Ismeretlen malware detekciója bootlog analízis segítségével

Az előadások a következő témára: "Ismeretlen malware detekciója bootlog analízis segítségével"— Előadás másolata:

1 Ismeretlen malware detekciója bootlog analízis segítségével
Ács-Kurucz Gábor – AHUPUO Konzulensek: Dr. Félegyházi Márk és Pék Gábor Szakdolgozat 2014 – BME VIK

2 Motiváció Sok a célzott támadás A víruskeresők még nem hatékonyak
Statikus elemzés hátrányai IDS / IPS rendszerek kijátszhatósága Dinamikus elemzés lehetőségei

3 Metodológia Rendszerközpontúság „AccessMiner” bootlogokra
Nem a programokat figyeljük, hanem a rendszert „AccessMiner” bootlogokra Modell betanítása tiszta programokkal Hozzáférésekből egy fa felépítése A fa leveleihez tokenek rendelése A fa redukálása Detektálás Még nem létező hozzáférések gyanúsak

4 Általánosítások A telepítések nagyon különbözhetnek
Különbségek elfedése: Meghajtóbetűjelek összeolvasztása GUID-ok összeolvasztása 64 / 32 bit fájlrendszer (Program Files (x86)) Felhasználónevek Windows XP – Windows 7 különbségek …

5 Keretrendszer Cuckoo Sandbox Procmon
Windows 7 Cuckoo kiegészítések Procmon Bootlog-készítés Automatizálás Sok minta futtatása automatizáltan

6 Bootlogok gyűjtése Malware minták Tiszta programok
Egy rendelkezésre álló halmazból válogattam Futtatható fájlok Különböző családok Tiszta programok Ninite segítségével Telepítő szkript

7 Eredmények False pozitív eredmények hatékony szűrése 222 minta
43%-os detektálási arány Nem szükséges mindent megtalálnia Kombinálva egyéb eszközökkel hatékony lehet

8 Gyengepontok és fejlesztési lehetőségek
Nem perzisztens malware minták Egyszerű, legitim módon viselkedő minták Fejlesztési lehetőségek Saját kernel driver Pontosabb modell (több tiszta alkalmazásból) Memóriahasználat figyelése Internet emulálása …

9 Köszönöm a figyelmet! Kérdések?

10 Bírálói kérdések 1 A bootlog analízis eredményei alapján mely malware fajták azonosítására alkalmasabb az eljárás? A rootkit típusú malware azonosítására, vagy azon malware-ekre, amelyek legitim programnak álcázzák magukat, illetve a perzisztencia módszerük is a legitim programokra hasonlít?

11 Bírálói kérdések 2 A bootlog analízis eljárás hatékonyságának tesztelése során hogyan lehetne hatékonyan szűrni, hogy a vizsgált malware sikeresen települt-e?