難読化（ソフトウェア）

以下は、ソースコードの難読化の簡単な例です。どちらのプログラムも同じ出力を生成しますが、2番目のバージョンは意図的に理解しにくくなっています。

クリアコード:

#include <stdio.h>int main ( void ) { int x = 5 ; int y = 7 ; printf ( "%d \n " , x + y ); return 0 ; }

難読化されたコード:

#include <stdio.h> int main (){ int _ = 5 , __ = 7 ; printf ( "%d \n " , _ -~ __ -1 );}

難読化バージョンでは、意味のある変数名が削除され、算術式は読みにくい形式に書き換えられますが、プログラムの動作は維持されます。

XOR暗号化とBase64エンコードは、マルウェアをウイルス対策ソフトの検出から隠すためによく用いられる2つの方法です。どちらも、悪意のあるコードがファイル内でどのように表示されるかを変更することで、セキュリティソフトウェアが危険なパターンを認識できないようにします。

XOR難読化では、攻撃者は秘密鍵を選択し、マルウェアバイナリにXORビット演算を適用します。これにより、実行可能ファイルはランダムなデータのように見えるものに変換されます。インポートテーブルの関数名は消え、 PEヘッダーは破損し、ファイル全体が構造を失います。難読化されたペイロードは、ドロッパーに埋め込まれます。ドロッパーは、リソースまたはデータセクションとして隠されたマルウェアを含む、見た目は通常の実行可能ファイルです。ユーザーがドロッパーを実行すると、同じ鍵でXOR演算を再度実行して元のマルウェアを再構築し、メモリから直接実行するか、実行前にディスクに書き込みます。^{[ 13 ]}

このプロセスでは、アンチウイルス ソフトウェアが頼りにしているいくつかの指標が削除されます。すべての Windows実行可能ファイルの先頭を示す 2 バイトの署名であるMZヘッダーは、XOR 演算によって完全に隠蔽されますASCIIテキストに変換することで、実行可能ファイルが (プログラムではなく) プレーン テキストのように見えるようになります。

2020年の機械学習セキュリティ回避コンペティションの研究によると、これらの手法は最新の検出システムを回避できることが示されました。参加者は、XORエンコーディング、Base64エンコーディング、デッドコード挿入の組み合わせを使用して、サンプルあたり5回未満の試行で3つのコンペティションモデルすべてを回避しました。エントロピーベースの検出も失敗し、場合によってはBase64エンコーディングによって、元のマルウェアファイルと比較してエントロピーが実際に低下しました。^{[ 14 ]}

これらの手法の単純さこそが、特に危険な点である。XORとBase64エンコードは基本的なプログラミングスキルさえあれば実装できるにもかかわらず、高度な機械学習分類器に対しても有効であることが証明されている。このため、セキュリティ研究者たちは、自動化されたXORキー復元ツールや、実行可能ファイルに埋め込まれたリソースのより詳細な分析など、新たな防御策の開発に取り組んでいる。

コードの難読化を実行または支援するためのツールは多岐にわたる。これには、研究者によって開発された実験的な研究ツール、趣味で開発されたツール、専門家によって作成された商用製品、そしてオープンソースソフトウェアなどが含まれる。さらに、難読化プロセスを逆転させることを目的とした、難読化解除ツールも存在する。

ほとんどの商用難読化ソリューションは、プログラムのソースコードまたはプラットフォームに依存しないバイトコード（ Javaや.NETで使用されるようなポータブルコード）を変換しますが、コンパイル済みのバイナリに直接作用するものもあります。

• Python の例は、公式の Python プログラミング FAQなどで見つけることができます。 ^{[ 15 ] [ 16 ] [ 17 ]}
• x86_32 ISA用のmovfuscator Cコンパイラは、 難読化のためにmov命令のみを使用します。 ^{[ 18 ] [ 19 ] [ 20 ]}

難読化されたソースコードの記述と読解は、頭の体操になることがあります。国際難読化Cコードコンテストや難読化Perlコンテストなど、最も独創的な難読化コードに対して賞を与えるプログラミングコンテストが数多く存在します。

Perlプログラマーの署名には、JAPH（「Just another Perl hacker」）と呼ばれる、難読化された短いPerlプログラムが使用されることがある。 ^{[ 21 ]}

暗号学者は、コードのリバースエンジニアリングが暗号学的に困難になるようにコードを難読化するというアイデアを探求してきました。これは、不可分性難読化に関する多くの提案で形式化されています。不可分性難読化は、安全に構築できれば、誰も作成方法を知らないまったく新しいタイプを含む、他の多くの種類の暗号を構築できる暗号プリミティブです。（より強力な概念であるブラックボックス難読化は、一般的には不可能であることが知られています。）^{[ 22 ] [ 23 ]}

AVG AntiVirus [ ^{25 ]}などの一部のウイルス対策ソフトウェアは、手動で難読化されたコードを含む Web サイトにアクセスした際にユーザーに警告を発します。^これは、難読化の目的の 1 つは悪意のあるコードを隠すことであるためです。しかし、開発者によっては、ファイル サイズを小さくしたりセキュリティを強化したりするためにコードの難読化を使用する場合があります。平均的なユーザーは、特に信頼できる企業からの無害なコードについてウイルス対策ソフトウェアが警告を発するとは期待していないため、このような機能は実際にはユーザーが正規のソフトウェアを使用することを阻害する可能性があります。

MozillaとGoogleは、それぞれのブラウザ（ FirefoxとChrome）のアドオンストアで難読化されたコードを含むブラウザ拡張機能を許可していません。 ^{[ 26 ] [ 27 ]}

ソースコードを難読化して公開することでコピーレフトソフトウェアライセンスを回避することが違法かどうかについては議論がある。これは、著者がソースコードを公開することに消極的な場合などに当てはまる。この問題は、 GNU General Public Licenseで「変更を加えるための推奨形式」を公開することを要求することで対処されている。^{[ 28 ]} GNU の Web サイトには、「難読化された『ソースコード』は実際のソースコードではなく、ソースコードとはみなされない」と記載されている。^{[ 29 ]}