サンドボックス解析結果に基づくURLブラックリスト生成方式に関する事例調査

摘要

マルウェア感染後の早期検知手法として，企業等におけるインターネット通信の代表例であるHTTP 通信に着目し，出口対策としてのURLブラックリスト生成方式を提案する．擬似環境におけるマルウェアの動的解析であるサンドボックス解析の結果から，システム情報やユーザ情報の読み取りを条件としてマルウェアの通信先URLを抽出する．提案方式を利用し，マルウェアによる通信の一つとして挙げられる2次検体ダウンロードURL の事例調査を行った．1ケ月間に収集した18，761件の悪性ファイルから得た5，418URLにアクセスし，ダウンロードしたファイルをアンチウイルスソフトで検知した結果，156URLがトロイの木馬ウイルスをダウンロードするものであり，出口対策用URLブラックリストの拡充が可能であることを示した．