2026年8月4日・5日に中国・広東科学技術大学で開催された国際会議 The 21st Asia Joint Conference on Information Security（AsiaJCIS 2026） において、香川大学大学院の蓮井宏規さんが Best Paper Award を受賞しました。

AsiaJCISは、日本・台湾・韓国・中国の情報セキュリティ研究者が持ち回りで開催してきた国際会議です。Best Paper Awardは、会議で発表された論文のなかから特に優れたものに贈られます。

受賞者

香川大学大学院 創発科学研究科 博士前期課程1年　蓮井 宏規（橋本正樹研究室）

受賞論文

LLM-assisted Generation of Pseudo-C2 Servers for IoT Malware Dynamic Analysis

蓮井 宏規（香川大学大学院）、松ヶ谷 新吾（香川大学大学院／トレンドマイクロ株式会社／日本サイバー犯罪対策センター）、島村 誠（トレンドマイクロ株式会社）、橋本 正樹（香川大学大学院）

掲載：EPiC Series in Computing, Proceedings of AsiaJCIS 2026

研究の内容

家庭用ルータや監視カメラなどのIoT機器を狙うマルウェアの多くは、攻撃者が用意した指令サーバ（C2サーバ）から命令を受け取って動きます。ところが、このC2サーバは短期間で閉鎖されてしまうことが多く、解析時にはすでに応答しません。マルウェアは命令を受け取れないまま何もせずに待機するため、実際にどんな攻撃をするのかを観察できない——これが動的解析の大きな壁になっていました。

従来は、解析者が一つひとつのマルウェアをリバースエンジニアリングして、C2サーバの「偽物」を手作業でつくっていました。高度な技術と時間を要するため、日々増え続ける検体には追いつきません。

本研究は、リバースエンジニアリングツール「Ghidra」と大規模言語モデル（LLM）を組み合わせ、この作業を自動化する仕組みを提案しました。マルウェアの実行ファイルを入力すると、通信仕様（接続先、認証用のバイト列、パケットの構造、攻撃命令の対応表など）をLLMが読み解いて文書化し、その仕様に基づいて疑似C2サーバのプログラムを自動生成します。

代表的なIoTマルウェア「Mirai」を対象とした実験では、通信プロトコルの中核となる20項目すべてを公開ソースコードと一致する形で抽出し、生成された疑似C2サーバから10種類のDDoS攻撃のうち7種類を、本物のC2サーバと同じ挙動で再現できました。さらに、公開ソースコードを意図的に改変した亜種でも仕様抽出から攻撃再現までを一貫して成功させており、LLMが事前知識に頼らずバイナリの構造そのものから仕様を推論していることを確認しています。

高度なリバースエンジニアリングの技能がなくても動的解析環境を構築できるようにする——LLMの用途を「解析の補助」から「解析環境そのものの自動構築」へと広げた点が評価されました。

関連リンク

• The 21st Asia Joint Conference on Information Security (AsiaJCIS 2026)（https://asiajcis2026.gdust.edu.cn/index.html）