3-3.API推移の解析

3-3-1.API推移の可視化

これまでAPI抽出や制御フロー解析の結果を比較してきた。関数の呼び出し関係に沿ってAPI呼び出しを抽出したのは、APIの呼び出しの順序に一定の法則があるのではないかという仮定に基づいている。一方、制御フロー解析ではプログラムの流れのみに注目してAPI呼び出しに関しては無視した。しかし制御フロー解析の結果として得られるグラフは大きいため扱いづらい。そこで両者の考え方を融合し使われるAPI呼び出しの推移をグラフにする。グラフはあるAPIが呼び出されたときに次に呼び出されるAPIを示す有向グラフが得られる。

具体的には制御フロー解析の結果を利用してAPI呼び出しを行わないノードをAPI呼び出しを行うノードに融合する。ラベルなしのノードを廃してラベルを持つノードのみにする。例えばグラフ3-3-1-1の場合にはノードb、d、gは消滅する。ノードaからはノードc(a→b→c)とノードe(a→b→d→e)へ、ノードeからはノードe自身(e→d→e)とノードg(e→g)へ、ノードfからはノードe(f→d→e)とノードg(f→g)へエッジが作られる。さらにノードaとノードfは同一のAPIを呼び出しているので統合される。結果、グラフ3-3-1-2のようになる。

グラフ3-3-1-1
digraph "g" {
  "a" -> "b";
  "b" -> "c";
  "b" -> "d";
  "d" -> "e";
  "e" -> "d";
  "e" -> "g";
  "f" -> "d";
  "f" -> "g";
  "a" [label = "a\nApiA"];
  "c" [label = "c\nApiB"];
  "e" [label = "e\nApiC"];
  "f" [label = "f\nApiA"];
  "g" [label = "g\nApiD"];
}

グラフ3-3-1-2
digraph "g" {
  "ApiA" -> "ApiB";
  "ApiA" -> "ApiC";
  "ApiA" -> "ApiD";
  "ApiC" -> "ApiC";
  "ApiC" -> "ApiD";
}

ctlflw.plの出力を読み込んでAPI推移のグラフを作るapiflw.plを作った。W32/Bagleの亜種とW32/Korgoの亜種、W32/Mydoomの亜種、W32/Netskyの亜種、Text maidの各バージョン、ネットワーク関連のプログラムについてapiflw.plを用いてグラフを作った。

3-3-2.API推移の共通構造の発見

API推移の共通構造の発見するためにafcomp.plを作った。これは複数のafcomp.plの出力結果から共通するエッジで構成されるグラフを作成する機能がある。有向グラフを比較して共通構造を発見することは困難だが、API推移の場合にはラベルが同じノードが対応していることが明らかなのでその計算は容易である。

グラフ3-3-2-1はW32/BagleのAPI推移の共通構造、グラフ3-3-2-2はW32/KorgoのAPI推移の共通構造、グラフ3-3-2-3はW32/MydoomのAPI推移の共通構造、グラフ3-3-2-4はW32/NetskyのAPI推移の共通構造、グラフ3-3-2-5はText maidのAPI推移の共通構造である。ネットワーク関連のプログラムにはすべてに共通するAPI推移は存在しない。Text maidはコンピュータウイルスではないが各バージョンを亜種とみなしAPI推移の共通構造を求めた。

グラフ3-3-2-1 W32/BagleのAPI推移の共通構造

グラフ3-3-2-2 W32/KorgoのAPI推移の共通構造

グラフ3-32-3 W32/MydoomのAPI推移の共通構造

グラフ3-3-2-4 W32/NetskyのAPI推移の共通構造

グラフ3-3-2-5 Text maidのAPI推移の共通構造

なお、これらすべてに共通するAPI推移はない。またW32/Bagleの共通構造は少ないがこれはW32/Bagle.C(およびW32/Bagle.D、W32/Bagle.X)が他の亜種に比べて大きく異なるためである。W32/Bagle.Cを除くW32/Bagleの共通構造はグラフ3-3-2-6のようになる。

グラフ3-3-2-6 W32/Bagle(W32/Bagle.Cを除く)のAPI推移の共通構造

同様にW32/MydoomもW32/Mydoom.A、W32/Mydoom.B、W32/Mydoom.S、W32/Mydoom.AGを除くと共通するAPI推移はかなり多くなる。W32/Bagle.Cを除くW32/BagleとW32/Mydoom.A、W32/Mydoom.B、W32/Mydoom.S、W32/Mydoom.AGを除くW32/Mydoomの共通構造はグラフ3-3-2-7のようになる。

グラフ3-3-2-7 一部を除くW32/BagleとW32/MydoomのAPI推移の共通構造

グラフ3-3-2-7を見るとWindowsプログラムとしては定石とも言えるAPIの推移が共通構造となっている。コンピュータウイルスとしての特徴を示しているとは思えない。

3-3-3.API推移の比較

共通するエッジの割合を求めることでAPI推移を比べることを考える。共通するエッジが多いほど検体は似ていると言える。例えばグラフ3-3-1-2とグラフ3-3-3-1に共通するエッジはグラフ3-3-3-2になる。

グラフ3-3-3-1
digraph "g" {
  "ApiA" -> "ApiC";
  "ApiA" -> "ApiE";
  "ApiC" -> "ApiA";
  "ApiC" -> "ApiD";
}

グラフ3-3-3-2
digraph "g" {
  "ApiA" -> "ApiC";
  "ApiC" -> "ApiD";
}

API推移を比較するためにafcomp.plに複数のapiflw.plの出力結果からmsaconv.cが読み込み可能なデータを作る機能を加えた。表3-3-3-1はW32/Bagleの各亜種、表3-3-3-2はW32/Korgoの各亜種、表3-3-3-3はW32/Mydoomの各亜種、表3-3-3-4はW32/Netskyの各亜種、表3-3-3-5はText maidの各バージョンについてapiflw.plとmsaconv.cを用いて作成した表である。Text maidはコンピュータウイルスではないが各バージョンを亜種とみなし比較を行った。また表3-3-3-6は誤認が生じないか確かめるために各亜種とネットワーク関連のプログラムの比較を行った表である。

2つのAPI推移は完全に一致するときには0となり、まったく一致しないときには10000になる。なお、完全に一致する場合には項目を1つにまとめるため出力結果で距離は0にならない。