「Analyzing Malware」１章　−　ツールの目的と入手方法まとめ

嫁に白い目に見られながら、なんとかマルウェア・アナライジングの一章を一通り読み終わりました。

で、ここで紹介されていたツールがマルウェアの解析においてどのような目的で使われているかという視点で、一通りまとめてみました。一言ずつ適当なコメントをいれていますが、使ってみた上で何か起きても保障はいたしません。

1. ファイルの判別　(P.8)
<ツールの目的>　解析対象のファイルの形式を識別する。

解析対象のファイルの形式の識別。シグネチャデータベースより判定

解析対象のPEファイルがEXE形式か、DLL形式化を判別する。

2. パッカーの確認　(P.20)
<ツールの目的> マルウェアが存在していることの有益な情報になるパッカーによる圧縮がおこなわれているかを確認する。

文字列の抽出。ファイルに含まれるWindowsのAPIを見つけ出すなど。

パッカーによる圧縮がおこなわれているかの確認（ LoadLibrary, GetProcAddress （Windows API）を見つける。）

パッカーによる圧縮がおこなわれているかの確認。標準で670のシグネチャを実装。追加も可能。

Immunity Debuggerのプラグインとして使用。

3．アンパッカー (P.29)
<ツールの目的> 圧縮してあるエリアのアンパック（解凍）

プラグインをいれてアンパックをおこなう。

今回のアンパックで使ったOllyScriptの入手先。

使い方がとても簡単なアンパッカー

4．動的解析　（P.36）
　<ツールの目的>　マルウェアを実際に動作させてその挙動を確認する。

Microsoft謹製のMalware動的解析ツール

動的解析をおこなうツールの詰め合わせ

自動解析後、解析のレポートが生成される

リバースエンジニアリング対策でマルウェアが実行しようとするプロセス終了に対して、このツールは阻止をする。

Immunity Debuggerのプラグイン。マルウェアの感染動作を確認できる。

5．静的解析　（P.42）
　＜ツールの目的＞　マルウェアのバイナリをリバースエンジニアリングして解析する

超強力静的解析ツール。とてもお高いですが、非商用のフリー版がある。