著者

岩村 誠 伊藤 光恭 村岡 洋一

出版者

一般社団法人電子情報通信学会

雑誌

電子情報通信学会技術研究報告. ICSS, 情報通信システムセキュリティ (ISSN:09135685)

巻号頁・発行日

vol.110, no.79, pp.19-24, 2010-06-10

被引用文献数

2

---

従来のアンパッキング手法に関する研究は,主にOEP(Original Entry Point)の特定に焦点を当てており,抽出すべきプログラムコード領域がどこからどこまでの範囲なのかについては,特に言及されてこなかった.本稿では,OEPを含む連続するコミット済みメモリ領域を抽出し,このバイト列における相対アドレス指定の分岐命令に着目することで,OEPを含むプログラムコード領域を識別する手法を提案する.これにより,マルウェアのプログラムコード領域全体を抽出できるだけでなく,他の動的リンクライブラリ等を抽出対象から取り除くことが可能となる.また,本提案手法における実験では,対象となるプログラムコード領域の前後に,他のプログラムコード領域を含むメモリイメージが接している場合にも,分岐区域数の期待値に着目することで,OEPを含むプログラムコード領域だけを識別できることを示した.