搜索

[550] 2017-09-01_围绕恶意文档可以得到什么

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2017-09-01_围绕恶意文档可以得到什么 围 绕 恶 意 文 档 可 以 得 到 什 么 A r k T e a m   2 0 1 7 - 0 9 - 0 1 作 者 ： { r i k a } @ A r k T e a m 原 文 作 者 ： S t e v e n s   L e   B l o n d ,   C é d r i c   G i l b e r t ,   U t k a r s h   U p a d h y a y ,   M a n u e l   G o m e z   R o d r i g u e z   原 文 题 目 ： A   B r o a d   V i e w   o f   t h e   E c o s y s t e m   o f   S o c i a l l y   E n g i n e e r e d   E x p l o i t   D o c u m e n t s 原 文 会 议 ：   N e t w o r k   &   D i s t r i b u t e d   S y s t e m   S e c u r i t y   S y m p o s i u m ,   2 0 1 7 很 多 网 络 罪 犯 会 将 恶 意 代 码 嵌 入 合 法 文 档 ， 如 p d f 、 d o c 等 ， 再 结 合 网 络 钓 鱼 等 方 式 进 行 传 播 。 利 用 文 档 在 增 加 了 攻 击 成 功 率 的 同 时 ， 也 给 了 研 究 人 员 更 多 的 分 析 素 材 。 在 这 篇 文 章 中 ， 作 者 从 V i r u s T o t a l 和 W U C 获 取 了 大 量 样 本 ， 针 对 与 维 吾 尔 、 西 藏 、 中 东 等 地 区 相 关 的 恶 意 文 档 ， 做 了 如 下 工 作 ： 提 取 嵌 入 其 中 的 恶 意 代 码 和 诱 饵 文 件 ； 对 诱 饵 文 件 进 行 人 工 分 析 ， 得 到 攻 击 相 关 信 息 ； 用 沙 箱 对 恶 意 代 码 进 行 动 态 分 析 ， 判 断 所 属 的 恶 意 家 族 ； 利 用 从 V i r u s T o t a l 获 得 的 元 数 据 ， 结 合 机 器 学 习 方 法 ， 对 上 传 者 的 角 色 进 行 分 析 ， 推 测 是 攻 击 者 、 受 害 者 还 是 第 三 方 。 下 文 将 对 该 项 工 作 做 详 细 描 述 。 图 1   工 作 流 示 意 图 V i r u s T o t a l 是 一 个 免 费 公 开 的 可 疑 文 件 分 析 网 站 ， 受 害 者 和 研 究 人 员 都 可 以 上 传 文 件 来 确 定 其 是 否 恶 意 ， 而 很 多 攻 击 者 则 将 其 作 为 一 个 加 密 工 具 。 V i r u s T o t a l 的 私 有 A P I 在 提 供 恶 意 样 本 下 载 的 同 时 ， 也 能 提 供 一 些 信 息 ， 包 括 上 传 者 的 账 号 、 I P 、 地 理 位 置 、 上 传 时 间 、 文 件 名 、 文 件 哈 希 等 。 作 者 总 结 了 两 类 特 征 ， 分 别 是 用 户 具 体 特 征 （ u s e r   s p e c i f i c   f e a t u r e s ） 和 邻 居 特 征 （ n e i g h b o r h o o d   f e a t u r e s ） 。 1 . 用 户 具 体 特 征 用 户 具 体 特 征 上 传 恶 意 文 件 与 上 传 总 数 的 比 例 ， 攻 击 者 将 有 较 高 的 比 例 。 攻 击 者 经 常 把 V i r u s T o t a l 作 为 加 密 工 具 ， 所 以 可 能 上 传 哈 希 不 同 但 名 字 相 同 的 文 件 。 对 于 攻 击 者 ， 短 时 间 内 （ 几 小 时 ） 连 续 上 传 的 恶 意 文 件 的 检 测 率 会 减 小 直 到 零 。 攻 击 者 的 文 件 上 传 时 延 接 近 零 。 2 . 邻 居 特 征 邻 居 特 征 首 先 构 造 一 个 有 向 图 ， 每 个 节 点 对 应 一 个 上 传 者 ， u 上 传 的 文 件 后 来 又 被 v 上 传 ， 则 从 u 到 v 画 一 条 有 向 边 。 出 度 、 入 度 、 L C C （ 本 地 聚 类 系 数 ） ： 攻 击 者 会 有 较 大 的 出 度 ； L C C 用 无 向 图 计 算 ， 用 于 识 别 广 泛 传 播 的 攻 击 目 标 ， 由 于 缺 少 邻 居 ， 该 类 用 户 的 L C C 将 很 高 。 自 我 中 心 网 络 的 出 边 和 入 边 ， 邻 居 的 入 度 和 出 度 ， 可 以 用 来 分 辨 一 个 恶 意 文 件 从 攻 击 者 到 受 害 者 到 研 究 人 员 的 传 递 过 程 。
邻 居 上 传 的 恶 意 文 件 和 所 有 文 件 的 比 例 ， 包 括 均 值 、 方 差 、 最 大 最 小 值 。 作 者 将 提 取 出 的 特 征 与 自 己 提 出 的 角 色 推 测 算 法 （ 半 监 督 轻 量 级 推 测 算 法 ） 相 结 合 ， 达 到 了 8 0 % 的 准 确 率 。 这 样 的 方 法 可 以 减 轻 研 究 人 员 的 手 工 工 作 量 ， 更 快 找 到 数 据 集 中 的 " 有 趣 " 用 户 。 不 过 由 于 受 害 者 和 第 三 方 用 户 很 难 区 分 ， 所 以 未 来 还 需 要 提 取 更 多 的 信 息 构 造 特 征 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理