JP2014085772A - 不正プログラム実行システム、不正プログラム実行方法及び不正プログラム実行プログラム - Google Patents

Abstract

【課題】悪性な通信先を特定すること。
【解決手段】開示の実施形態は、一つの態様において、実行部と、記録部と、検知部と、特定部とを備える。実行部は、端末への接続に用いられる接続情報が予め設定された環境の下、不正プログラムを実行する。記録部は、不正プログラムの実行による通信の通信先を記録する。検知部は、端末への通信であって、接続情報を用いて行われる通信を検知する。特定部は、記録部によって記録された通信先の中から、検知部で検知された通信の接続情報が設定された環境の下で実行された不正プログラムの通信先を特定する。
【選択図】図１

Description

本発明は、不正プログラム実行システム、不正プログラム実行方法及び不正プログラム実行プログラムに関する。

従来、情報漏洩や不正アクセス等の脅威をもたらす不正プログラム（以下、「マルウェア」と呼ぶ）に対する対処方法が種々提案されている。この対処方法の一つとして、例えば、マルウェアに感染したユーザ端末を検出し、マルウェアが感染時に通信する通信先との通信をネットワーク側で検知して遮断することが行われている。

上記の対処方法では、例えば、マルウェアが感染した際にユーザ端末が接続するＣ＆Ｃ（Command and Control）サーバや、情報漏洩先のサーバ等の悪性な通信先の情報を予めブラックリストとして取得しておく。この悪性な通信先の情報には、例えば、ＵＲＬ（Uniform Resource Locator）やＦＱＤＮ（Fully Qualified Domain Name）、ＩＰ（Internet Protocol）アドレス等が含まれる。そして、ブラックリストに含まれる悪性な通信先への通信を検知し、検知した通信先への通信を遮断する。なお、上記のブラックリストに掲載される悪性な通信先の情報は、例えば、マルウェアを実際に動作させて解析結果を取得する動的解析という方法が用いられる。この動的解析では、例えば、マルウェアを実際に動作させ、その動作を記録することで、マルウェアが通信試行を行った通信先の情報が取得される。

特開２００９−１８１３３５号公報

しかしながら、上述した従来技術では、悪性な通信先を特定できない場合があった。例えば、マルウェアには、マルウェア自身がインターネット上で動作していることを確認するために、悪性ではない一般の通信先に通信を行うものが知られている。このようなマルウェアに対しては、上記の動的解析を行っても、得られた通信先が悪性であるとは限らず、悪性な通信先を特定できない場合があった。

開示の実施形態は、上記に鑑みてなされたものであって、悪性な通信先を特定することができる不正プログラム実行システム、不正プログラム実行方法及び不正プログラム実行プログラムを提供することを目的とする。

開示の実施形態は、一つの態様において、実行部と、記録部と、検知部と、特定部とを備える。実行部は、端末への接続に用いられる接続情報が予め設定された環境の下、不正プログラムを実行する。記録部は、不正プログラムの実行による通信の通信先を記録する。検知部は、端末への通信であって、接続情報を用いて行われる通信を検知する。特定部は、記録部によって記録された通信先の中から、前記検知部で検知された通信の接続情報が設定された環境の下で実行された不正プログラムの通信先を特定する。

本願の開示する技術の一つの態様によれば、悪性な通信先を特定することができるという効果を奏する。

図１は、第１の実施形態に係る不正プログラム実行システムの構成の一例を示す図である。 図２は、第１の実施形態に係る不正プログラム実行システムによる処理の流れを示すシーケンス図である。 図３は、第２の実施形態に係る不正プログラム実行システムによる処理の流れを示すシーケンス図である。 図４は、特定部において取得される解析結果の一例を示す図である。 図５は、開示の実施形態に係る不正プログラム実行プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。

以下に、本願の開示する不正プログラム実行システム、不正プログラム実行方法及び不正プログラム実行プログラムの実施形態を図面に基づいて詳細に説明する。なお、この実施形態によりこの発明が限定されるものではない。各実施形態は、処理内容を矛盾させない範囲で適宜組み合わせることが可能である。

（第１の実施形態）
第１の実施形態に係る不正プログラム実行システム１は、動的解析により得られる不正プログラムの通信先が悪性か否かを特定するために、次の処理を実行する。不正プログラム実行システム１は、例えば、不正プログラムを動作させる環境において、端末への接続に用いられる接続情報を、悪性な通信先に漏洩させる情報として設定した上で、不正プログラムを実行する。そして、不正プログラム実行システム１は、その端末を監視し、端末への接続試行が成功していた場合に、漏洩させた情報に対応する通信先を悪性であると特定する。なお、不正プログラムとは、例えば、コンピュータウイルスやスパイウェア等である。また、以下では、不正プログラムをマルウェアと記載する場合がある。

図１を用いて、第１の実施形態に係る不正プログラム実行システム１の構成について説明する。図１は、第１の実施形態に係る不正プログラム実行システム１の構成の一例を示す図である。図１に示すように、第１の実施形態に係る不正プログラム実行システム１は、接続情報管理部１０と、動的解析部２０と、検知部３０と、特定部４０とを有する。このうち、動的解析部２０は、マルウェア実行部２１と、外部通信記録部２２とを有する。また、外部通信記録部２２及び検知部３０は、インターネット５に接続されている。なお、接続情報管理部１０、マルウェア実行部２１、検知部３０及び特定部４０は、例えば、それぞれがパーソナルコンピュータやワークステーション等に対応し、外部通信記録部２２は、プロキシサーバに対応する。また、接続情報管理部１０、マルウェア実行部２１、外部通信記録部２２、検知部３０及び特定部４０は、パーソナルコンピュータやワークステーション等に限らず、例えば、それらの装置内で機能するＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路、又は、ＣＰＵ（Central Processing Unit）等の電子回路によって実現されても良い。言い換えると、例えば、マルウェア実行部２１、外部通信記録部２２、検知部３０及び特定部４０を一つのコンピュータ内で実現することができる。また、外部通信記録部２２は、例えば、通信のプロトコルを判別し、判別したプロトコルに応じたサーバ応答を生成する仮想ネットワーク処理部として実現されても良い。

また、第１の実施形態に係る不正プログラム実行システム１は、例えば、接続情報を用いた通信を受け付ける端末を有する。なお、第１の実施形態では、この端末の機能を検知部３０が兼ねる場合を説明する。しかし、実施形態はこれに限定されるものではなく、端末が検知部３０とは別にインターネット５に接続されていても良い。

接続情報管理部１０は、端末への接続に用いられる接続情報を管理する。例えば、接続情報管理部１０は、ＦＴＰ（File Transfer Protocol）サーバへのログインに用いられるＦＴＰサーバのアドレス、ログインＩＤ及びパスワードの組合せを接続情報として生成する。ここで生成される接続情報は、マルウェアが動作した際に漏洩される情報となる。つまり、接続情報管理部１０は、解析対象となるマルウェアごとに接続情報を生成し、生成した接続情報とマルウェアを識別するためのマルウェア識別情報とを対応付けて記憶する。そして、接続情報管理部１０は、生成した接続情報を動的解析部２０及び検知部３０へ送信する。なお、接続情報は、外部ネットワークからの接続を制御できる情報であれば良い。例えば、接続情報管理部１０は、メールアドレスを接続情報として利用しても良い。

動的解析部２０は、マルウェアを実際に動作させ、その様子を監視することによりマルウェアの通信先の情報を収集する。ここで得られる通信先の情報には、例えば、ＵＲＬ（Uniform Resource Locator）やＦＱＤＮ（Fully Qualified Domain Name）、ＩＰ（Internet Protocol）アドレス等が含まれる。

マルウェア実行部２１は、端末への接続に用いられる接続情報が予め設定された環境の下、不正プログラムを実行する。例えば、マルウェア実行部２１は、接続情報を接続情報管理部１０から受信して、受信した接続情報を所定の格納場所に設定する。例えば、マルウェア実行部２１は、ＦＴＰサーバのアドレス、ログインＩＤ及びパスワードをレジストリに登録する、または、ＦＴＰサーバのアドレス、ログインＩＤ及びパスワードを記載したファイルを特定のディレクトリに配置する等の処理を実施する。これにより、登録された接続情報は、マルウェア実行部２１で実行されるマルウェアによって漏洩されることとなる。そして、マルウェア実行部２１は、マルウェアを実行する。なお、マルウェア実行部２１により実行されるマルウェアは、例えば、不正プログラム実行システム１を利用する利用者によって予め解析対象となる１つのマルウェアがマルウェア実行部２１に設定される。また、接続情報を所定の格納場所に登録する処理は、必ずしもマルウェア実行部２１が実行する必要は無く、例えば、利用者によって手作業で作成された接続情報を、利用者が手作業でマルウェア実行部２１設定しても良い。

外部通信記録部２２は、マルウェアの実行による通信の通信先を記録する。また、外部通信記録部２２は、マルウェア実行部２１からの通信を終端し、通信内容を記録すると共に、インターネット５上のホストに対してマルウェア実行部２１からの通信を代理送受信する。

検知部３０は、端末への通信であって、接続情報を用いて行われる通信を検知する。例えば、検知部３０は、設定情報を用いた接続要求の要求元に対して当該設定情報を用いた通信を許可するように、インターネット５からの接続を制御する設定を行う。そして、検知部３０は、外部ネットワークから端末へ、設定情報を用いた接続要求が行われると、その接続要求の要求元に対して当該設定情報を用いた通信を許可する。なお、検知部３０は、必ずしも接続情報を用いた接続要求の要求先ポートに対しての通信に限定して許可する必要はなく、例えば、接続情報を用いて行われる通信を検知すれば良い。また、上記の端末が検知部３０とは別に設置される場合には、検知部３０は、接続情報を用いた接続要求の要求先ポートに対して通信を許可するように、インターネット５からの接続を制御する設定を端末に対して行う。そして、検知部３０は、端末が接続情報を用いた接続要求を受け付けて、その接続要求の要求先ポートからの通信に対して通信を許可する。この場合、検知部３０は、端末が通信を許可した旨を検知し、その通信に用いられた接続情報を取得する。

特定部４０は、外部通信記録部２２によって記録された通信先の中から、検知部３０で検知された通信の接続情報が設定された環境の下で実行されたマルウェアの通信先を特定する。例えば、特定部４０は、検知部３０において接続要求が許可されていたことを確認した際に、その接続要求に用いられた接続情報を漏洩させたマルウェアの通信先を悪性な通信先と特定する。

次に、図２を用いて、第１の実施形態に係る不正プログラム実行システム１による処理を説明する。図２は、第１の実施形態に係る不正プログラム実行システムによる処理の流れを示すシーケンス図である。図２に示す処理は、例えば、不正プログラム実行システム１を利用する利用者からの開始要求を接続情報管理部１０が受け付けることにより実行される。

図２に示すように、接続情報管理部１０は、接続情報を生成する（Ｓ１０１）。例えば、接続情報管理部１０は、ＦＴＰ（File Transfer Protocol）サーバへのログインに用いられるＦＴＰサーバのアドレス、ログインＩＤ及びパスワードの組合せを接続情報として生成する。ここで、接続情報管理部１０は、生成した接続情報と、解析対象となるマルウェアのマルウェア識別情報とを対応付けて記憶する。接続情報管理部１０は、生成された接続情報を検知部３０へ送信する（Ｓ１０２）。

検知部３０は、接続情報管理部１０から接続情報を受信すると、接続情報を設定する（Ｓ１０３）。例えば、検知部３０は、接続情報を用いた接続要求の要求先ポートに対して通信を許可するように、インターネット５からの接続を制御する設定を行う。そして、検知部３０は、接続情報を設定した旨の情報を接続情報管理部１０へ通知する（Ｓ１０４）。

接続情報管理部１０は、接続情報を設定した旨の情報を検知部３０から受信すると、接続情報を、マルウェア実行部２１へ送信する（Ｓ１０５）。マルウェア実行部２１は、接続情報を接続情報管理部１０から受信すると、所定の格納場所に接続情報を登録する（Ｓ１０６）。例えば、マルウェア実行部２１は、ＦＴＰサーバのアドレス、ログインＩＤ及びパスワードをレジストリに登録する、または、ＦＴＰサーバのアドレス、ログインＩＤ及びパスワードを記載したファイルを特定のディレクトリに配置する等の処理を実施する。そして、マルウェア実行部２１は、マルウェアを実行する（Ｓ１０７）。これにより、マルウェアは、マルウェア実行部２１に設定された接続情報の取得や、取得した接続情報を悪性な通信先へ送信するための通信を発生させる。

マルウェアによってインターネット５への通信が発生すると（Ｓ１０８）、外部通信記録部２２は、マルウェアからの通信を解析して、記録する（Ｓ１０９）。このとき、例えば、外部通信記録部２２は、マルウェアを識別するマルウェア識別情報と、マルウェアからの通信先を示す情報と、通信先への通信試行があった旨の情報と、マルウェアから送信される送信データのデータ量とを記録する。以下、これらの情報を「通信記録」と呼ぶ。そして、外部通信記録部２２は、マルウェアからの通信内容をインターネット５上の通信先に対して送信する（Ｓ１１０）。

外部通信記録部２２は、マルウェアからの通信について、インターネット５からの応答を受信すると（Ｓ１１１）、通信記録を記録する（Ｓ１１２）。このとき、例えば、外部通信記録部２２は、マルウェアからの通信に対する応答があった旨の情報を記録する。そして、外部通信記録部２２は、インターネット５からの応答をマルウェア実行部２１へ送信する（Ｓ１１３）。

このように、マルウェア実行部２１によってマルウェアが実行されることにより、図２の２ａに示すステップＳ１０８からステップＳ１１３までの処理が所定時間繰り返し実行されることとなる。

マルウェア実行部２１は、マルウェア実行中に、接続情報を用いて検知部３０へのインターネットを介した通信を行う（Ｓ１１４）。これは、マルウェアが感染した端末が通信を行った際に、その通信の内容を傍受し、その内容を悪性なホストに送信するマルウェアが存在するからである。例えば、マルウェア実行部２１は、マルウェア実行後、所定時間経過後に、接続情報を用いて検知部３０への通信を行う。これにより、この通信の内容をマルウェアが取得し、悪性な通信先への送信が行われると、上述したステップＳ１０８からステップＳ１１３までの処理が実行される。なお、上記の所定時間は、実行されたマルウェアがマルウェア実行部２１に設定された接続情報を取得したり、取得した接続情報を悪性な通信先へ送信するための通信を発生させたりするのに十分と考えられる時間が利用者によって設定される。

マルウェア実行後に、検知部３０は、接続情報を用いた接続要求を検知すると（Ｓ１１５）、検知した接続要求の内容を記録する（Ｓ１１６）。例えば、検知部３０は、接続情報を用いた接続要求が行われると、その接続要求の要求先ポートに対しての通信を許可する。そして、検知部３０は、許可された接続要求に用いられた接続情報と、その接続要求の回数とを、接続要求の内容として記録する。そして、検知部３０は、接続要求の内容を特定部４０へ送信する（Ｓ１１７）。ただし、ステップＳ１１４で行われた接続要求の記録は除外する。

特定部４０は、接続要求の内容を検知部３０から受信すると、接続要求に用いられた接続情報が設定された環境の下で実行されたマルウェアのマルウェア識別情報を接続情報管理部１０に問い合わせ（Ｓ１１８）、マルウェア識別情報を取得する（Ｓ１１９）。そして、特定部４０は、マルウェア識別情報に対応する通信記録を外部通信記録部２２に問い合わせ（Ｓ１２０）、通信記録を取得する（Ｓ１２１）。

そして、特定部４０は、取得した情報に基づいて、通信先の特定を行う（Ｓ１２２）。例えば、特定部４０は、検知部３０において検知された接続要求の回数が閾値以下となる通信先を、悪性な通信先として特定する。この閾値は、例えば、「１」である。これは、接続情報を用いた接続要求が１回で成功した場合には、その接続情報がマルウェアによって漏洩されたものであると判断されるためである。これに対して、例えば、接続情報を用いた通信が成功するまでに複数回の接続要求を要していた場合には、その接続情報はマルウェアによって漏洩されたものではなく、例えば、接続情報を解読するソフトウェアによって解読されたものであると判断されるためである。なお、ここで設定される閾値は「１」に限定されるものではない。例えば、マルウェアによって漏洩された接続情報であるにもかかわらず通信不良によって接続要求が失敗する可能性を考慮して、閾値は「２」以上の数が利用者によって設定されても良い。

また、特定部４０は、マルウェアから送信される送信データのデータ量が閾値以上となる通信先を、悪性な通信先として特定する。例えば、マルウェアが複数の通信先と通信を行っていた場合、マルウェアから送信されるデータ量が一定の閾値以上となる通信先が一箇所、閾値未満となる通信が複数個所存在した場合に、閾値以上となった通信先を悪性な通信先として特定する。この閾値は、例えば、接続情報管理部１０において設定される接続情報のデータ量に基づいて設定される。これは、マルウェアによって接続情報が漏洩される場合には、送信データのデータ量が接続情報のデータ量よりも極端に小さい可能性は考えにくいため、一定以上のデータ量を含む通信であればマルウェアによる漏洩が行われたものと判断されるためである。なお、ここで設定される閾値は、利用者が任意の値を設定して良い。

なお、上述した特定部４０の処理のうち、接続要求の回数を用いて特定する処理及び送信データのデータ量を用いて特定する処理は、必ずしも実行されなくても良い。例えば、いずれか一方が実行されても良いし、いずれも実行されなくても良い。

また、図２において説明した不正プログラム実行システム１による処理の流れは、上記の順序に限定されるものではない。例えば、上記のステップＳ１１８の説明では、特定部４０は、検知部３０から接続要求の内容を受信する度にマルウェア識別情報を問い合わせるものと説明したが、これに限定されるものではない。特定部４０は、検知部３０から受信される接続要求の内容を一定時間蓄積し、その後に、マルウェア識別情報を問い合わせても良い。

上述してきたように、第１の実施形態に係る不正プログラム実行システム１は、端末への接続に用いられる接続情報が予め設定された環境の下、不正プログラムを実行する。そして、不正プログラム実行システム１は、不正プログラムの実行による通信の通信先を記録する。そして、不正プログラム実行システム１は、端末への外部ネットワークからの通信であって、接続情報を用いて行われる通信を検知する。そして、不正プログラム実行システム１は、記録した通信先の中から、検知した通信の接続情報が設定された環境の下で実行された不正プログラムの通信先を特定する。このため、不正プログラム実行システム１は、悪性な通信先を特定することができる。具体的には、不正プログラム実行システム１は、マルウェアによって接続情報が漏洩されたと判断される場合に、マルウェアの通信先を特定するので、悪性な通信先を確実に特定することができる。

また、例えば、不正プログラム実行システム１は、検知した接続要求の回数が閾値以下となる通信先を特定する。このため、不正プログラム実行システム１は、悪性な通信先を正確に特定することができる。具体的には、不正プログラム実行システム１は、接続要求に用いられた接続情報が解析対象となるマルウェアによって漏洩されたものであると判断される場合に、マルウェアの通信先を特定するので、悪性な通信先を正確に特定することができる。

また、例えば、不正プログラム実行システム１は、マルウェアから送信される送信データのデータ量が閾値以上となる通信先を特定する。このため、不正プログラム実行システム１は、悪性な通信先を正確に特定することができる。具体的には、不正プログラム実行システム１は、マルウェアから送信される送信データに接続情報が含まれると判断される通信先を特定するので、悪性な通信先を正確に特定することができる。

（第２の実施形態）
第１の実施形態において通信先が一つ特定された場合には、その通信先は悪性な通信先であると特定される。しかし、複数の通信先が特定された場合には、それらの通信先の中に悪性な通信先が含まれていると判定されるものの、どの通信先が悪性かを特定するためには、更なる解析を要する。このため、第２の実施形態では、第１の実施形態において複数の通信先が特定された場合に行われる更なる解析について説明する。

第２の実施形態に係る不正プログラム実行システム１は、動的解析を行った際にマルウェアが複数の通信先と通信を行っていた場合に、いずれの通信先が悪性であるかを判定するために、動的解析環境におけるマルウェア実行環境において、同一のマルウェアが悪性な通信先に漏洩させる接続情報を複数用意する。そして、第２の実施形態に係る不正プログラム実行システム１は、漏洩させる接続情報と、マルウェアからの通信を許可する通信先との組み合わせを変更しながら繰り返しマルウェアを実行することで通信先の悪性を判定する。一例としては、不正プログラム実行システム１は、まず、特定された複数の通信先のうち、マルウェアからのある一つの通信先への通信を単独で許可しておき、マルウェアを実行する。このとき、外部ネットワークから接続情報を用いた接続要求があれば、単独で通信が許可された通信先は、悪性な通信先であると特定される。このため、不正プログラム実行システム１は、マルウェアからの通信を単独で許可する通信先を一つ一つ変更しながら、マルウェアを繰り返し実行する。マルウェアによっては、同一の送信元ＩＰからの通信が繰り返し行われる場合に、情報漏洩先サーバが接続を拒否することがある。そのため、マルウェアを繰り返し実行する際には、動的解析部２０からインターネット５に通信する際の動的解析部２０のＩＰアドレスを繰り返し実行するごとに異なるものに設定してもよい。

また、上記の場合に、外部ネットワークから接続情報を用いた接続要求がなかったとしても、単独で通信が許可された通信先は、悪性な通信先ではないと判断できない。これは、ある通信先との通信が行われることにより、悪性な通信先との通信が惹起される場合があるからである。このため、不正プログラム実行システム１は、マルウェアからの通信を許可する一部の通信先を変更しながら、変更する毎に異なる接続情報を用いて、マルウェアを実行する。例えば、不正プログラム実行システム１は、マルウェアからの通信を許可する一部の通信先を、２つずつ許可したり３つずつ許可したり、或いはその組合せを変更したりしながらマルウェアを実行する。これにより、不正プログラム実行システム１は、悪性な通信先との通信が他の通信先との通信によって惹起される場合についても解析することができる。

第２の実施形態に係る不正プログラム実行システム１は、図１に示した第１の実施形態に係る不正プログラム実行システム１と同様の構成を有するが、以下に説明する処理を更に実行する点が相違する。

第２の実施形態に係るマルウェア実行部２１は、特定部４０によって複数の通信先が特定された場合に、更に、マルウェアからの通信を許可する一部の通信先を変更しながら、変更する毎に異なる接続情報を用いて、マルウェアを実行する。

第２の実施形態に係る外部通信記録部２２は、更に、マルウェア実行部２１によってマルウェアが実行される毎に、そのマルウェアから各通信先への通信の試行の有無を記録する。

第２の実施形態に係る検知部３０は、更に、マルウェア実行部２１によってマルウェアが実行される毎に、端末への通信であって、接続情報を用いて行われる通信を検知する。

第２の実施形態に係る特定部４０は、更に、外部通信記録部２２によって記録された実行毎の試行結果と、検知部３０によって検知された検知結果とを取得する。

次に、図３を用いて、第２の実施形態に係る不正プログラム実行システム１による処理を説明する。図３は、第２の実施形態に係る不正プログラム実行システムによる処理の流れを示すシーケンス図である。図３に示す処理は、例えば、図２に示したステップＳ１２１において複数の通信先が特定された場合に、実行される。

図３に示すように、複数の通信先が特定されると、特定部４０は、通信許可設定情報を外部通信記録部２２へ送信する（Ｓ２０１）。この通信許可設定情報は、特定されたそれぞれの通信先に対してマルウェアからの通信を許可するか否かを、通信先ごとに設定した情報である。なお、複数のマルウェアを同時に解析する場合には、この通信許可設定情報は、解析対象となるマルウェアごとに設定される。

外部通信記録部２２は、通信許可設定情報を特定部４０から受信すると、通信許可設定を行う（Ｓ２０２）。例えば、外部通信記録部２２は、通信許可設定情報を受信すると、その通信許可設定情報によって許可された通信先に対して、マルウェアからの通信を許可するように、マルウェア実行部２１からの通信を制御する設定を行う。そして、外部通信記録部２２は、設定が完了した旨を特定部４０へ通知する（Ｓ２０３）。特定部４０は、設定が完了した旨を外部通信記録部２２から受信すると、接続情報の生成要求を接続情報管理部１０へ送信する（Ｓ２０４）。なお、この接続情報の生成要求は、マルウェアとの通信が許可された通信先を示す情報を含む。

接続情報管理部１０は、接続情報の生成要求を特定部４０から受信すると、接続情報を生成する（Ｓ２０５）。ここで、接続情報管理部１０は、生成した接続情報を識別するための接続情報ＩＤと、マルウェアとの通信が許可された通信先を示す情報と、マルウェア識別情報とを対応付けて記憶する。そして、接続情報管理部１０は、生成された接続情報を検知部３０へ送信する（Ｓ２０６）。

検知部３０は、接続情報管理部１０から接続情報を受信すると、接続情報を設定する（Ｓ２０７）。そして、検知部３０は、接続情報を設定した旨の情報を接続情報管理部１０へ通知する（Ｓ２０８）。

接続情報管理部１０は、接続情報を設定した旨の情報を検知部３０から受信すると、接続情報を、マルウェア実行部２１へ送信する（Ｓ２０９）。マルウェア実行部２１は、接続情報を接続情報管理部１０から受信すると、所定の格納場所に接続情報を登録する（Ｓ２１０）。

マルウェア実行部２１は、マルウェアを実行する（Ｓ２１１）。これにより、第１の実施形態において特定された複数の通信先のそれぞれに対して、マルウェアからの通信が発生することとなる。マルウェアによってインターネット５への通信が発生すると（Ｓ２１２）、外部通信記録部２２は、マルウェアからの通信を解析して、通信記録を記録する（Ｓ２１３）。このとき、例えば、外部通信記録部２２は、マルウェアを識別するマルウェア識別情報と、マルウェアからの通信先を示す情報と、通信先への通信試行があった旨の情報と、マルウェアから送信される送信データのデータ量とを記録する。そして、外部通信記録部２２は、発生した通信の通信先が、マルウェアとの通信が許可された通信先か否かを判定する（Ｓ２１４）。

マルウェアとの通信が許可された通信先であれば、外部通信記録部２２は、マルウェアからの通信内容をインターネット５上の通信先に対して送信する（Ｓ２１５）。そして、外部通信記録部２２は、マルウェアからの通信について、インターネット５からの応答を受信すると（Ｓ２１６）、通信記録を記録する（Ｓ２１７）。このとき、例えば、外部通信記録部２２は、マルウェアからの通信に対する応答があった旨の情報を記録する。そして、外部通信記録部２２は、インターネット５からの応答をマルウェア実行部２１へ送信する（Ｓ２１８）。

なお、マルウェアとの通信が許可された通信先でなければ、外部通信記録部２２は、通信に失敗した旨の情報をマルウェア実行部２１へ通知する（Ｓ２１９）。

このように、マルウェア実行部２１によってマルウェアが実行されることにより、図３の３ａに示すステップＳ１０８からステップＳ１１３までの処理が所定時間繰り返し実行されることとなる。

マルウェア実行部２１は、マルウェア実行中に、接続情報を用いて検知部３０への通信を行う（Ｓ２２０）。これにより、この通信の内容をマルウェアが取得し、悪性な通信先への送信が行われると、上述したステップＳ２１２からステップＳ２１９までの処理が実行される。

マルウェア実行後、検知部３０は、所定時間、例えば、１時間待機する（Ｓ２２１）。そして、検知部３０は、待機中に接続情報を用いた接続要求を検知すると（Ｓ２２２）、検知した接続要求の内容を記録する（Ｓ２２３）。このとき、検知部３０は、例えば、接続要求に用いられた接続情報と、接続要求の回数とを接続要求の内容として記録する。なお、ここで設定される所定時間は、マルウェアによって接続情報が漏洩され、漏洩された接続情報を用いた接続要求が行われるのに十分と考えられる時間が設定される。また、ここでは待機する時間を設定して実行する場合を説明したが、必ずしも待機する時間が設定されなくても良い。また、マルウェア実行部２１は、異なる接続情報を設定することにより、マルウェアを並列実行しても良い。

そして検知部３０は、接続要求の内容を特定部４０へ送信する（Ｓ２２４）。特定部４０は、接続要求の内容を検知部３０から受信すると、接続要求に用いられた接続情報に対応するマルウェア識別情報を接続情報管理部１０に問い合わせ（Ｓ２２５）、マルウェア識別情報を取得する（Ｓ２２６）。そして、特定部４０は、マルウェア識別情報に対応する通信記録を外部通信記録部２２に問い合わせ（Ｓ２２７）、通信記録を取得する（Ｓ２２８）。

そして、特定部４０は、解析結果として、通信試行の有無と、検知部３０に対する接続要求の有無とを記録する（Ｓ２２９）。これにより、特定部４０は、ある通信先に対してマルウェアとの通信を許可した場合における通信試行の有無と、検知部３０に対する接続要求の有無とを記録する。

そして、特定部４０は、更に、ステップＳ２０１からステップＳ２２９までの処理を繰り返し実行させることにより、マルウェアからの通信を許可する一部の通信先を変更しながら、変更する毎に異なる接続情報を用いて、マルウェアをマルウェア実行部２１に実行させる。例えば、マルウェア実行部２１は、特定部４０によって特定された複数の通信先のうち、マルウェアからの通信を単独で許可することにより、検知部３０において接続情報を用いた通信が検知される通信先を、特定部４０によって特定された複数の通信先から除いた通信先について、マルウェアからの通信を許可する一部の通信先を変更しながら、変更する毎に異なる接続情報を用いて、マルウェアを実行する。これは、特定部４０によって特定された複数の通信先のうち、マルウェアからの通信を単独で許可することにより、検知部３０において接続情報を用いた通信が検知される通信先は、悪性な通信先であると判断されるからである。そして、マルウェア実行部２１は、複数の通信先から悪性な通信先を除いた通信先について、マルウェアからの通信を許可する一部の通信先を変更しながら、変更する毎に異なる接続情報を用いて、マルウェアを実行する。

そして、特定部４０は、所定回数マルウェアを実行した後に、記録された解析結果に基づいて、悪性な通信先を判定する（Ｓ２３０）。なお、この悪性な通信先を判定する処理は、必ずしも実行されなくても良く、例えば、解析結果を用いて、不正プログラム実行システム１を利用する利用者によって判断されても良い。

なお、図３において説明した不正プログラム実行システム１による処理の流れは、上記の順序に限定されるものではない。例えば、上記のステップＳ２２５の説明では、特定部４０は、検知部３０から接続要求の内容を受信する度にマルウェア識別情報を問い合わせるものと説明したが、これに限定されるものではない。特定部４０は、検知部３０から受信される接続要求の内容を一定時間蓄積し、その後に、マルウェア識別情報を問い合わせても良い。

次に、解析結果に基づいて悪性な通信先を判定する処理を説明する。図４は、特定部４０において取得される解析結果の一例を示す図である。図４に示すように、解析結果には、「手順」と、「接続情報ＩＤ」と、「各通信先との通信許可（左）と通信試行の観測有無（右）」と、「検知部に対する接続要求」とが対応付けられている。このうち、「手順」は、該当のレコードが何回目のマルウェアの実行によって取得された解析結果であるかを示す情報であり、例えば、マルウェアが実行された順に採番される。「接続情報ＩＤ」は、該当の手順において生成された接続情報を識別するための識別情報である。「各通信先との通信許可（左）と通信試行の観測有無（右）」は、通信先毎に、各項目のスラッシュ（／）の左側が各通信先とマルウェアとの通信が許可されているか否かを示し、右側が各通信先への通信試行があったか否かを示すことを表す。「検知部に対する接続要求」は、外部ネットワークから検知部３０へ接続情報を用いた接続要求が行われたか否かを示す情報である。なお、「手順」は、説明の便宜上図示したものであり、必ずしも解析結果に含まれていなくても良い。

図４の１つ目のレコードには、解析結果として、手順「手順１」、接続情報ＩＤ「接続情報Ａ」、通信先Ａ「○／○」、通信先Ｂ「○／○」、通信先Ｃ「○／○」及び検知部に対する接続要求「あり」が対応付けられている。これは、１回目のマルウェアの実行では、接続情報ＩＤ「接続情報Ａ」の接続情報が設定され、通信先Ａとマルウェアとの通信が許可され、通信先Ｂとマルウェアとの通信が許可され、通信先Ｃとマルウェアとの通信が許可されていたことを表す。また、１回目のマルウェアの実行によって、マルウェアから通信先Ａへの通信試行が行われ、マルウェアから通信先Ｂへの通信試行が行われ、マルウェアから通信先Ｃへの通信試行が行われ、外部ネットワークから検知部３０へ接続情報を用いた接続要求が行われたことを示す。例えば、この手順１のマルウェア実行は第１の実施形態で不正プログラムを解析したときの様子を示している。また、図４の２つ目のレコードには、解析結果として、手順「手順２」、接続情報ＩＤ「接続情報Ｂ」、通信先Ａ「○／○」、通信先Ｂ「−／○」、通信先Ｃ「−／○」及び検知部に対する接続要求「なし」が対応付けられている。これは、２回目のマルウェアの実行では、接続情報ＩＤ「接続情報Ｂ」の接続情報が設定され、通信先Ａとマルウェアとの通信が許可され、通信先Ｂとマルウェアとの通信が禁止され、通信先Ｃとマルウェアとの通信が禁止されていたことを表す。また、２回目のマルウェアの実行によって、マルウェアから通信先Ａへの通信試行が行われ、マルウェアから通信先Ｂへの通信試行が行われ、マルウェアから通信先Ｃへの通信試行が行われ、外部ネットワークから検知部３０へ接続情報を用いた接続要求が行われなかったことを示す。また、他のレコードについても同様に、解析結果が示されている。

図４の手順１では、通信先Ａ〜Ｃのそれぞれとマルウェアとの通信が許可されている。このとき、いずれの通信先に対してもマルウェアからの通信試行が行われ、さらに、外部ネットワークから検知部３０へ接続情報を用いた接続要求も行われている。この結果から、通信先Ａ〜Ｃのうち、少なくとも１つ以上の通信先が悪性であると確認される。

図４の手順２では、通信先Ａとマルウェアとの通信のみが許可されている。このとき、通信先Ａに対してマルウェアからの通信試行が行われているものの、外部ネットワークから検知部３０へ接続情報を用いた接続要求が行われていない。この結果から、通信先Ａは、悪性な通信先とは判定されない。しかしながら、通信先Ａとの通信が他の通信先への通信を惹起することにより、接続情報を漏洩させる可能性がある。このため、この時点では通信先Ａが悪性な通信先ではないとは判定できない。

図４の手順３では、通信先Ｂとマルウェアとの通信のみが許可されている。このとき、通信先Ｂに対してマルウェアからの通信試行が行われておらず、外部ネットワークから検知部３０へ接続情報を用いた接続要求も行われていない。この結果から、通信先Ｂは、悪性な通信先とは判定されない。しかしながら、通信先Ｂは、他の通信先とマルウェアとの通信が行われることにより、マルウェアから接続情報を取得する可能性があるため、この時点では通信先Ｂが悪性な通信先ではないとは判定できない。

図４の手順４では、通信先Ｃとマルウェアとの通信のみが許可されている。このとき、通信先Ｃに対してマルウェアからの通信試行が行われ、さらに、外部ネットワークから検知部３０へ接続情報を用いた接続要求が行われている。この結果から、通信先Ｃは、悪性な通信先であると判定される。

図４の手順５では、通信先Ａとマルウェアとの通信、及び、通信先Ｂとマルウェアの通信が許可されている。このとき、通信先Ａに対しても通信先Ｂに対してもマルウェアからの通信試行が行われており、外部ネットワークから検知部３０へ接続情報を用いた接続要求も行われている。ここで、手順３では、通信先Ｂへの通信試行が行われていなかったにも拘わらず、手順２では、通信先Ｂへの通信試行が行われている。手順２は通信先Ａへの通信が許可されているので、通信先Ｂとの通信は、通信先Ａとの通信によって惹起されるものと判定される。手順５の結果から、通信先Ｂとの通信が行われると、外部ネットワークから検知部３０へ接続情報を用いた接続要求が行われるものと判定されるため、通信先Ｂは、悪性な通信先であると判定される。

以上の解析結果によれば、不正プログラム実行システム１の利用者は、例えば、通信先Ｂ及び通信先Ｃを、悪性な通信先の情報としてブラックリストに登録する。なお、通信先Ａがブラックリストに登録されないのは、通信先Ａが悪性ではない一般の通信先である可能性を拭えないからである。例えば、一般の通信先との通信を契機として悪性な通信先に情報を漏洩させるマルウェアであれば、通信先Ａは一般の通信先である可能性がある。しかし、例えば、マルウェアから通信先Ａへ送信される送信データに接続情報が含まれていることが確認された場合、あるいは、マルウェアによる漏洩の脅威を確実に低減させる場合には、通信先Ａは、ブラックリストに登録されても良い。

上述してきたように、第２の実施形態に係る不正プログラム実行システム１は、複数の通信先を特定した場合に、不正プログラムからの通信を許可する一部の通信先を変更しながら、変更する毎に異なる接続情報を用いて、不正プログラムを実行する。そして、不正プログラム実行システム１は、不正プログラムを実行する毎に、当該不正プログラムから各通信先への通信の試行の有無を記録する。そして、不正プログラム実行システム１は、不正プログラムを実行する毎に、端末への外部ネットワークからの通信であって、接続情報を用いて行われる通信を検知する。そして、不正プログラム実行システム１は、記録した実行毎の試行結果と、検知した検知結果とを取得する。このため、第２の実施形態に係る不正プログラム実行システム１は、第１の実施形態において特定した複数の通信先に対して悪性か否かを正確に判定することができる。

また、例えば、第２の実施形態に係る不正プログラム実行システム１は、特定した複数の通信先のうち、不正プログラムからの通信を単独で許可することにより、接続情報を用いた通信が検知される通信先を、特定した複数の通信先から除いた通信先について、不正プログラムからの通信を許可する一部の通信先を変更しながら、変更する毎に異なる接続情報を用いて、当該不正プログラムを実行する。このため、不正プログラム実行システム１は、複数の通信先に対して悪性か否かを効率良く判定することができる。

これまでいくつかの実施形態を説明したが、本願が開示する技術はこれらの実施形態に限定されるものではない。すなわち、これらの実施形態は、その他の様々な形態で実施されることが可能であり、種々の省略、置き換え、変更を行うことができる。

例えば、上記の実施形態では、一つのマルウェアについて解析する場合を説明したが、実施形態はこれに限定されるものではない。すなわち、複数のマルウェアについての解析を並列実行することもできる。この場合、例えば、不正プログラム実行システム１は、解析対象となる複数のマルウェアごとに、各マルウェアを実行するマルウェア実行部２１を有する。そして、不正プログラム実行システム１は、マルウェア毎に接続情報を生成し、生成した接続情報を各マルウェアが実行されるマルウェア実行部２１に設定する。そして、不正プログラム実行システム１は、各マルウェア実行部２１においてマルウェアを実行することにより、複数のマルウェアについての解析を並列実行する。

例えば、各装置の分散・統合の具体的形態（例えば、図１の形態）は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的又は物理的に分散・統合することができる。一例を挙げると、検知部３０と、特定部４０とを一つの処理部として統合してもよく、一方、接続情報管理部１０を、接続情報を生成する処理部と、接続情報とマルウェア識別情報とを対応付けて記憶する記憶部とに分散してもよい。

また、例えば、上記の実施形態では、不正プログラム実行システム１が有する接続情報管理部１０、動的解析部２０、検知部３０及び特定部４０は、独立して動作する装置として説明したが、開示の実施形態はこれに限定されるものではない。例えば、動的解析部２０、検知部３０及び特定部４０が一つのコンピュータ内で動作しても良い。この場合、例えば、マルウェア実行部２１、外部通信記録部２２、検知部３０及び特定部４０は、コンピュータ内で機能するＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの集積回路、又は、ＣＰＵ（Central Processing Unit）等の電子回路によって実現される。

また、実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともできる。例えば、図２における生成情報を生成する処理は手動で行ってもよい。或いは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。例えば、図２において特定した通信先をブラックリストに登録する操作を、自動で行ってもよい。

上記の実施形態において説明した処理手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に更新することができる。例えば、接続情報管理部１０が記憶する接続情報とマルウェア識別情報との対応を、予め特定部４０に記憶させることが可能である。

これらの実施形態やその変形は、本願が開示する技術に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

［プログラム］
図５は、開示の実施形態に係る不正プログラム実行プログラムによる情報処理がコンピュータを用いて具体的に実現されることを示す図である。図５に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。

メモリ１０１０は、図５に例示するように、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図５に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図５に例示するように、ディスクドライブ１０４１に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブに挿入される。シリアルポートインタフェース１０５０は、図５に例示するように、例えばマウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図５に例示するように、例えばディスプレイ１０６１に接続される。

ここで、図５に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、開示の実施形態に係る不正プログラム実行プログラムは、コンピュータによって実行される指令が記述されたプログラムモジュールとして、例えばハードディスクドライブ１０３１に記憶される。具体的には、上記実施例で説明したマルウェア実行部２１と同様の情報処理を実行する実行手順と、外部通信記録部２２と同様の情報処理を実行する記録手順と、検知部３０と同様の情報処理を実行する検知手順と、特定部４０と同様の情報処理を実行する特定手順とが記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。また、上記実施例で説明した記憶部１１０に記憶されるデータのように、不正プログラム実行プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えばハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、実行手順、記録手順、検知手順、特定手順を実行する。

なお、不正プログラム実行プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、非通常通信検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１ 不正プログラム実行システム
２０ 動的解析部
２１ マルウェア実行部
２２ 外部通信記録部
３０ 検知部
４０ 特定部

Claims (8)

1. 端末への接続に用いられる接続情報が予め設定された環境の下、不正プログラムを実行する実行部と、
   前記不正プログラムの実行による通信の通信先を記録する記録部と、
   前記端末への通信であって、前記接続情報を用いて行われる通信を検知する検知部と、
   前記記録部によって記録された通信先の中から、前記検知部で検知された通信の接続情報が設定された環境の下で実行された不正プログラムの通信先を特定する特定部と
   を有することを特徴とする不正プログラム実行システム。
2. 前記実行部は、前記特定部によって複数の通信先が特定された場合に、更に、前記不正プログラムからの通信を許可する一部の通信先を変更しながら、変更する毎に異なる接続情報を用いて、当該不正プログラムを実行し、
   前記記録部は、更に、前記実行部によって前記不正プログラムが実行される毎に、当該不正プログラムから各通信先への通信の試行の有無を記録し、
   前記検知部は、更に、前記実行部によって前記不正プログラムが実行される毎に、前記端末への通信であって、前記接続情報を用いて行われる通信を検知し、
   前記特定部は、更に、前記記録部によって記録された実行毎の試行結果と、前記検知部によって検知された検知結果とを取得することを特徴とする請求項１に記載の不正プログラム実行システム。
3. 前記実行部は、前記特定部によって特定された複数の通信先のうち、前記不正プログラムからの通信を単独で許可することにより、前記検知部において前記接続情報を用いた通信が検知される通信先を、前記特定部によって特定された複数の通信先から除いた通信先について、前記不正プログラムからの通信を許可する一部の通信先を変更しながら、変更する毎に異なる接続情報を用いて、当該不正プログラムを実行することを特徴とする請求項２に記載の不正プログラム実行システム。
4. 前記実行部は、前記不正プログラムが実行される間に、前記端末へ前記接続情報を用いた通信を行うことを特徴とする請求項１〜３のいずれか一つに記載の不正プログラム実行システム。
5. 前記特定部は、前記検知部において検知された接続要求の回数が閾値以下となる通信先を特定することを特徴とする請求項１〜４のいずれか一つに記載の不正プログラム実行システム。
6. 前記特定部は、前記不正プログラムから送信される送信データのデータ量が閾値以上となる通信先を特定することを特徴とする請求項１〜５のいずれか一つに記載の不正プログラム実行システム。
7. コンピュータで実行される不正プログラム実行方法であって、
   前記コンピュータは、
   端末への接続に用いられる接続情報が予め設定された環境の下、不正プログラムを実行する実行工程と、
   前記不正プログラムの実行による通信の通信先を記録する記録工程と、
   前記端末への通信であって、前記接続情報を用いて行われる通信を検知する検知工程と、
   前記記録工程によって記録された通信先の中から、前記検知工程で検知された通信の接続情報が設定された環境の下で実行された不正プログラムの通信先を特定する特定工程と
   を含んだことを特徴とする不正プログラム実行方法。
8. 端末への接続に用いられる接続情報が予め設定された環境の下、不正プログラムを実行する実行手順と、
   前記不正プログラムの実行による通信の通信先を記録する記録手順と、
   前記端末への通信であって、前記接続情報を用いて行われる通信を検知する検知手順と、
   前記記録手順によって記録された通信先の中から、前記検知手順で検知された通信の接続情報が設定された環境の下で実行された不正プログラムの通信先を特定する特定手順と
   をコンピュータに実行させることを特徴とする不正プログラム実行プログラム。

Images