Computer Security Symposium 201521 - 23 October 2015

おとりの文書を表示する標的型マルウェア検知手法の評価
髙橋 佑典†

渡部 正文†‡

島 成佳†‡

吉岡 克成‡†日本電気株式会社
211-8666 川崎市中原区下沼部 1753
{y-takahashi@mb, watanabe@cj, shima@ap}.jp.nec.com‡横浜国立大学大学院環境情報研究院/先端科学高等研究院
240-8501 横浜市保土ケ谷区常盤台 79-7
yoshioka@ynu.ac.jp
あらまし 攻撃者は様々な手段，謀略を講じてマルウェアに感染させようとする．標的型攻撃ではその手口が巧妙で，正規の業務メールとの見分けが困難なメールに，マルウェアを添付して組織内のユーザに送信する．攻撃者はこのマルウェアを，入口対策をすり抜けるように作成するため，組織内のユーザへ届いてしまう．添付したマルウェアを会議資料などの文書ファイルと偽ることで，ユーザがマルウェアを実行するよう誘導し，マルウェア実行後におとりの文書を表示してマルウェア感染をカモフラージュする．このような攻撃者の巧みな手口により，標的型攻撃の被害者はマルウェア感染を完全に避けることは困難である．標的型攻撃による情報漏洩を未然に防ぐためには，攻撃者に情報を奪取される前に攻撃を検知する必要がある．そこで，我々はマルウェア感染直後のプロセス構造に着目し，おとり文書を表示するマルウェアの検知手法を提案した．本稿では，新しいデータセットを用いてエンドポイント型の製品と比較実験を行ない，提案手法の有効性を考察する．

Evaluation of Detection Method of Targeted Malware
Displaying a Decoy Document
Yusuke Takahashi†

Masafumi Watanabe†‡

Shigeyoshi Shima†‡

Katsunari Yoshioka‡†NEC Corporation
1753 Shimonumabe, Nakahara-Ku, Kawasaki 211-8666, JAPAN{y-takahashi@mb, watanabe@cj, shima@ap}.jp.nec.com‡Graduate School of Environment and Information Sciences / Institute of Advanced Sciences,
Yokohama National University
79-7 Tokiwadai, Hodogaya-Ku, Yokohama 240-8501, JAPANyoshioka@ynu.ac.jp
Abstract Attackers compromise target hosts by various methods and tricks. In targeted attacks, especially, the tricks are
sophisticated. For example, attackers send users in the organization the e-mails which look like regular business mails andinclude the malware attachments that slip through the entry control measures. Attached malware entice users to installthemselves by pretending to be business documents. Due to tricks like this, it is difficult for victims to avoid malware
infection. Therefore, for purpose of preventing information leakage, we have to detect targeted attacks before attackers steal
information. We have proposed a method to detect the malware that display decoy document by focusing on process tree
created immediately after compromises. In this paper, we experiment with new dataset, and show the effectiveness of our
method by comparison with commercial endpoint appliances.

－ 947 －では，検知アルゴリズムを改良し，ホストの内部挙動監視

1 はじめに機能を持った試験プログラムを実装する．そして，試験プロ企業や官公庁の保有する顧客情報や機密情報の奪取をグラムのマルウェア検知率を 2 つの製品と比較し，提案手目的とした標的型攻撃が年々脅威を増している[1, 2]．2015

法の有効性を考察する．

年は，標的型攻撃による情報奪取事件が次々と明るみに

2 本研究の課題出ており，第 2 四半期だけで 15 の組織が被害を受けたことが発覚している[3]．特に，公的機関の保有する個人情報が大量に奪取された事件は社会に不安を与えた[4]．

攻撃者の活動は，図 1のように，偵察，武器化，配送，攻撃，インストール，遠隔操作の段階を経て，最終的な目的個人情報や顧客情報が流出し悪用されると，非常に多く実行（情報盗取）に至る．これら一連の活動のつながりは，の人が詐欺や架空請求などの犯罪の被害に遭う可能性がサイバー・キル・チェーンと呼ばれる[9]．情報漏洩を未然に高まる．企業は，顧客や取引先，株主，従業員を含むステ防ぐために，標的となった組織は，攻撃者の活動が目的実ークホルダーによって支えられているため，ひとたび情報行（情報盗取）段階に至る前に，このサイバー・キル・チェー

漏洩が起こると，ステークホルダーからの信用を失い，業ンを断ち切らなければならない．

務中断や取引停止などによって，存続が危ぶまれる．その標的型攻撃メールによる攻撃の場合，偵察ステップにおため，情報漏洩を未然にくい止めることが非常に重要であいて，攻撃者は標的組織や標的組織内の人物の情報収集る．

を行なう．標的となる組織がこの偵察活動を防ぐことはでき多くの組織は，標的型攻撃への対策として組織内への侵ない．また，武器化活動についても，武器化は攻撃者側で入を防ぐ入口対策を実施している[5]．しかし，攻撃者は入行われるため，標的となる組織が防ぐことはできない．攻撃

口対策をすり抜けるマルウェアをメールに添付し，組織内者は，組織が標的型攻撃メールの対策として実施しているのユーザに送信する．攻撃者は，メール本文に実在の人物

入口対策に検知されないマルウェアを作成することができの署名や業務に関連のある内容を記述するなどして，受信る．シグネチャベースのセキュリティアプライアンスに対して者に業務に関するメールであると錯覚させる．また，添付しは，シグネチャに定義されていないマルウェアを作成するこたマルウェアを製品やサービスに関する問い合わせのようとで検知をすり抜けることができる．サンドボックス上でマな業務に関連のある文書ファイルと騙ることで，受信者にルウェアの振る舞いを検知するアプライアンスに対しても，添付ファイルを開かせてマルウェア感染するよう誘導する．

仮想環境を検出することで検知を回避するマルウェアを作

このようなメールは標的型攻撃メールと呼ばれており[6]，成できる[12]．攻撃者は，このようなマルウェアを正規の業

受信者が標的型攻撃メールと正規のメールを区別すること務メールに見せかけたメールに添付し，送信することで，組は非常に困難である．近年では，メール本文に合致するお織内のユーザにマルウェアを実行させる．そのため，組織とりの文書ファイルを表示することで，感染後も受信者に気は配送や攻撃の活動を完全に防ぐことも困難である．目的付かれないようにするマルウェアが確認されている[7, 8]．

実行（情報盗取）段階において攻撃者に重要情報を持ちだ

このような状況から，マルウェア感染を前提とした標的型されないように，C&C サーバや悪性ページを検知する出口

攻撃対策が重要となっている．本研究では，第2章で述べる対策を実施する組織も多い．しかし，正規のサーバが攻撃サイバー・キル・チェーン[9]の 7 つの段階のうち，インストー者に乗っ取られている場合があるため，これも完全に防ぐ

ル段階から目的実行（情報奪取）段階までの間に標的型攻ことは困難である[13]．

撃を早期に検知し，情報漏洩を未然に防ぐことを目指して情報漏洩のリスクを最小化するために，組織は，入口対いる．そこで，筆者らは，おとり文書を表示するマルウェア策・内部対策・出口対策を網羅的に実施する必要がある．の起動直後の挙動に着目した標的型マルウェア検知手法

内部対策は，攻撃者が組織内部で行なうインストール，遠を提案した[10]．論文[10]では，おとり文書を表示する標的隔操作の活動を検知し，これらを止めることを目的とした対型マルウェア 12 検体に対して実験を行ない，12 検体すべて策である．

を検知できることを示した．しかし，論文[10]では Process組織内部における攻撃活動の発見が早いほど，メリットMonitor[11]のログを用いた事後的な提案手法の適用であがある．特に，攻撃，もしくは，インストールの段階で攻撃者り，他の製品や手法との比較を行なっていなかった．本稿

による活動を検知し止めることができれば，感染が組織内－ 948 －

部の他端末に広げることもなく，その後の端末における駆成される文書閲覧アプリケーションのプロセスで行われる．

除作業などにかかるコストを抑えることができる．

このとき，マルウェアは，攻撃者がその後の活動に使用す

これより，リスクとコストの最小化のため，本研究の目的るためのバックドアを作成する．バックドアの作成は，マルをインストール活動時に標的型攻撃を早期に検知すること

ウェア・ルートプロセス内，もしくは新たに生成するバックドとする．本稿では，おとり文書を表示して受信者の不信感をア作成用のプロセスで行われる．

回避するマルウェアを，インストール活動時に早期検知することを目指す．

以上より，マルウェア・ルートプロセスは，起点プロセスの子孫であり，文書閲覧アプリケーションの祖先であるといえる．本稿では，バックドアの作成や C&C サーバへの通信などの挙動は考慮せず，このプロセス構造のみに着目して

図 1 サイバー・キル・チェーン

マルウェアのインストール活動を検知する．プロセス構造のリアルタイム把握，という観点から，検知には以下の機能が3 課題解決のアプローチ必要である．
・プロセス生成の様子を監視する機能

2章で述べたように，本論文で検知対象としているのはマルウェアのインストール活動時の挙動であるため，着目す・なりすましプロセスと正規プロセスを識別する機能

るのは端末内部の挙動である．

ホストのプロセス生成の様子を監視し，マルウェア・ルー受信者が標的型攻撃メールに添付されたマルウェアを実行してしまうアプリケーションは，以下の 3 種類である．
①

トプロセスを特定する試験プログラムを実装する．

4 実装

メールクライアント：「添付ファイルを開く」のような機能を用いて実行②③

ホストの内部挙動を監視し，観測した挙動からマルウェ

ブラウザ：

ア・ルートプロセスを特定する試験プログラムを作成した．

Web メールを使用している場合，添付ファイルをダウン

その際，論文[10]で提案した検知アルゴリズムの改良を行ロードした際に現れるダイアログから実行なった．

ファイルエクスプローラ：

4.1

検知アルゴリズムの改良

一旦ローカルの任意のディレクトリに保存した後，ファこれまで観測してきたおとり文書を開く悪性文書ファイル

イルエクスプローラでそのディレクトリを表示し，保存しは，マルウェア・ルートプロセスが，不正活動を行なうプロセたファイルを実行

スとおとり文書を表示するプロセスを分岐させていた．これ

マルウェアのプロセス（以降，マルウェア・ルートプロセを受けて，論文[10]では悪性文書ファイルの検知アルゴリス）は，上記 3 種類のアプリケーションのプロセスから生成ズムとして，「プロセス p の子孫にあたるプロセスに，子プロされる．3 種類のアプリケーションのプロセスを，マルウェアセスを 2 つ以上生成するプロセスが存在すること」と提案し感染の起点となるプロセスとし，起点プロセスと呼ぶこととていた．しかし，図 2のように，マルウェア・ルートプロセスする．

から生成された不正活動プロセスがおとり文書表示プロセ

おとり文書表示マルウェアは，ファイルタイプの観点で大スを生成することも可能であり，その場合でも検知できるよきく 2 種類に分けられる．「文書ファイルを装った実行可能フうに，以下のように悪性文書ファイルの検知アルゴリズムをァイル」と「文書閲覧アプリケーションの脆弱性を突く悪性文改良した．

書ファイル」である．悪性文書ファイルは不正活動を行なう

検査対象のプロセスを p，起点プロセスの集合を R，文書ために，アプリケーションの脆弱性を突く必要があるが，実閲覧アプリケーションのプロセスの集合をD としたとき，R∩

行可能ファイルはその必要がなく，実行後すぐに不正活動

D=∅であり，検知アルゴリズムは以下のように表せる．

を始めることができる．このような実行後の挙動の違いは子プロセスを分岐する場合：

あるが，おとり文書表示マルウェアに共通する特徴は，正・p∈D

規の文書閲覧アプリケーションを用いておとりの文書を表・p の子孫にあたるプロセスに，子プロセスを 2 つ以上生示することである．

成するプロセスが存在する

おとり文書の表示は，マルウェア・ルートプロセスから生－ 949 －・p の子孫にあたるプロセスに，p と同じアプリケーションのプロセス（おとり文書を表示するプロセス）が存在する

た試験プログラムのマルウェア検知率を比較した．実験に使用した検体セットの構成を表 1に示す．検体セット中の各子プロセスを分岐しない場合：

検体を＜ファイルエクスプローラ，メーラ，ブラウザ＞から・p∈D実行し，提案手法と既存製品で検知できるか調査し，検知・p の子孫にあたるプロセスに，子プロセスを 2 つ以上生率を算出した．

成するプロセスが存在しない
表 1 検体セットの構成

・p の孫以下のプロセスに，p と同じアプリケーションのプおとり文書のファイルタイプロセス（おとり文書を表示するプロセス）が存在する

図 2 おとり文書表示マルウェアのプロセス

4.2

試験プログラムの概要

検 体のファイルタ
イプ

exe
doc
xls
jsd
計

5.1

概要

試験プログラムは，起動時に実行中のプロセス一覧を取得し，その後新たに生成されるプロセスを監視する．新たに

xls

jsd
1040500011

pdf
70007

計
25
44134

本実験では，ビヘイビアベースの検知について評価する．

生成されたプロセスが文書閲覧アプリケーションのものであった場合，検知フェーズに移行する．以下に，検知フェー

doc
1740021

試験プログラムは，マルウェア・ルートプロセスを正しく特定できている場合を「検知」とした．

ズの動作を記述する．

製品 A は，シグネチャマッチング，振る舞い検知，レピュテーションによる検知を組み合わせた製品であり，シグネチ
ャベースで検知できなかった検体に対して，振る舞い検知，レピュテーションによる検知を行なう．
製品 B はマルウェアのシグネチャを使用しないセキュリティアプライアンスである．まず，ローカルのシステムに保存された検体に対して静的解析を行ない，マルウェアと判定された場合，アラートを表示する．この静的解析は，検体実行後に生成された新たなファイルに対しても行われる．
実行後の挙動を複数のビヘイビアベースの検知エンジンで試験プログラムは Python3.4[14]で実装した．プロセス生
成の監視機能は，WMI[15]を利用することで実現した．ま解析し，疑わしい挙動を検知した場合，該当ファイルの削除や，処理の遮断を行なう．

た，実装の際，予め実験環境に合わせて文書閲覧アプリケ

製品 A, B では，ビヘイビアベースでの検知，という観点ーションと，マルウェア感染の起点となるアプリケーションをで評価するため，検体実行後の検知結果に着目する．また，設定した．マルウェアが文書閲覧アプリケーションのプロセ

検体実行後の検知がシグネチャとのパターンマッチング，ス，もしくは，起点プロセスになりすますプロセスを生成して静的解析によるものであった場合，該当検体は検知率算出いた場合，当プロセスをなりすましプロセスと判断するため，の際に除外する．

各アプリケーションのアプリケーション名とアプリケーション3 種類のアプリケーションからマルウェアを実行する手順

パスの対応も設定した．設定したアプリケーション名とアプを以下に述べる．このような手順で意図的にインストール活リケーションパスを表 7に示す．この対応が一致している場

動をスタートさせ，既存製品や試験プログラムがこのインス合，正規のアプリケーションによるプロセスと判断する．

トール活動を検知するかどうかを確認する．

5 評価実験

・ファイルエクスプローラ：
任意のディレクトリにマルウェアをダウンロードし，ファイ提案手法を評価するため，おとり文書を表示する検体セットを用いて，振る舞い検知を行なう既存の製品と，作成し－ 950 －ルエクスプローラ上でダブルクリックすることで実行
・ブラウザ：

Web サーバにアクセスし，任意のディレクトリにダウンロ

Web サ ー バ と メ ー ル サ ー バ は サ ー バ ホ ス トード．ブラウザのダウンロード完了を知らせるダイアログ(Ubuntu14.04) 上に構築し，マルウェアの実行は犠牲ホストから実行(Windows XP SP3) 上で行なった．また，メールサーバには・メーラ：

予めマルウェアを添付したメールを保存した．

メールに添付されたマルウェアを任意のディレクトリにダ実験に使用したアプリケーションを表 2に示す．

5.3

ウンロード．メーラのダウンロード履歴から実行

実験結果

試験プログラムは全検体を検知することができたが，2 検検体セットは，実際の標的型攻撃メールに添付された検体と，VirusTotal[16]から入手した検体で構成されている．

体は5.1節に記述したマルウェア実行方法のうち 1 種類のみでしか検知できていなかった．

全 34 検体中，25 検体が実行可能ファイル（検体のファイル

製品 A は，表 3のような検知結果となった．製品 A はマタイプが exe），9 検体が悪性文書ファイル（検体のファイル

ルウェアを実験環境に保存した時点で 14 検体を検知し，削タイプが doc, xls, jsd）である．検体を事前に解析環境で実除した．その場合は，削除されたファイルを検知アラート画行し，おとり文書が表示されることを確認した．実行可能フ面からリストアし，実行した．

ァイルがおとり文書で利用するファイルタイプは doc が最も
表 3 製品 A の検知結果 内訳

多く，次いで pdf だった．悪性文書ファイルは，検体のファイ検体実行後ルタイプと同じ形式のおとり文書を利用していた．

5.2

実験環境

図 3に示す仮想環境を構築した．評価には，マルウェアが実行に成功する必要があるため，意図的に脆弱な環境を用意した．
ロー
カルに置いた
時点

パター
ンマッ
チング
検知・
遮断検知・
遮断検知（遮断せず）

検知（遮断せず）

46013145100

検知
検知
せず

レピュテーション

振る舞い

検知
せず

表 4 製品 B の検知結果（検出感度：既定）
検体実行後

ロー
カルに置
いた
時点

図 3 実験環境の概要
表 2 実験に使用したアプリケーション
種類
ファイルエク
スプローラ
ブラウザ

マシン

名称

犠牲ホスト

エクスプローラー

犠牲ホスト

Internet Explorer 6

メーラ

犠牲ホスト

文書閲覧アプリケーション

犠牲ホスト

Web サーバ

サーバホスト

メールサーバ

サーバホストThunderbird 38.1.0
Microsoft Office 2003
(Word，Excel)
Adobe Reader 8.0
三四郎 2010
SimpleHTTPServer(Python モジュール)postfix 2.11.0
dovecot 2.2.9

静的解析による検知

振る舞い
検知

検知せず

検知

00

17

検 知
せず

0125

表 5 製品 B の検知結果（検出感度：最高）
検体実行後

ロ ーカ ルに 置
い た
時点－ 951 －

静的解析による検知

振る舞い
検知

検知せず

検知

819

検 知
せず

2113

マルウェア実行後に表示された検知アラートに記された検る．おとり文書を表示するプロセスが生成された直後，該当知名を製品 A のホームページで調べ，＜シグネチャとのパプロセスは終了した．

ターンマッチング，振る舞い検知，レピュテーションによる検プロセス取得漏れの原因調査のため，上記 2 検体を複数知＞の 3 種類に分類した． 製品 B の検知結果を表 4，5に回実行した．その結果，検知できる場合とできない場合，す示す．製品 B はマルウェアを実験環境に保存した時点の静なわち，プロセス取得漏れが起こらない場合と起こる場合的解析により，既定レベルで17検体，最高レベルで18 検体があった．また，Process Monitor でプロセス構造を確認してを検知した．これらはすべて実行可能ファイル形式の検体いたが，いずれの場合も上記の短時間しか生存しないプロだった．実行前に検知された検体は，例外ファイルとして製セスを含めて漏れ無く取得されており，プロセスの階層構品 B に設定し実行することで，検体実行後の挙動や生成さ造も同一だった．これらより，プロセス取得漏れの原因は観れるファイルが検知されるか調べた．検体実行後の検知の測機構の精度によるものと推測される．

種類は静的解析と振る舞い検知の 2 種類だった．
表 6に試験プログラム，既存製品の検知率を示す．表中の検知率は，[ビヘイビアベースで検知できた検体数]／[全検体数]で算出した．ただし，製品 A の検知率は，検体実行後にパターンマッチングで検知された 18 検体を除いた，16検体 (表 3中の背景に色がついた検体)に対してのビヘイ
図 4 取得できなかったプロセス

ビアベースの検知率である． 同様に，製品 B の検知率も，静的解析によって検知された検体を除いたものである．(表5.3.2

製品 A

製品 A の振る舞い検知エンジンは，12 検体を検知でき，4，5の背景に色がついた検体)
5.3.1項以降に，結果の詳細を評価対象ごとに記述する．

4 検体を検知できなかった．検知できた 12 検体のうち，11検体については，対象ファイルの実行を未然に防いでいた

表 6 マルウェア検知率
試験プログラム100.0%(96.1%)※1

※2

製品 A

75.0%

が，1 検体はおとり文書が表示されてから，およそ 2 分後に
※2

製品 B
35.3%
(50.0%)※3

検知アラートが表示された．ファイル実行の有無はマルウェ
アを実行する際に起動していた Process Monitor で確認した．

※1：[検知できた数]／[3 種類の実行方法＊全検体数]※2：検体実行後にパターンマッチング，静的解析で検知さ

5.3.3

製品 B の振る舞い検知エンジンは，検出感度が既定レベれた検体を除いている

ル，最高レベル共に 12 検体を検知した．検知された検体は，※3：括弧内は検出感度が最高レベルの場合の検知率

5.3.1

製品 B

既定レベル，最高レベルで同一だった．検体セットに含まれ試験プログラム

試験プログラムは，実験に使用した34 検体すべてを検知できた．しかし，3 種類の検体実行手順のうち，ファイルエクスプローラから実行した場合のみ検知できた検体と，メーラから実行した場合のみ検知できた検体が，それぞれ 1 検体ずつあった．原因を調査したところ，マルウェアが生成するプロセスの 1 つを取得できておらず，検知フェーズでマルウェア・ルートプロセスまで辿れていないからであるとわかっる悪性文書ファイル 9 検体すべてについて，文書閲覧アプリケーションの脆弱性への攻撃を検知し，その後の処理を遮断していた．検知された実行可能ファイル 3 検体のうち，2 検体を新たに生成されたファイルが実行される前に検知し，遮断していたが，残りの 1 検体については，実行後の挙動を検知していた．これらは，製品 A と同様に，ProcessMonitor で確認した．
また，製品 B の振る舞い検知エンジンは，検出感度が既た．取得できなかったプロセスは，極めて短い時間しか生存していなかった．図 4の枠で囲われたプロセスが，試験プログラムで取得できなかったプロセスの 1 つである．該当

定レベルで 22 検体，最高レベルで 12 検体を検知できなかった．

プロセスは悪性文書ファイルが，おとり文書を表示するプロセスを起動するために生成したプロセスであると推測でき－ 952 －

6 考察

ウェアの検知精度を上げることができる．

6.1

XP や Office 2003 を用意したが，実環境での有効性を考慮

今回，できるだけ多くの検体が動作するように Windows

マルウェア検知試験プログラムは，検体セットに含まれるすべてのおとりするには，より実状に合わせた環境での評価が必要にな文書を表示するマルウェアを検知できた．本手法で着目しる．ている特徴は，おとり文書を表示するマルウェアに見られ，6.2

端末への負荷と検知の所要時間検知に有効であることがわかった．プロセスの生成のみを今回は評価を行なっていないが，提案手法は処理が軽く，監視し，その構造に着目する，という単純なアルゴリズムで既存製品と組み合わせて使用する場合に端末への負荷が非常に高い検知率を得ることができた．5.3.1項で述べた通小さいと考えられる．このように考える理由として，端末のり，プロセス取得漏れの問題はプロセス観測機構の精度が挙動で監視するのはプロセス生成のみであり，ファイルア原因と推測される．より精度の高いプロセス観測機構を用

クセスや通信を考慮する必要がないことを挙げる．また，本いることで，プロセス取得漏れの問題は解消すると考えら

提案手法は，導入環境に合わせて「起点プロセスとなりうるれる．

アプリケーション」と「文書閲覧アプリケーション」を設定する

一方で，提案手法はおとり文書を表示するマルウェアを対象としているため，おとり文書を表示しないマルウェアを必要がある．端末のアプリケーションを統一している組織では，設定に掛かるコストが小さいと考えられる．

検知できない．標的型攻撃メールでは，おとり文書を表示し続いて，検知の所要時間について述べる．提案手法はおないマルウェアや，メール本文に記述した攻撃サイトのとり文書表示プロセスをトリガーに検知を行なうため，検知URL リンクを開かせてドライブ・バイ・ダウンロードを試みる

速度はマルウェアが実行してからおとり文書表示プロセス攻撃がある．標的型攻撃の早期検知の観点から，これらにが生成されるまでの時間に依存する．Process Monitor で観ついても対応する必要があると認識している．

測したプロセス起動時の時間から，マルウェア・ルートプロ

製品 A の振る舞い検知エンジンは，4 検体を見逃すといセス起動からおとり文書表示プロセス起動までの時間を算う結果だった．評価基準をビヘイビアベースでの検知に設出したところ，3.3±2.8 秒掛かっていた．この時間は，端末定したためこのような結果となったが，5.1節で述べたとおり，の性能や CPU 使用率，メモリ使用率によって変動すると考製品 A は複数の検知エンジンを持ったセキュリティアプライえられる．おとり文書表示プロセスを観測してからマルウェアンスである．検知エンジンすべてを統合した検知結果は，ア・ルートプロセスの特定までの時間は，実装方法によって100%であった．しかし，2 章で述べたように，攻撃者はシグ変動する．今回はスクリプト言語である Python で実装したネチャに定義されていないマルウェアを作成し，組織内のため，おとり文書表示プロセス観測からマルウェア・ルートユーザに送信することができる．仮に，見逃した 4 検体と挙プロセス特定まで，およそ 30 ミリ秒掛かっていた．

動が似ており，かつ，シグネチャに定義されていないおとり

7 おわりに文書表示マルウェアを攻撃者が送信してきた場合，製品 Aだけではそのマルウェアを検知できない可能性がある．し本稿では，論文[10]で提案したおとり文書表示マルウェア

かしながら，製品 A と本提案手法を併用することで，シグネ検知手法について，リアルタイムにプロセスを監視し，おとチャに定義されていないおとり文書表示マルウェアを検知

り文書表示マルウェアのプロセスを検知する必要があったできる可能性が高まる．

ため，リアルタイムなプロセス監視機能を持つ試作プログラ

製品 B についても，静的解析エンジンによる検知を除外ムを実装した．その際，論文[10]の検知アルゴリズムで見したため，本来の検知率よりも低い結果となっている．静的逃してしまうマルウェアをカバーするため，検知アルゴリズ

解析エンジンによる検知を含めた検知率は，検出感度が既ムの改良も行なった．既存製品の振る舞い検知方式とのマ定レベルで 85.3%，最高レベルで 91.2%であった．すなわち，ルウェア検知率を比較した実験では，提案手法は通信やフ既定レベルで 5 検体，最高レベルで 3 検体を見逃している．

ァイルアクセスを考慮せず，プロセス構造のみに着目する製品 B はボットやバンキングマルウェアなど，他の脅威にという非常に単純なアルゴリズムであるにも関わらず，既存対しても有効な製品である．本提案手法と併用することで，製品と同等の精度でおとり文書表示マルウェアを検知でき他の脅威に対しての防御を行いつつ，おとり文書表示マルることを示した．

－ 953 －Available:

今後は，攻撃の特徴を捉えたマルウェア検知，という観点から，おとり文書を表示しないマルウェアやドライブ・バ

http://blog.macnica.net/blog/2015/01/post-39d4.

イ・ダウンロードを利用する標的型攻撃の早期検知へと，提html. [Accessed: 11-Aug-2015].
[9]

案手法の適用範囲を広げていく予定である．

E. M. Hutchins, M. J. Cloppert, and R. M.
Amin, “Intelligence-driven computer network
defense informed by analysis of adversary

参考文献
[1]

campaigns and intrusion kill chains,” Lead.

について,” 警察庁, [Online]. Available:[2][3][4]

[10]

[6]
[7]

[8]

髙橋 佑典, 吉川 亮太, 吉岡 克成, 松本 勉, “ダミ

http://www.npa.go.jp/kanbou/cybersecurity/H26

ー文書表示に着目した標的型マルウェア検知手法,”_jousei.pdf. [Accessed: 11-Aug-2015].

電子情報通信学会技術研究報告 IEICE Tech.

Symantec, “Internet Security Threat Report

Rep. 信学技報, vol. 114, no. 489, pp. 157–161,

2015 | Symantec,” 2015.

2015.

TrendMicro, “2015 年第 2 四半期 セキュリティラ

[11]

Process Monitor,ウンドアップ,” 2015.

https://technet.microsoft.com/ja-jp/sysinternals/“日本年金機構：個人情報１２５万件流出 ウイルスメ

bb896645.aspx.

ールで - 毎日新聞,” mainichi.jp, 01-Jun-2015.

[5]

Issues Inf. Warf. Secur. Res., vol. 1, p. 80, 2011.

“平成 26 年中のサイバー空間をめぐる脅威の情勢[12]

S. Hardy, M. Crete-Nishihata, K. Kleemola, A.

[Online]. Available:Senft, B. Sonne, G. Wiseman, P. Gill, and R. J.

http://mainichi.jp/select/news/20150602k0000m

Deibert, “Targeted threat index: Characterizing

040001000c.html. [Accessed: 11-Aug-2015].

and quantifying politically-motivated targeted

TrendMicro, “組織におけるセキュリティ対策 実態

malware,” in Proceedings of the 23rd USENIX

調査 2015 年版,” 2015.

Security Symposium, 2014.

IPA 独立行政法人 情報処理推進機構, “標的型攻[13]TrendMicro, “標的型サイバー攻撃分析レポート

撃／新しいタイプの攻撃の実態と対策,” 2011.

2015 年版 ～「気付けない攻撃」の高度化が進む“健康保険組合になりすました不審なメールについ～,” 2015.て,” セキュリティ研究センターブログ, [Online].

[14]

Python, https://www.python.org/.

Available:[15]“Windows Management Instrumentation

http://blog.macnica.net/blog/2014/11/post-fca5.h(WMI) の概要.” [Online]. Available:tml. [Accessed: 11-Aug-2015].

https://msdn.microsoft.com/ja-jp/library/Cc7365“医療費通知に偽装した攻撃（Backdoor.Emdivi）

75(v=WS.10).aspx. [Accessed: 11-Aug-2015].

その後,” セキュリティ研究センターブログ, [Online].

[16]

VirusTotal, https://www.virustotal.com/.

表 7 試験プログラムの設定
設定項目

アプリケーション名

アプリケーションパス

エクスプローラー

Explorer.EXE

Internet Explorer 6

iexplore.exe

Thunderbird 38.1.0

thunderbird.exe

Word

WINWORD.EXE

Excel

EXCEL.EXE

Adobe Reader 8.0

AcroRd32.exe

三四郎 2010

SNS14.exe

C:¥WINDOWS¥Explorer.EXE
C:¥Program Files¥Internet Explorer¥iexplore.exe
C:¥PROGRA~1¥INTERN~1¥IEXPLORE.EXE
C:¥Program Files¥Mozilla Thunderbird¥thunderbird.exe
C:¥PROGRA~1¥MOZILL~1¥THUDE~1.EXE
C:¥Program Files¥Microsoft Office¥OFFICE11¥WINWORD.EXE
C:¥PROGRA~1¥MICROS~2¥OFFICE11¥WINWORD.EXE
C:¥Program Files¥Microsoft Office¥OFFICE11¥EXCEL.EXE
C:¥PROGRA~1¥MICROS~2¥OFFICE11¥EXCEL.EXE
C:¥Program Files¥Adobe¥Reader 8.0¥Reader¥AcroRd32.exe
C:¥PROGRA~1¥Adobe¥READER~1.0¥Reader¥AcroRd32.exe
C:¥Program Files¥JustSystems¥SNS14¥SNS14.EXE
C:¥PROGRA~1¥JustSystems¥SNS14¥SNS14.EXE－ 954 －