搜索

[11595] 2017-07-28_【BlackHat2017】勒索软件未来的终极克星？研究人员发明ShieldFS文件系统

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-07-28_【BlackHat2017】勒索软件未来的终极克星？研究人员发明ShieldFS文件系统 【 B l a c k H a t   2 0 1 7 】 勒 索 软 件 未 来 的 终 极 克 星 ？ 研 究 人 员 发 明 S h i e l d F S 文 件 系 统 S p h i n x   F r e e B u f   2 0 1 7 - 0 7 - 2 8 B l a c k   H a t   2 0 1 7   美 国 黑 客 大 会 于 北 京 时 间   7   月   2 8   日   9   点 结 束 ， 但 后 续 的   D E F   C O N   等 会 议 仍 在 如 火 如 荼 地 进 行 。 今 年 的   B l a c k   H a t   大 会 上 分 享 了 很 多 议 题 ， F r e e B u f   也 对 此 进 行 了 图 文 直 播 ， 并 设 立 专 题 报 道 ， 各 位 感 兴 趣 的 可 以 点 击 原 文 查 看 。 今 年 的 今 年 的 W a n n a C r y 病 毒 与 病 毒 与 N o t P e t y a 病 毒 在 全 球 范 围 内 广 泛 传 播 ， 让 全 世 界 都 看 到 了 勒 索 软 件 的 威 力 。 然 而 面 对 病 毒 在 全 球 范 围 内 广 泛 传 播 ， 让 全 世 界 都 看 到 了 勒 索 软 件 的 威 力 。 然 而 面 对 这 些 肆 虐 的 勒 索 病 毒 即 使 是 很 多 杀 毒 软 件 厂 商 也 束 手 无 策 ， 解 决 方 案 也 往 往 是 备 份 备 份 再 备 份 。 而 在 今 年 的 这 些 肆 虐 的 勒 索 病 毒 即 使 是 很 多 杀 毒 软 件 厂 商 也 束 手 无 策 ， 解 决 方 案 也 往 往 是 备 份 备 份 再 备 份 。 而 在 今 年 的 B l a c k H a t   2 0 1 7 黑 帽 大 会 上 发 布 的 新 议 题 可 能 能 让 这 一 难 题 彻 底 解 决 。 黑 帽 大 会 上 发 布 的 新 议 题 可 能 能 让 这 一 难 题 彻 底 解 决 。 来 自 意 大 利 的 研 究 人 员 开 发 了 一 种 W i n d o w s 驱 动 和 定 制 的 一 种 文 件 系 统 ， 能 够 检 测 到 勒 索 软 件 感 染 的 迹 象 ， 终 止 恶 意 行 为 ， 并 且 把 被 加 密 的 软 件 还 原 。 米 兰 理 工 大 学 的 7 名 研 究 人 员 开 发 了 这 个 文 件 系 统 ， 并 把 它 叫 做 S h i e l d F S 。 在 昨 天 的 B l a c k H a t 大 会 上 他 们 介 绍 了 相 关 的 细 节 。 工 作 原 理 工 作 原 理 要 解 释 S h i e l d F S 的 工 作 原 理 ， 我 们 可 以 把 这 个 文 件 系 统 的 特 性 分 成 两 大 部 分 ， 第 一 部 分 是 检 测 ， 第 二 部 分 是 文 件 恢 复 。 检 测 检 测 首 先 ， 研 究 人 员 将 在 两 批 电 脑 中 使 用 他 们 的 文 件 系 统 读 写 嗅 探 工 具 I R P L o g g e r 对 磁 盘 行 为 进 行 记 录 。 检 测 的 主 要 是 C o p y - O n - W r i t e   ( C O W ) 操 作 。 这 种 操 作 在 勒 索 软 件 中 非 常 普 遍 ， 勒 索 软 件 往 往 会 选 择 一 份 文 件 ， 进 行 加 密 ， 然 后 替 换 源 文 件 。 这 两 批 电 脑 中 一 批 是 1 1 名 志 愿 者 的 1 1 台 电 脑 ， 由 于 用 户 行 为 不 同 ， 他 们 还 被 归 为 三 类 ： 家 庭 用 户 、 开 发 者 以 及 办 公 用 户 。 收 集 到 的 I R P 记 录 多 达 1 7 亿 ， 压 缩 的 数 据 达 2 8 . 3 G 。
另 一 批 是 一 些 安 装 了 勒 索 软 件 的 电 脑 。 研 究 人 员 用 到 了 来 自 5 个 病 毒 家 族 的 3 8 3 个 样 本 。 为 了 模 拟 真 实 的 使 用 环 境 ， 研 究 人 员 在 W i n d o w s   7 系 统 中 安 装 了 A d o b e 阅 读 器 、 微 软 O f f i c e 套 件 、 浏 览 器 以 及 播 放 器 （ 这 样 能 够 模 拟 出 真 实 的 磁 盘 读 取 情 况 ） ， 并 且 放 置 了 一 些 浏 览 器 记 录 、 用 户 文 件 ， 这 样 勒 索 软 件 就 会 认 为 这 是 一 个 真 实 用 户 ， 从 而 触 发 加 密 过 程 。 接 下 来 ， 研 究 人 员 对 采 集 到 的 数 据 进 行 监 督 分 类 ， 用 监 督 分 类 器 识 别 特 征 。 得 出 的 结 论 是 ， 正 常 系 统 中 的 行 为 与 安 装 了 勒 索 软 件 的 系 统 有 很 大 的 区 别 。 下 图 中 的 蓝 色 线 条 代 表 的 是 正 常 软 件 读 写 操 作 的 情 况 ， 红 线 则 是 勒 索 软 件 的 情 况 ， 可 以 清 楚 地 看 出 差 异 。 通 过 这 样 的 方 法 ， S h i e l d F S 能 够 识 别 出 勒 索 软 件 和 普 通 软 件 。 文 件 恢 复 文 件 恢 复 但 要 进 行 上 面 提 到 的 “ 检 测 ” ， 就 意 味 着 勒 索 软 件 必 须 进 行 读 写 操 作 ， 也 就 是 说 一 部 分 文 件 已 经 被 加 密 ， 作 为 一 套 完 整 的 方 案 ， S h i e l d F S 提 供 了 进 行 文 件 恢 复 的 方 法 。 启 用 S h i e l d F S 后 ， 任 何 新 创 建 的 进 程 就 会 被 文 件 系 统 识 别 为 “ 未 知 ” 状 态 。 当 且 仅 当 这 个 进 程 第 一 次 进 行 写 入 或 者 删 除 操 作 时 ， S h i e l d F S 会 把 文 件 内 容 复 制 到 一 个 安 全 的 、 只 读 的 存 储 区 域 。 接 下 来 ， 新 进 程 就 开 始 执 行 操 作 ， 当 S h i e l d F S
采 集 到 足 够 多 的 特 征 后 ， 就 会 用 上 文 提 到 的 特 征 判 断 这 是 个 正 常 软 件 、 可 疑 软 件 或 是 恶 意 软 件 。 如 果 软 件 被 F S 判 断 为 正 常 ， 之 前 复 制 的 那 些 文 件 就 可 以 被 删 除 ， 或 者 可 以 作 为 缓 存 加 快 部 分 文 件 的 读 写 速 度 ； 而 当 程 序 被 判 断 为 恶 意 时 ， 系 统 就 会 停 止 它 的 进 程 ， 还 原 文 件 ， 并 且 ， 在 它 的 进 程 中 寻 找 加 密 使 用 到 的 密 码 ， 如 果 找 到 了 密 码 和 加 密 方 式 就 很 有 可 能 是 勒 索 病 毒 ， 因 此 程 序 可 以 对 可 疑 的 程 序 进 行 进 一 步 确 定 。 检 测 率 检 测 率 研 究 人 员 使 用 了 3 0 5 个 之 前 没 有 参 与 实 验 的 勒 索 软 件 样 本 ， 这 些 样 本 来 自 1 1 个 勒 索 软 件 家 族 。 实 验 中 ， S h i e l d F S 成 功 检 测 出 2 9 8 个 样 本 ， 检 测 率 高 达 9 7 . 7 % 。 惊 人 的 是 ， 在 漏 掉 7 个 样 本 的 情 况 下 S h i e l d F S 成 功 保 护 了 所 有 被 加 密 的 文 件 。 与 此 同 时 为 了 减 少 误 报 率 ， S h i e l d F S 对 2 2 4 5 个 正 规 软 件 进 行 了 模 型 适 配 ， 这 样 就 减 少 了 正 规 的 软 件 遭 到 屏 蔽 的 情 况 。 可 能 很 多 读 者 会 把 一 些 备 份 软 件 ， 比 如 微 软 的 卷 影 复 制 服 务 （ S h a d o w   V o l u m e ） 跟 他 相 提 并 论 ， 但 是 S h i e l d F S 的 高 明 之 处 在 于 它 进 行 了 实 时 的 备 份 。 在 实 际 的 情 况 中 ， 备 份 往 往 是 不 及 时 的 ， 刚 刚 修 改 的 文 件 对 于 用 户 来 说 也 具 有 很 大 的 价 值 ， 更 何 况 有 些 勒 索 软 件 还 会 特 意 加 密 备 份 的 文 件 。 而 S h i e l d F S 则 能 在 成 本 较 低 的 情 况 下 提 供 更 加 完 善 的 解 决 方 案 ， 这 可 能 是 未 来 检 测 勒 索 软 件 的 新 思 路 。 以 下 是 S h i e l d F S 实 际 环 境 中 的 演 示 视 频 。 研 究 人 员 仍 在 进 行 改 进 ， 打 算 在 将 来 公 开 发 布 ， 以 开 源 的 形 式 发 布 出 来 。
* 参 考 来 源 ： B l e e p i n g C o m p u t e r s ， 本 文 作 者 ： S p h i n x ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理