Upload File

malware classification

28
[email protected] Moderne Malwareklassifikation Sebastian Porst, zynamics GmbH [email protected]

Upload: zynamics-gmbh

Post on 08-Jun-2015

485 views

Category:

Documents


1 download

Report

Tags:

TRANSCRIPT

Page 1: Malware classification

[email protected]

Moderne Malwareklassifikation

Sebastian Porst, zynamics GmbH

[email protected]

Page 2: Malware classification

Quelle: Kaspersky Security Bulletin 2009. Malware Evolution 2009

40.000+ neueMalwaredateienpro Tag

2008

14.5 Mio

2009

15.0 Mio

2007

1.8 Mio

2006

0.2 Mio

Page 3: Malware classification

Was tun?

Erkennung Analyse Klassifikation

Page 4: Malware classification

Klassifikation

Dynamisch

Funktionsaufrufe

Systemänderungen

Statisch

n-Gramme

Bloom Filter

Strukturell

Page 5: Malware classification

Dynamisch

Statisch

Programmverhalten wird berücksichtigt

Programmstruktur wird berücksichtigt

Page 6: Malware classification

Funktionsaufrufe

Programm Ausführen

Funktionsaufrufe protokollieren

Mit bekannter Malware

vergleichen

Dynamisch

Page 7: Malware classification

FunktionsaufrufeDynamisch

Funktionsaufrufe protokollieren =

ReadFile

Process32First

lstrcpy

…

Page 8: Malware classification

FunktionsaufrufeDynamisch

Mit bekannter Malware

vergleichen=

Sequenzen von Funktionsaufrufen

Bibliothek aufbauen

Editierdistanz

Page 9: Malware classification

FunktionsaufrufeDynamisch

VorteileEinfach zu realisieren

Überwachung erfolgt prozessübergreifend

NachteileProgramme müssen ausgeführt werden

Anfällig für Täuschungsversuche

Page 10: Malware classification

Programm AusführenSystemveränderungen

protokollierenMit bekannter

Malware vergleichen

SystemänderungenDynamisch

Page 11: Malware classification

SystemänderungenDynamisch

Veränderungen protokollieren

Datei C:\windows\foo.exe wurde geschrieben

Server an Port 80 angemeldet

Lädt Datei von IRC Server runter

…

=

Page 12: Malware classification

SystemänderungenDynamisch

Mit bekannter Malware

vergleichen

Sequenzen von Systemänderungen

Bibliothek aufbauen

Editierdistanz

=

Page 13: Malware classification

SystemänderungenDynamisch

VorteileEinfach zu realisieren

Überwachung erfolgt prozessübergreifend

Weniger anfällig für Täuschungsversuche

NachteileProgramme müssen ausgeführt werden

Page 14: Malware classification

Statisch n-Gramme

Programm disassemblieren

n-Gramme berechnen

Mit bekannter Malware

vergleichen

Page 15: Malware classification

Programm disassemblieren

Befehle erkennen

Mnmemonic-Sequenzen zählen

Statisch n-Gramme

=n-Gramme berechnen

Page 16: Malware classification

Mit bekannter Malware

vergleichen

n-Gramme berechnen

Bibliothek aufbauen

Cosinus

Statisch n-Gramme

=

Page 17: Malware classification

Statisch n-Gramme

VorteileEinfach und schnell

Berücksichtigt gesamte Datei

Robust gegenüber Codebewegungen

NachteileIn der Praxis nur für kleine n möglich

Anfällig gegenüber Compileränderungen

Kann sehr leicht getäuscht werden

Page 18: Malware classification

Statisch Bloom Filter

Programm disassemblieren

Bloom Filter berechnen

Mit bekannter Malware

vergleichen

Page 19: Malware classification

Statisch Bloom Filter

Datei disassemblieren

Basic Blocks erkennen

Basic Blocks hashen

Hashwerte in Vektor speichern

=Bloom Filter berechnen

Page 20: Malware classification

Statisch Bloom Filter

Mit bekannter Malware

vergleichen

Bloom Filter berechnen

Bibliothek aufbauen

Vektorvergleich

=

Page 21: Malware classification

Statisch Bloom Filter

VorteileSkaliert wunderbar

NachteileEntwicklung der Hashfunktion sehrschwierig

Hashfunktion ist anfällig für kleineÄnderungen

Page 22: Malware classification

Statisch Strukturell

Programm disassemblieren

Flussgraphen berechnen

Mit bekannter Malware

vergleichen

Page 23: Malware classification

Statisch Strukturell

Datei disassemblieren

Funktionen erkennen

Flussgraph erstellen

Graphstruktur hashen

=Flussgraphen berechnen

Page 24: Malware classification

Statisch Strukturell

Mit bekannter Malware

vergleichen

Flussgraphen berechnen

Bibliothek aufbauen

Hashvergleich

=

Page 25: Malware classification

Statisch Strukturell

VorteileBerücksichtigt das komplette Programm

Robust gegenüber Änderungen

NachteileVollständiges Disassembly wird benötigt

Zu langsam für Endnutzergeräte

Page 26: Malware classification

Resultate

Page 27: Malware classification

Weitere Ideen

Kombinationen

Andere Methoden

Signaturgeneration

Angriffe korrelieren

Page 28: Malware classification

Statistical Structures: Fingerprinting Malware for ... · Statistical Structures: Fingerprinting Malware for Classification and Analysis Daniel Bilar Wellesley College (Wellesley,

Collective classification for unknown malware detection - SECRYPT 2011

Multinomial Malware Classification Via Low-Level Features · Multinomial Malware Classification Via Low-Level Features By Sergii Banin, Geir Olav Dyrkolbotn From the proceedings of

Behavior-based Automated Malware Analysis and Classification

Feature Selection and Extraction for Malware Classification · JOURNAL OF INFORMATION SCIENCE AND ENGINEERING 31, 965-992 (2015) 965 Feature Selection and Extraction for Malware Classification

Automated Mobile Malware Classification

Mobile Malware - Stanford University · PDF fileOutline • Mobile malware • Identifying malware – Detect at app store rather than on platform • Classification study of mobile

What Species of this Fish is? Malware Classification with

Android Malware Family Classification using Ensembling of

Automated classification and analysis of internet malware

An effective approach for classification of advanced ... · An effective approach for classification of advanced malware with high accuracy ... malware attacks against mobile devices

Using Mobile Malware tactics for red teaming · Verification Standard (MASVS) ... | 3 Malware tactics for red teaming. Classification: Internal Mobile Malware in a tiny nutshell Malware

UpDroid: Updated Android Malware and Its Familial ...aselcuk.etu.edu.tr/SiberGuvenlikGunu-2019.12.23/KursatAktas.pdf · 21 malware families, 2479 malware samples. Family Classification

Malware Classification Project

OPTIMIZING DECISION TREE IN MALWARE CLASSIFICATION SYSTEM BY USING GENETIC ALGORITHM

Exploring Timeline-Based Malware Classification - Springer · Exploring Timeline-Based Malware Classification 3 They claim that the similarity between two files can be determined

DETECTION AND CLASSIFICATION OF OBFUSCATED MALWARE Moustafa Saleh.pdf · DETECTION AND CLASSIFICATION OF OBFUSCATED MALWARE Moustafa E. Saleh, M.Sc., The University of Texas at San

Why an Android App is Classified as Malware? Towards ... · Why an Android App is Classified as Malware? Towards Malware Classification Interpretation BOZHI WU, Nanyang Technological

Malware classification using XGboost-Gradient Boosted Decision … · 2020. 10. 15. · 536 Malware classification using XGboost-Gradient Boosted Decision Tree Rajesh Kumar *, Geetha

Malware clustering and classification Peng Li [email protected]

Using File Relationships in Malware Classification - SysSec

Malware Image Classification using Machine Learning with

Fingerprinting Malware for Classification and Analysis - Black Hat

Towards Building an Intelligent Anti-Malware …Towards Building an Intelligent Anti-Malware System: A Deep Learning Approach using Support Vector Machine (SVM) for Malware Classification

Deep Malware Analysis - Joe Sandbox Sandbox Cloud Feature... · Sandbox Cloud Deep Malware Analysis Classification Ransomware Spreading Phishing Banker Adware Trojan / Bot Spyware

Classification (and Detection) of Metamorphic Malware

Malware Classification Based on Hidden Markov Model and

An Introduction to Malware Classification

MR201402 effectiveness of unknown malware classification by logistic regression analysis

Metadata-driven Threat Classification of Network Endpoints Appearing in Malware

A Comparative Assessment of Malware Classification using Binary

Using File Relationships in Malware Classification File... · Using File Relationships in Malware Classification Nikos Karampatziakis, Cornell/Microsoft Jay Stokes, Microsoft Research

Doc1 - users.cis.fiu.eduusers.cis.fiu.edu/~lpeng/Malware/9.pdf · Automated Classification and Analysis of Internet Malware 179 use the backdoors, key loggers, password stealers,

Towards Classification of Polymorphic Malware

Malware Classification And Detection