1. From: Hacker Japan 11. 2012
http://www.byakuya-shobo.co.jp/hj/
ようこそヒューリスティックの世
界へ
第2回 文書解析
愛甲健二
twitter: 07c00
http://ruffnex.oc.to/kenji/
http://07c00.com/

2. ポルノサイトの特徴
無修正 動画 画像 経験 アダルト 女の
子
かわいい 優良 無料 早く 利用 紹介
2

3. 特徴抽出
Porno tube movies featuring teen porn
videos, amateur porn and private homemade
movies, mature sex clips. Free full length XXX
videos and wild hardcore from all over the world.
porn
amateur Porno
XXX
world wild
hardcore
homemade ポルノ集合
3

4. 各分野で
使われる比率の高い
単語集合を比較
ポルノ 5%
文章A ?%
10% ??%
30% ??%
15% ??%
20% 20% ??% ??%
4

5. 単純ベイズ
ベイズの定理
条件付き独立とみなし以下のように単純化
5

6. 単純ベイズ
6

7. 学習＆検知フロー
1. 任意のポルノサイトから文章を取得
2. 自然言語処理により単語（名詞）を収集
3. ポルノ集合を作成
4. 単純ベイズにより集合を学習
5. 学習（検知）データを使い任意のWebサ
イトの”エロ度”を検知
---- ---- ポルノ N
---- ----
---- ----
---- ---- ----
----
---- H
7

8. ポルノ集合？
動画 366, 日 241, アダルト 166, 月 147, 配信
90, 無料 90, 追加 90, エロ 87, サイト 83, 過去
81, 履歴 81, 再生 77, 時間 77, 女優 65, 名
52, 修正 51, 人 50, 女 44, 中 42, 不明 38, 回
From:
34, 画像 33, ブログ 31, TIME 30, 紹介 29, 管理
27, 熟 27, CM 27, アニメ 26, これ 25, 人気
25, 作品 24, ギャル 23, 女性 23, 女の子
23, 2011 22, 人妻 22, 的 22, オナニー 21, 激
20, 素人 20, 方 20, 公開 19, 指定 19, 気 18, 投
稿 18, 検索 18, 僕 17, SEX 17, 何 16, 巨乳 16, 彼
女 16, おっぱい 15, 盗 15, 顔 15
8

9. Demo
http://www.youtube.com/watch?v=QazcCS4D578
9

10. 頻出命令
ASM命令の頻出度を用いたマルウェア検知
Normal Normal Malware
1. mov mov int3 cmp 1. mov
2. push push call 2. add
3. add je add pop 3. push
4. call Malware 4. call
5. int3 5. nop
mov nop xor
6. pop 6. sub
push call
7. cmp jne 7. xor
add sub
8. je 8. jne
10

11. 順位差ランキング
もっとも特徴の出るASM命令を選別
Normal Malware 順位差
1. mov 1. mov 1. ???
2. push 2. add 2. ???
3.
4.
5.
add
call
int3
- 3.
4.
5.
push
call
nop
= 3.
4.
5.
???
???
???
6. pop 6. sub 6. ???
7. cmp 7. xor 7. ???
8. je 8. jne 8. ???
11

12. 学習＆検知フロー
1. 任意のマルウェアを取得
2. 逆アセンブルし、ASM命令を収集
3. 順位差ランキングから集合を作成
4. 単純ベイズにより集合を学習
5. 学習（検知）データを使い任意の実行
ファイルの”マルウェア度”を検知
---- ----
N
---- ----
----
PE ----
ASM M
12

13. Result
-----
00001.bin Malware Malware OK
...
01708.bin Malware Normal ERR
01709.bin Malware Normal ERR
01710.bin Normal Normal OK
01711.bin Malware Malware OK
01712.bin Malware Normal ERR
01713.bin Normal Normal OK
01714.bin Normal Normal OK
01715.bin Malware Malware OK
01716.bin Normal Normal OK
01717.bin Malware Malware OK
01718.bin Normal Normal OK
01719.bin Malware Malware OK
...
10000.bin Malware Malware OK
検知率：0.6966
----- 13

14. Thank you!
Enjoy hacking
14