搜索

[644] 2018-07-20_利用损耗特征逃避沙箱检测

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2018-07-20_利用损耗特征逃避沙箱检测 利 用 损 耗 特 征 逃 避 沙 箱 检 测 A r k T e a m   2 0 1 8 - 0 7 - 2 0 作 者 ： { Z e b o r k } @ A r k T e a m 原 文 作 者 ： N a j m e h   M i r a m i r k h a n i ,   M a h a t h i   P r i y a   A p p i n i ,   N i c k   N i k i f o r a k i s ,   M i c h a l i s   P o l y c h r o n a k i s   S t o n y   B r o o k   U n i v e r s i t y 原 文 标 题 ： S p o t l e s s   S a n d b o x e s :   E v a d i n g   M a l w a r e   A n a l y s i s   S y s t e m s   u s i n g   W e a r - a n d - T e a r   A r t i f a c t s 原 文 会 议 ： 2 0 1 7   I E E E   S y m p o s i u m   o n   S e c u r i t y   a n d   P r i v a c y 原 文 链 接 ： h t t p s : / / i e e e x p l o r e . i e e e . o r g / d o c u m e n t / 7 9 5 8 6 2 2 / 反 病 毒 公 司 ， 移 动 A p p 市 场 ， 安 全 研 究 人 员 等 正 在 面 临 恶 意 软 件 沙 箱 环 境 被 恶 意 软 件 感 知 的 挑 战 ， 一 旦 恶 意 软 件 检 测 到 它 在 分 析 环 境 中 运 行 ， 就 会 改 变 其 行 为 。 而 反 检 测 主 要 是 靠 隐 藏 沙 箱 特 征 ， 如 清 楚 虚 拟 机 供 应 商 的 驱 动 程 序 等 、 进 程 、 辅 助 程 序 等 实 现 。 而 现 在 由 于 虚 拟 机 特 征 已 经 能 够 得 到 较 好 的 避 免 ， 而 虚 拟 机 特 征 本 身 也 不 代 表 是 沙 箱 环 境 ， 很 多 虚 拟 机 反 而 是 高 价 值 目 标 ， 因 此 恶 意 软 件 开 始 诉 诸 其 他 的 特 征 来 判 断 沙 箱 环 境 。 论 文 的 作 者 提 出 了 一 类 新 的 沙 箱 逃 避 技 术 ， 利 用 真 实 系 统 上 的 “ 损 耗 ” 特 征 ， 恶 意 软 件 甚 至 可 以 成 功 逃 避 不 暴 露 任 何 沙 箱 特 殊 特 征 的 沙 箱 ， 包 括 裸 机 系 统 （ 非 虚 拟 化 的 沙 箱 ） ， 作 者 从 真 实 用 户 设 备 中 收 集 损 耗 特 征 ， 以 及 从 公 开 可 用 的 恶 意 软 件 分 析 服 务 中 收 集 信 息 ， 建 立 简 单 的 分 类 器 ， 并 实 验 得 到 了 高 达 9 2 . 8 6 % 的 识 别 准 确 度 。 另 外 ， 作 者 还 开 发 了 捕 获 系 统 年 龄 和 使 用 程 度 的 统 计 模 型 ， 可 以 帮 助 沙 箱 操 作 者 创 建 具 有 真 实 磨 损 状 态 的 系 统 。 一 、 损 耗 特 征 及 数 据 收 集 一 、 损 耗 特 征 及 数 据 收 集 作 者 在 实 验 中 提 取 的 损 耗 特 征 主 要 集 中 在 正 常 使 用 的 系 统 和 专 门 用 于 沙 箱 的 环 境 的 区 别 上 。 具 体 使 用 的 特 征 如 图 1 所 示 。 图 1   损 耗 特 征 列 表 作 者 在 得 到 I R B 许 可 的 情 况 下 ， 收 集 了 2 7 0 例 真 实 用 户 设 备 ， 包 括 同 事 、 好 友 、 亚 马 逊 员 工 等 ， 但 是 亚 马 逊 员 工 所 占 比
例 很 大 ， 由 于 公 开 沙 箱 多 数 不 开 放 下 载 ， 作 者 利 用 h t t p 服 务 器 ， 和 上 传 程 序 进 行 信 息 收 集 ， 最 终 收 集 到 的 数 据 如 图 2 所 示 ， 其 中 B a s e l i n e 是 指 刚 刚 创 建 ， 没 有 经 过 任 何 处 理 的 系 统 ， 作 者 提 到 这 是 最 原 始 的 沙 箱 。 图 2   最 终 获 得 的 数 据 集 合 二 、 分 类 器 和 系 统 年 龄 预 测 二 、 分 类 器 和 系 统 年 龄 预 测 作 者 的 思 路 是 根 据 系 统 的 损 耗 特 征 ， 建 立 一 个 分 类 模 型 ， 以 辨 别 出 是 真 实 系 统 环 境 还 是 沙 箱 ， 这 本 质 上 是 二 分 类 问 题 ， 作 者 采 用 了 决 策 树 作 为 分 类 器 ， 由 于 篇 幅 原 因 ， 关 于 分 类 器 的 具 体 构 建 方 式 不 进 行 赘 述 。 最 后 的 实 验 结 果 是 A c c u r a c y : 9 2 . 8 6 ,   F N R :   4 . 0 8 % ,   F P R :   1 0 . 2 0 % 。 作 者 对 3 3 个 特 征 进 行 逐 一 去 除 重 复 试 验 ， 结 果 在 前 八 次 实 验 中 准 确 率 甚 至 有 所 提 升 。 因 此 ， 攻 击 者 可 以 选 择 特 征 数 量 少 ， 区 分 度 高 的 特 征 进 行 分 类 器 训 练 。 作 者 还 通 过 一 个 统 计 模 型 ， 根 据 系 统 的 损 耗 特 征 ， 预 测 系 统 的 年 龄 ， 可 以 使 恶 意 软 件 判 断 预 期 的 年 龄 是 否 与 系 统 报 告 的 年 龄 相 符 。 同 时 ,   这 也 可 以 使 研 究 人 员 能 够 人 为 地 “ 老 化 ” 沙 箱 ,   使 沙 箱 符 合 预 期 的 年 龄 。 真 实 的 系 统 年 龄 来 自 真 实 用 户 系 统 ( _ ) 和 沙 箱 ( _ ) 的 系 统 报 告 年 龄 ， 并 假 设 _   中 的 系 统 年 龄 是 真 实 的 ； 特 征 集 是 通 过 计 算 每 个 特 征 和 年 龄 的 P e a r s o n 相 关 性 确 定 的 。 同 时 作 者 对 数 据 中 的 缺 失 值 进 行 了 处 理 。 使 用 线 性 回 归 的 方 法 构 建 统 计 模 型 ， 训 练 集 占 6 0 % ， 测 试 集 占 4 0 % 。 最 终 的 实 验 结 果 如 图 3 所 示 。 结 果 表 明 使 用 真 实 用 户 的 数 据 训 练 的 模 型 ， 在 面 对 新 的 数 据 时 ， 根 据 系 统 的 一 些 特 征 ， 能 够 较 好 地 识 别 出 一 个 系 统 预 期 的 年 龄 与 系 统 报 告 的 年 龄 是 否 相 符 。 图 3   注 册 表 型 无 文 件 恶 意 软 件 的 感 染 过 程 为 了 实 现 攻 击 的 持 久 化 与 隐 蔽 化 ， 将 恶 意 软 件 实 体 隐 藏 在 注 册 表 某 个 键 值 里 ， 来 使 杀 毒 软 件 的 常 规 文 件 扫 描 失 效 ， 同 时 结 合 各 种 加 密 手 段 ， 可 以 绕 过 部 分 安 全 产 品 的 检 测 ， 给 安 全 研 究 人 员 的 分 析 和 监 测 带 来 很 多 麻 烦 ， 可 以 广 泛 应 用 于 僵 尸 网 络 中 ， 因 此 这 种 无 文 件 恶 意 软 件 仍 将 在 目 前 以 及 将 来 得 到 更 广 泛 的 利 用 。 三 、 讨 论 三 、 讨 论 这 篇 文 章 被 S & P 归 为 “ P r i v a c y ” 类 ， 可 能 是 由 于 在 用 户 信 息 的 收 集 方 面 非 常 注 重 用 户 隐 私 。 但 是 个 人 觉 得 这 是 一 篇 攻 击 类 的 文 章 ， 对 恶 意 软 件 沙 箱 逃 避 提 供 了 一 个 新 的 思 路 。 但 是 文 章 中 的 训 练 集 中 ， 真 实 系 统 数 据 主 要 是 从 几 类 人 群 中 得 到 的 2 7 0 个 数 据 ， 个 人 觉 得 总 体 数 量 不 够 ， 类 型 比 较 单 一 ； 另 外 对 于 如 何 进 行 防 御 仍 然 需 要 进 一 步 的 研 究 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理