検索エンジンによるマルウェア接続先評価手法の提案

摘要

マルウェアの動的解析は，インターネットへの接続が可能な環境で行うことで，より多くの解析結果を取得できる．しかしながら，全ての接続先に対して接続を許可してしまうと，外部に攻撃をしてしまう可能性があるため，C&Cサーバやマルウェアダウンロードサイトに対する接続のみを許可する必要がある．本研究では，マルウェアから抽出した接続先の被リンク数を検索エンジンを用いて調査した．その結果，C&Cサーバやマルウェアダウンロードサイトの被リンク数は．一般サイトに比べ小さくなることが明らかとなり，接続先評価における一指標としての有効性が示された．%Malware dynamic analysis using isolated environment couldn't obtain enough results because existing malwares (e.g., Bots and Downloaders) require access to the internet. Since internet traffic sent by malware includes some attacks, it is necessary to determine if the destination is a C&C server or malware download site and only allow connection to these severs. In this paper, we use search engine to obtain backlink for evaluating the destination extracted by malware dynamic analysis. As a result, we found that backlinks of C&C server and malware download sites are lower than legitimate sites.