特定サイトへの GET リクエストの後，何らかのデータを POST で送信するといった挙動が見られた．また，悪性/不審/良性に共通するリク
エストなし (N/A) は，解析環境の Windows OS が時刻同期を行うための DNS/NTP 通信や，インター－ 523 －良性コンテンツタイプ
image/png
application/json; charset=UTF-8
text/html
application/octet-stream
text/plain
image/pngtext/html
image/jpeg
text/html; charset=utf-8
text/plain
image/pngtext/html
text/html; charset=utf-8
text/html; charset=UTF-8
image/gif[%]
26
19181762214109518121196表 6: SSL セッション数、送受信サイズ判定
悪性不審良性項目AvgMaxSD
Avg
MaxSD
Avg
Max
SD

セッション数
0.1945
1.42
0.18
31
1.51
0.21
32
1.12

受信サイズ
0.03 MB9.16 MB273496.86
0.01 MB5.19 MB107243.18
0.01 MB9.31 MB
147947.44

表 7: UDP セッション数，送受信サイズ

送信サイズ
0.96 KB
0.51 MB8075.51
0.38 KB
0.12 MB3571.80
0.40 KB
0.21 MB
3886.35

判定
悪性不審良性

コード 200 で受信するため，このような HTTP レ

項目
Avg
Max
SD
Avg
MaxSD
Avg
Max
SD

セッション数
2.78
1347
13.43
3.16
1105
9.06
3.01
202
5.38

受信サイズ
1.7 KB
9.17 MB
73377.28
0.75 KB
5.14 MB29026.350.46 KB
0.05 MB
1545.10

送信サイズ0.60 KB
0.71 MB5708.121.74 KB
46.81 MB263902.69
0.31 KB
0.04 MB1010.24

スポンスも含んでいる点は注意が必要である．不審/(Max)，標準偏差 (SD) を表 10 に示す．TCP (表 2)と異なり，UDP セッション数の平均は悪性ファイル良性の頻度 2 位となっている 410 (Gone) は Web サが不審/良性よりも小さくなっている．不審ァイルにイトの管理社が意図的に設定したものと考えられる

よる最大送信サイズ (46.81 MB) は，c0f06 (マルウェため，悪性ファイルの通信先となるような攻撃者がア検体の sha1 ハッシュ値先頭 5 文字のみ記載) であ準備した Web サイトでは，わざわざそのような設り，Trojan.Win32.Staser (Kaspersky 社検知名，以定をしないことが考えられる．

降同社検知名を用いる) の亜種によるものであった．

HTTP レスポンスのコンテンツ・タイプでは，悪性ファイルの頻度 2 位と 4 位にある”application/json”

このマルウェア (今回の分析期間後に悪性ファイルとと”application/octet-stream”が不審/良性と比べてに”k=15 バイトの英数小文字”を HTTP で POST上位になっている．これらは，MultiPlug といったしたレスポンスとして，”-udp 203.0.113.142:80 -アドウェアあるいは PUA (Potentially Unwanted

timeout 1 -thread 22”といったリストを 3 種類受信Applications) が，他の実行ファイルをダウンロードしたり，HTTP POST リクエストに対して json形式でレスポンスを受け取ったりといったものが多し，そのうちのある Web ホスティングサイトが管理する IP アドレスの 80/udp へ何らかのデータをく確認できた．

通信として，悪性ファイルの中に，UPnP でブローして判定されるようになっている) は，あるホスト送信しようとする挙動が見られた．また，特徴的なドキャストアドレス (239.255.255.250) を介して中国の複数の IP アドレスと通信を行っていた Back-SSL

door.Win32.FirstInj の亜種も見られた．

TCP の中でも主要なプロトコルである SSL は，HTTP (全フレームサイズ:0.34 GB) の約 4.5 倍 (1.54GB) であった．解析対象ファイルによる SSL 通信のセッション数，受信サイズ，送信サイズについて，DNS示す．平均セッション数は悪性ファイルより良性ファ

UDP の中でも主要なプロトコルといえる DNS について，クエリーとレスポンスのレコードタイプの頻度上位 5 種類をそれぞれ表 8，9 に示す．悪性/イルの方が大きく，分布に大きな偏りがあるものの，不審/良性に関わらず 94%以上が A レコードのクエ

悪性ファイルは不審/良性ファイルに比べて平均受信リーであり，悪性ファイルに特徴的なクエリーとしてサイズ・送信サイズともに大きくなっている．悪性は，MX レコードのクエリーがごく僅かに確認できファイルに限らず，SSL 通信先の頻度上位には，クている．これは主にスパムメール送信を目的とするラウドストレージサービスや CDN 事業者の IP がTrojan.Win32.Cutwail の亜種により，主要なフリー多く見られた．

メールのドメイン名の名前解決を行っていたものに

平均 (Avg)，最大 (Max)，標準偏差 (SD) を表 6 による．レスポンスのレコードタイプでは，Conficker

4.2

による DGA に基づくドメイン名の名前解決ができUDPず，結果として SOA レコードのみの応答が悪性ファ

解析対象ファイルによる UDP 通信のセッション数，イルでは大きくなったものと考えられる．

受信サイズ，送信サイズについて，平均 (Avg)，最大－ 524 －悪性ファイルには，Google DNS で名前解決を行う

表 8: DNS クエリーのレコード・タイプ

表 10: ICMP 宛先数，送信回数，タイプ

悪性[%]
不審[%]
良性[%]
0x000198.42
0x000194.36
0x000195.760x001c
1.030x001c5.58
0x001c4.21
0x000f0.51
0x00100.05
0x000c0.02
0x00020.01
0x0021
0.003
0x00210.01
0x00100.01
0x000c0.003
0x0001: A，0x0002: NS，0x000c: PTR，0x000f: MX，0x0010: TXT，0x001c: AAAA，0x0021: SRV

判定
悪性

項目
宛先数
回数
Type0
Type3
Type8Avg
1.63
3.25
00.01
3.24
8271
16467
0716467
MaxSD
115.00228.9600.20
228.96
不審Avg
0.02
0.05
00.04
0.004
Max
3633
0633
60
SD
0.14
3.44
03.42
0.40
良性Avg
0.02
0.05
0.00
0.02
0.03
Max39016790SD0.14
1.4
0.22
0.20
1.39
Type 0: Echo Reply，Type 3: Destination Unreachable，Type

表 9: DNS レスポンスのレコード・タイプ

8: Echo Request

悪性[%]
不審[%]
良性[%]
0x000158.8
0x000154.3
0x000153.50x0002
28.5
0x000226.60x0002
29.00x0006
6.10x0005
16.90x0005
15.70x001c
1.60x001c
1.40x0005
4.90x001c
1.1
N/A
0.40x0006
0.50x0001: A，0x0002: NS，0x0005: CNAME，

4.3

ICMP

解析対象ファイルによる ICMP 通信の宛先数，回

0x0006: SOA，0x001c: AAAA，N/A: レスポンスなし

数，ICMP タイプについて，平均 (Avg)，最大 (Max)，標準偏差 (SD) を表??に示す．悪性ファイルによるマルウェア (HEUR:Trojan.Win32.Generic) も確認

ICMP 通信の宛先数/回数の平均が大きくなっているされた．また，不審ファイルには 53/tcp で名前解決のは，2 つのファイルが要因となっている．最大宛先を行うマルウェア (Trojan-Downloader.Win32.Agent) 数 (8,271) に計 16,467 回の Echo Request を送信している悪性ファイルと，7,109 個の宛先に計 14,147の亜種も確認された．
回の Echo Request を送信している悪性ファイルは，ともに Virut あるいは Allaple と呼ばれるマルウェ

その他アの亜種で，それぞれある/16 のネットワークをス

本データセットの中で，MWS Datasets [20] のキャンしている挙動が見られる．悪性ファイルの中

D3M 2015[21] と共通するファイルとして，b76a9には，内部ホストへの Echo Request に加えて，外(マルウェア検体の sha1 ハッシュ値先頭 5 文字のみ記載) の動的解析時の pcap ファイルがあった．これ部 (ポルトガル) のホストへも Echo Request を行うマルウェア (Virus.Win32.Qvod) も確認された．不は HEUR:Trojan.Win32.Generic として検知される

審ファイルによる ICMP 送信回数の最大値 633 とマルウェアであり，2014 年 5 月 2 日に動的解析されICMP Type3 (Destination Unreachable) はどういうファイルによるものであるが，相当数の Echo Re-た pcap では，複数のホストに対して HTTP の GET

404 (Not Found) のレスポンスを受け，約 60 秒経

quest は観測されていない．これは 4.2 で通信挙動を解説した c0f06 検体があるホストの 80/udp へ送信

過後に 354 ホストに対して UDP のハイポートに接した UDP パケットが，宛先ポートへ届かず ICMP続を試み，解析時間中には 33 ホストからの応答をType3 として帰ってきたものである．

リクエストを送信し，301(Moved Permanently) や受信しており，P2P 通信を行っている様子がわかる．本論文で使用しているデータセットと通信の種

議論

類 (HTTP，UDP による P2P) や HTTP リクエス

5

トの User-Agent が”Opera/9.50 (Windows NT 6.0;動的解析環境U; en)”という点では同様であったが．UDP 通信とHTTP 通信のパケットが時系列で混在してる点は異として，マルウェアによる解析環境検知の結果，十分なった．

実際の解析時間以上の時間経過後や再起動後のみに一般に知られる動的解析環境の課題な解析結果が得られない場合がある．一例としては動作を開始するようなマルウェアの場合，通信データが取得できない可能性がある．個々のマルウェアの初動に応じて，柔軟に解析リソースを制御する等の高度化が必要となる．また，解析環境そのものに－ 525 －

よる通信 (時刻同期や NCSI) をデータセットには含巡回型ハニーポットで収集した 78,376 ファイルの動んでいるため，適切な前処理によって除外する必要的解析で得られた通信データの分析を行った．具体もある．

的には，動的解析の判定結果として悪性/不審/良性と分類したファイルの通信データをもとに，TCP，解析対象データ

待受型及び巡回型ハニーポットでデータに偏りがある可能性は十分にある．そもそも

UDP，ICMP，HTTP，SSL，DNS の基本的な統計情報の分析と，特徴的な通信挙動の事例報告を行った．その結果，悪性/不審/良性ファイルの通信デー通信をともなわないマルウェアも存在するが，マルタそれぞれにおいて異なる傾向があることを明らか

ウェア全体の中でどの程度のマルウェアが通信を伴にした．また，さらに分析を通じて得た課題や対策うかといった評価も必要である．本論文では，悪性/について議論した．今後，報告した特徴的な事例以不審/良性といった大分類をもとに分析を行ったが，外も調査を進め，個々の特徴量を更に詳細化し，組分類間の差異について概観したものの統計的検定をみ合わせていくことによって，多様な特徴量をもと伴ったものではないため，今後の検討を進めるにあに検知・分類の方式を検討していく予定である．

収集しているファイルを対象データとしているが，たって検証する必要がある．また，未知マルウェアの検知に向けては，有効な特徴量に応じたより詳細な分類や，現状ではグレーな位置付けともいえるア

参考文献

ドウェアあるいは PUA をどのように位置づけるかという考慮も必要となる．

https://nttgroupsecurity.com/.

インターネットにおける対策

DNS シンクホールや DPI (Deep Packet Inspection) によるフィルタリングなど，各国の CERT 機関や ISP 等によってインターネットにおいて有効な対策が進んでいる．その結果，解析環境からのマルウェアによる通信もその対策による影響があることは避けられない．実社
会の利益に対して研究が足かせとならないよう注意する必要がある．

6[1] “2015 global threat intelligence report.”[2] “Virustotal.”com/.

https://www.virustotal.

[3] K. Aoki, T. Yagi, M. Iwamura, and M. Itoh,“Controlling malware HTTP communications
in dynamic analysis system using search engine,” in Proceedings of Third International
Workshop on Cyberspace Safety and Security,
pp. 1–6, Sep. 2011.
[4] “Cuckoosandbox.”
cuckoosandbox.org/.

まとめ
様々な攻撃に利用され日々新たに出現するマルウェ

アの中から，インシデント対応の優先度を判断する上で，より危険性の高い新種のマルウェアへの対応を早期に行うことが望ましい．近年，マルウェアの静的解析結果に基づく自動分類や，未知マルウェアの検知の研究とともに，マルウェアの動的解析結果として得られた通信データに基づいて，マルウェアの自動分類を行う研究が進んでいる．しかしながら，関連研究ではマルウェアの通信データから複数の特徴量を定義して，一定の精度で複数種類のマルウェアの分類を行っているものの，マルウェアの通信挙動を広く調査・報告しているものはない．そこで我々はまず，マルウェアの通信データに基づく検知・分類に有用な知見を得ることを目的として，2014 年 12月から 2015 年 5 月の 6ヶ月間に，待受型及び Web－ 526 －

http://www.

[5] “Malwr.” https://malwr.com/.
[6] “Anubis.” https://anubis.iseclab.org/.
[7] 畑上英毅, 橋本正樹, 堀合啓一, and 田中英彦, “マルウエア動的解析に於ける自動分類手法の研究,” IPSJ SIG Technical Reports 2011-CSEC52 51, Mar. 2011.
[8] A. Fujino, J. Murakami, and T. Mori, “Discovering Similar Malware Samples Using API
Call Topics,” in Proceedings of the 2015 IEEEConsumer Communications and Networking
Conference (CCNC 2015), pp. 146–153, Jan.
2015.

[9] 岩村誠, 伊藤光恭, and 村岡洋一, “機械語命令列の類似性に基づく自動マルウェア分類システム[17] H. Mekky, A. Mohaisen, and Z.-L. Zhang,“POSTER: Blind Separation of Benign and,” 情報処理学会論文誌, vol. 51, pp. 1622–1632,
Sep. 2010.

Malicious Events to Enable Accurate Malware
Family Classification,” in Proceedings of 2014
ACM CCS, pp. 1478–1480, Nov. 2014.

[10] S. Cesare and Y. Xiang, “Classification ofmalware using structured control flow,” inProceedings of the Eighth Australasian Sym-[18] S. Nari and A. A. Ghorbani, “AutomatedMalware Classification based on Network

posium on Parallel and Distributed Computing - Volume 107, pp. 61–70, Jan. 2010.

Behavior,” in Proceedings of ICNC 2013,
pp. 642–647, Jan. 2013.

[11] Y. Otsuki, M. Ichino, S. Kimura, M. Hatada,and H. Yoshiura, “Evaluating payload features for malware infection detection,” Jour-[19] M. Akiyama, T. Yagi, Y. Kadobayashi, andT. Hariu, “Client Honeypot Multiplication
with High Performance and Precise Detec-nal of Information Processing,pp. 376–387, Apr. 2014.

vol. 22,tion,” IEICE Trans. on Info. and Sys.,
vol. E98-D, pp. 775–787, Apr. 2015.

[12] M. Ichino, K. Kawamoto, T. Iwano,
M. Hatada, and H. Yoshiura, “Evaluating header information features for malware[20] M. Hatada, M. Akiyama, T. Matsuki, andT. Kasama, “Empowering anti-malware research in Japan by sharing the MWS

infection detection,” Journal of Information
Processing, vol. 23, Sep. 2015. (to appear).

Datasets,” Journal of Information Processing,vol. 23, Sep. 2015. (to appear).

[13] 岩野透, 吉浦裕, 畑田充弘, and 市野将嗣, “LPC[21] 神薗雅紀, 秋山満昭, 笠間貴弘, 村上純一, 畑田充弘, and 寺田真敏, “マルウェア対策のための研究用データセット ∼mws datasets 2015∼,”

ケプストラム分析を利用したマルウェアの感染検知,” 情報処理学会論文誌, vol. 56, Sep. 2015.

(to appear).
[14] Luca Invernizzi and Stanislav Miskovic andRuben Torres and Sabyaschi Saha and SungJu Lee and Christopher Kruegel and Giovanni
Vigna, “Nazca: Detecting malware distribution in large-scale networks,” in Proceedings ofthe ISOC Network and Distributed System Security Symposium (NDSS ’14), pp. 1–16, Feb.
2014.
[15] 畑田充弘, 稲積孝紀, 有川隼, and 田中恭之, “サンドボックス解析結果に基づく url ブラックリス
ト生成方式に関する事例調査,” IPSJ SIG Tech-nical Reports 2015-CSEC-66 47, Jun. 2015.
[16] H. Zhang, D. D. Yao, and N. Ramakrishnan, “Detection of stealthy malware activities with traﬃc causality and scalable triggering relation discovery,” in Proceedings of the9th ACM Symposium on Information, Computer and Communications Security, pp. 39–50, Jun. 2014.

－ 527 －IPSJ SIG Technical Reports 2015-CSEC-70 6,Jun. 2015.