3-1.関数の呼び出し関係の解析

リスト3-1-1のプログラムの場合、プログラムの先頭からAPIを抽出したならば、ApiA、ApiB、ApiCとなる。しかしリスト3-1-1のプログラムをリスト3-1-2のプログラムのように改変すると、ApiB、ApiC、ApiAとなる。

リスト3-1-1
void
function_0 (void)
{
  ApiA ();
}

int
main (int   argc,
      char *argv[])
{
  ApiB ();
  function_0 ();
  ApiC ();
  return 0;
}

リスト3-1-2
int
main (int   argc,
      char *argv[])
{
  ApiB ();
  function_0 ();
  ApiC ();
  return 0;
}

void
function_0 (void)
{
  ApiA ();
}

関数の配置はコンパイラやリンカに依存することであり、関数の配置によって結果が変わってしまうようではコードの変化に対して弱い。ゆえにプログラムの流れに沿ってプログラムからAPI呼び出しを抽出する必要がある。上記の例でプログラムの流れに沿ってAPI呼び出しを抽出するとApiB、ApiA、ApiCとなる。

3-1-1.関数の呼び出し関係の可視化

プログラムの関数の呼び出しの関係を可視化するスクリプトgraph.plを作成した。graph.plはIDA Proの出力結果からGraphvizのデータを作る。リスト3-1-1-1のプログラムはグラフ3-1-1-1のようになる。

リスト3-1-1-1
void
function_0 (void)
{
}

void
function_1 (void)
{
}

int
main (int   argc,
      char *argv[])
{
  function_0 ();
  function_1 ();
  return 0;
}

グラフ3-1-1-1
digraph "g" {
  "main" -> "function_0";
  "main" -> "function_1";
}

再帰的に関数が呼び出される場合には2度目の呼び出しは無視する。リスト3-1-1-2のプログラムはグラフ3-1-1-2のようになる。

リスト3-1-1-2
void
function_0 (void)
{
  ApiA ();
  function_1 ();
  ApiB ();
}

void
function_1 (void)
{
  ApiC ();
  function_0 ();
  ApiD ();
}

int
main (int   argc,
      char *argv[])
{
  ApiE ();
  function_0 ();
  ApiF ();
  function_1 ();
  ApiG ();
  return 0;
}

グラフ3-1-1-2
digraph "g" {
  "main" -> "function_0";
  "main" -> "function_1";
  "function_0" -> "function_1";
  "function_1" -> "function_0";
}

W32/Bagleの亜種とW32/Korgoの亜種、W32/Mydoomの亜種、W32/Netskyの亜種、Text maidの各バージョン、ネットワーク関連のプログラムについてgraph.plを用いてグラフを作った。私がW32/Korgo.Aを解析して同様の図を書いた場合にはグラフ3-1-1-3のようになる。graph.plの出力は私の解析に近い結果になっている。

グラフ3-1-1-3

3-1-2.関数の呼び出し関係に沿ったAPI抽出

関数の呼び出し関係の解析を応用してAPIの抽出を行う。リスト3-1-1のプログラムはプログラムの流れに沿ってAPI呼び出しを抽出するとApiB、ApiA、ApiCとなる。再帰的に関数が呼び出される場合には2度目の呼び出しは無視する。リスト3-1-1-2のプログラムではApiE、ApiA、ApiC、ApiD、ApiB、ApiF、ApiC、ApiA、ApiB、ApiD、ApiGとなる。mainでfunction_0で一度呼ばれたことがあるfunction_1が呼び出されるがこの段階では再帰的な2度目の呼び出しではないのでfunction_1も解析する。その後のfunction_1の中のfunction_0も同様である。このようにして関数の呼び出しに沿ってAPIを抽出することでプログラムから1つの配列を作ることができる。

APIの抽出する際、関数の内部でのプログラムの流れは無視する。リスト3-1-2-1のプログラムはifやfor、whileなどの制御文により実行時のAPIの呼び出しは異なる。しかしAPIの抽出では関数の内部でのプログラムの流れは無視されるので、関数の呼び出しに沿ってAPIを抽出した結果はリスト3-1-1のプログラムと同じ結果になる。

リスト3-1-2-1
void
function_0 (void)
{
  ApiA ();
}

int
main (int   argc,
      char *argv[])
{
  int i;

  for (i = 0; i < 10; i++)
    ApiB ();
  if (a == 0)
    function_0 ();
  while (1)
    ApiC ();
  return 0;
}

関数の呼び出しに沿ってAPIを抽出するスクリプトparser.plを作成した。parser.plはIDA Proの出力結果からテキストデータを作る。これは各行がAPIを呼び出している関数、アドレス、APIの名前になっている。parser.plはallow.txtを読み込む。このファイルは抽出するAPIの一覧である。mkallow.plは複数のDLLからallow.txtを作る。mkallow.plはMicrosoftの開発環境に含まれるdumpbin.exeを必要とする。W32/Bagleの各亜種とW32/Korgoの各亜種、W32/Mydoomの各亜種、W32/Netskyの各亜種、Text maidの各バージョン、ネットワーク関連プログラムについてparser.plを用いてAPIリストを作った。

3-1-3.API抽出の比較

上記のAPIのリストを1つの配列とみなし、多重配列アライメントを行う。align.cはダイナミックプログラミングアルゴリズムを用いてペアワイズ配列アライメント[9] [10]を行うC言語のプログラムである。このプログラムは結果をテキスト形式で出力する。

msaconv.cはalign.cの出力を変換するC言語のプログラムである。PNG形式の画像、HTML形式のテーブル、Graphvizのdotファイルに変換する。図3-1-3-1はW32/Bagleの各亜種、図3-1-3-2はW32/Korgoの各亜種、図3-1-3-3はW32/Mydoomの各亜種、図3-1-3-4はW32/Netskyの各亜種、図3-1-3-5はText maidの各バージョンの多重配列アライメントである。Text maidはコンピュータウイルスではないが各バージョンを亜種とみなし解析を行った。

図3-1-3-1 W32/Bagleの各亜種間の多重配列アライメント

図3-1-3-2 W32/Korgoの各亜種間の多重配列アライメント

図3-1-3-3 W32/Mydoomの各亜種間の多重配列アライメント

図3-1-3-4 W32/Netskyの各亜種間の多重配列アライメント

図3-1-3-5 Text maidの各バージョンの多重配列アライメント

表3-1-3-1はW32/Bagleの各亜種、表3-1-3-2はW32/Korgoの各亜種、表3-1-3-3はW32/Mydoomの各亜種、表3-1-3-4はW32/Netskyの各亜種、表3-1-3-5はText maidの各バージョンの距離である。表3-1-3-6は各亜種とネットワーク関連のプログラムとの距離である。ネットワーク関連のプログラムはコンピュータウイルスではないが、コンピュータウイルスと似ていると思われるので比較を行うことで誤認が生じないか確かめた。

2つの配列の距離は完全に一致するときには0となり、まったく一致しないときには10000になる。なお、完全に一致する場合には項目を1つにまとめるため出力結果で距離は0にならない。