

マルウェア解析のためのサンドボックスの実現手法としては，Xenなどのハードウェア仮想化技術やQEMUなどのエミュレーション技術が知られています．  

マルウェアの多くはこうしたサンドボックスを検出しようとする（evasive
malware）ため，マルウェアから検出されにくいtransparentなサンドボックスが望まれています． しかし，`RDTSC`やICMP
timestampをはじめとするtiming attackの存在から，これは不可能であると言われています．  

では，ハードウェア仮想化技術と，エミュレーション技術のどちらがtransparentなサンドボックスに近いのでしょうか．  

Christopher Kruegel氏はtransparencyの観点から，Intel
VTなどのハードウェア仮想化技術によるサンドボックスを[批判しました](https://www.blackhat.com/us-14/archives.html#full-
system-emulation-achieving-successful-automated-dynamic-analysis-of-evasive-
malware)．
氏が手がけるLastlineはエミュレーション（QEMU）によるサンドボックスですが，transparencyを問題とするならQEMUも同様です（これは，氏のポジショントークであるように思えます）．  

そもそも，VMware製品やOpenStackが広く利用されている昨今において，プログラムが仮想マシン上で動作しているからといって，それがマルウェア解析環境であると決めつけるのは早計です．  

そこで，in-the-wildなマルウェアが仮想化技術やエミュレーション技術を解析環境検出の手段とする割合について書かれた文献を探しています．  
「データセットのうち，Ether(Xen)を検出する検体は何%,
TEMU(QEMU)を検出する検体は何%で，このうち何%には解析環境を検出するためのライブラリが用いられていた」「何々という検体はバックドアポートからVMware
Playerを検出するが，これだけでは解析環境であると判断せず，IsDebuggerPresentと併用する」といった内容だと嬉しいです．


CC BY-SA 3.0
2014-12-19T08:02:23.410
2118
2017-09-15T17:12:00.907
2014-12-20T07:43:12.957
5224
5224
question
security
マルウェアが検出を試みるサンドボックスの比率について載っている文献を探しています