AlkanetにおけるMeltdown対策済Windowsのシステムコールトレース手法

摘要

64bit マルウェアの出現に伴って64bit マルウェアの解析環境が求められている．我々は仮想化技術を用い，Windows 10 上で64bit マルウェアの解析を可能とするシステムコールトレーサAlkanet 10 を開発している．しかし，Meltdown 脆弱性の発見に伴ってWindows で対策が取られたため，Alkanet は従来のトレース方式での動作ができなくなった．本論文では，Windows のMeltdown 対策機能であるKVASについての調査で得られた知見について述べる．具体的には，KVAS の各処理について，内部実装を交えて述べる．さらに，それに基づいて改良したAlkanet のトレース方式について述べる．