スクリプト実行環境に対する解析機能の自動付与手法

摘要

マルスパムやファイルレスマルウェアなど，悪性スクリプトを用いた攻撃が拡大している．こうした悪性スクリプトは一般に難読化が施されており，コードの静的解析で挙動の詳細を知るのは困難であるため，動的解析が主に用いられる．しかしながら，動的解析においても，独自の実行基盤を用いた解析では，実スクリプトエンジンとの実装の差異が課題となり，システムApplication Programming Interface(API) の監視による解析では，スクリプトとの間に生じるセマンティックギャップの課題が残る．そこで，本研究では，スクリプトエンジンのバイナリに対して，実行中のスクリプトを解析する機構を自動的に付与する手法を提案する．スクリプト固有の言語要素を考慮した監視により，スクリプトとの間に生じるギャップを解消する．あらかじめ用意したテストスクリプトを，スクリプトエンジンを監視しながら実行させることで，その内部挙動を解析する．それに基づき，解析用のコードを挿入するポイントと，ログ出力するメモリを参照するポイントを特定する．これにより，任意のスクリプトエンジンに対する解析機能の付与を可能とし，悪性スクリプト解析ツールに応用する．