Pack-A-Mal: A Malware Analysis Framework for Open-Source Packages

オープンソースソフトウェアの世界を、誰でも屋台を出してデジタル商品を販売できる、巨大で賑やかな市場だと想像してみてください。ほとんどの商人は正直ですが、中には群衆の中に毒入りのリンゴを紛れ込ませようとする卑怯な泥棒もいます。これらの「毒入りリンゴ」とは、あなたのコンピュータに危害を加えるように設計された悪意のあるソフトウェアパッケージのことです。

この論文では、この市場における新しい警備員であるPack-A-Malを紹介しています。以下では、簡単な例えを用いてその仕組みを説明します。

旧来の警備員の問題点（静的解析）
以前、警備員は「静的解析」という手法を用いていました。これは、密閉されたスーツケースの外側から検査するようなものです。彼らは形や重さ、ラベルを見て、中に何が入っているかを推測します。Malcontentのようなツールはこの手法において非常に優れていますが、大きな欠陥があります。もし泥棒が、爆弾を何層ものプチプチ（緩衝材）で包み、ラベルを偽装した場合（これは難読化と呼ばれるテクニックです）、警備員はその危険を見抜くことができません。警備員が確信を持てないため、無害なものに対しても「危険だ！」と叫んでしまい、多くの誤報（誤検知）を引き起こしてしまいます。

新しいアプローチ（動的解析）
論文では、パッケージが本当に危険かどうかを知るためには、棚に並んでいる時の見た目ではなく、実際に動作している時に「何をするか」を見る必要があると主張しています。これが動的解析です。これは、スーツケースを開け、中のものがどのように動くかを観察するようなものです。もし「毒入りリンゴ」があなたの財布を盗もうとしたり、秘密の電話番号に電話をかけようとしたりしたら、犯行の最中に捕まえることができます。

解決策：Pack-A-Mal
研究者たちは、既存のツール（package-analysisと呼ばれます）を取り上げ、それをPack-A-Malへとアップグレードしました。この新しいツールは、ハイテクで透明なプレイグラウンド（遊び場）のように機能します。

1. サンドボックス (gViser): 危険なソフトウェアをコンピュータに害を与えることなく監視するために、Pack-A-Malは、ソフトウェアを「コンテナ・サンドボックス」と呼ばれる特別な、壊れないガラスの檻（具体的にはgVisorという技術を使用）の中に閉じ込めます。これは、野生動物を強化ガラスの動物園の展示ケースに入れるようなものです。動物が動き回ったり跳ねたりする様子を観察することはできますが、決して脱出してあなたを噛むことはできません。
2. ウォッチリスト: この檻の中で、Pack-A-Malは特に以下の3つの事柄を注意深く監視しています。
   • ソフトウェアが叫ぼうとするコマンド。
   • ソフトウェアが触れようとしたり開こうとしたりするファイル。
   • ソフトウェアが試みるネットワーク接続（例えば、ハッカーの電話にかけようとすることなど）。

結果
この「ガラスの檻」の手法を用いることで、Pack-A-Malは従来の「スーツケース検査官」が見逃した巧妙な泥棒を、コンピュータをクラッシュさせたり感染させたりすることなく捕らえることができます。これは、少し多くのコンピュータ・パワー（ショーを観察するには労力が必要なため）を消費する代わりに、ソフトウェアが実際に何をしているのかについて、より明確で正確な姿を描き出します。