【コラム】ITセキュリティのアライ出し (40) 世界のカンファレンスの景色から - RECON その2 | エンタープライズ | マイコミジャーナル（情報元のブックマーク数）

アライ出しのRECON続編。マルウエア解析は実際の動かしてみて動作を見たりすることもあるけど、難しい動きもある

実のところ、一般的な感覚からして苦痛この上ない「アセンブラの黙読」などしなくてもマルウェア解析を行うことは実際のところ可能である(ただ、アセンブラを読むことが大好き、という人もたまにいるが…)。それは動的解析(「ブラックボックス解析」などと呼ばれることもある)という、マルウェア検体を実際にSandbox環境で実行し、動作を記録してその内容をレビューすることで実現する。とはいえ、次のような感染動作を見出すことは動的解析だけでは難しい。
1. 特定の日時で発生するDDoS攻撃
2. 特定のアルゴリズムで生成されるURLを明らかにすること
3. 感染PCで利用者が特定のWebサイトにアクセスした場合のみに発生する感染動作

http://journal.mycom.co.jp/column/itsecurity/040/index.html

分からないからPackerの技術の習得がマルウエア解析には必須ってことか。

前書きが非常に長くなったが、このようにマルウェア解析を効率的に行う上で障壁となっているのがPackerである。そして、筆者の参加したトレーニングは、まさにこのPackerの自動Unpackに関するものであったのだ。

http://journal.mycom.co.jp/column/itsecurity/040/index.html