動的な関数アドレス解決APIの呼び出しログを用いたマルウェア分類

摘要

本研究ではマルウェアの動的解析の結果に含まれるLdrGetProcedureAddress の呼び出しログを用いてマルウェアの分類を行う手法を提案する．LdrGetProcedureAddress は動的に関数アドレスを解決するためのAPI である．このAPI の引数として渡された関数名を収集することで，動的解析時にフックされなかったAPI の情報を収集することができる．収集した情報を元に，機械学習を用いることでマルウェアの分類を行う．実際にFFRI Dataset に含まれる動的解析の結果に本手法を適用し，静的解析による分類および通常の動的解析による分類と性能を比較した．