搜索

[631] 2018-06-01_基于用户数据改变检测并阻止勒索软件

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2018-06-01_基于用户数据改变检测并阻止勒索软件 基 于 用 户 数 据 改 变 检 测 并 阻 止 勒 索 软 件 A r k T e a m   2 0 1 8 - 0 6 - 0 1 作 者 ： { P e r s i s t } @ A r k T e a m 原 文 作 者 ： N o l e n   S c a i f e ,   H e n r y   C a r t e r ,   P a t r i c k   T r a y n o r ,   K e v i n   R . B .   B u t l e r 原 文 题 目 ： C r y p t o L o c k   ( a n d   D r o p   I t ) :   S t o p p i n g   R a n s o m w a r e   A t t a c k s   o n   U s e r   D a t a 原 文 来 源 ： 2 0 1 6   I E E E   3 6 t h   I n t e r n a t i o n a l   C o n f e r e n c e   o n   D i s t r i b u t e d   C o m p u t i n g   S y s t e m s 加 密 勒 索 软 件 （ 又 名 加 密 勒 索 软 件 ） 试 图 通 过 将 其 文 件 作 为 人 质 来 勒 索 用 户 。 这 种 勒 索 软 件 不 同 于 其 他 类 型 的 恶 意 软 件 ， 因 为 它 的 影 响 只 能 通 过 远 程 攻 击 者 持 有 的 加 密 密 钥 来 逆 转 。 用 户 只 能 通 过 使 用 匿 名 支 付 机 制 （ 例 如 比 特 币 ） 才 能 重 新 获 得 他 们 的 文 件 。 这 类 恶 意 软 件 已 经 存 在 了 十 多 年 ， 其 日 益 广 泛 的 使 用 现 在 每 年 造 成 数 千 万 美 元 的 消 费 者 损 失 。 越 来 越 多 的 执 法 机 构 也 成 为 勒 索 软 件 的 受 害 者 ， 失 去 了 宝 贵 的 案 件 档 案 。 图 1   勒 索 软 件 T e s l a C r y p t 防 御 勒 索 软 件 主 要 难 点 有 三 个 ， 首 先 这 种 恶 意 软 件 容 易 上 手 ， 导 致 攻 击 者 成 本 很 小 ； 其 次 通 过 行 为 难 以 区 分 是 否 为 恶 意 软 件 ， 最 主 要 的 是 主 要 面 向 小 白 用 户 （ 从 不 会 数 据 备 份 ） 。 主 要 有 三 类 勒 索 软 件 ： A 类 ： 重 写 文 件 内 容 ， 打 开 文 件 、 读 内 容 、 加 密 、 替 换 信 息 、 关 闭 文 件 。 B 类 ： 继 承 A ， 把 文 件 移 出 ， 干 完 活 再 移 进 来 。 C 类 ： 打 开 文 件 ， 读 文 件 ， 加 密 成 一 个 新 的 文 件 ， 删 除 原 来 的 文 件 。 （ 独 立 的 读 写 流 ） 本 文 实 现 了 第 一 个 基 于 用 户 数 据 变 化 的 检 测 系 统 ， 目 的 不 是 一 个 文 件 都 不 损 失 ， 而 是 损 失 一 部 分 来 发 现 恶 意 行 为 ， 终 止 行 为 ， 是 基 于 W i n d o w s 平 台 的 。 本 文 提 出 了 三 个 用 来 检 测 勒 索 软 件 的 标 识 ： 文 件 类 型 改 变 文 件 相 似 性 ： 加 密 前 后 的 文 件 差 异 很 大 ， 使 用 相 似 性 保 留 函 数 s d h a s h 来 给 相 似 性 打 分 ， 0 - 1 0 0 分 ， 0 表 示
一 点 都 不 一 样 ， 1 0 0 表 示 完 全 一 样 。 信 息 熵 ： 加 密 或 压 缩 后 的 文 件 熵 值 很 高 C r o p t o D r o p 维 护 了 一 个 进 程 的 ” 信 誉 ” 分 数 板 ， 当 一 个 进 程 触 发 某 个 标 识 符 的 时 候 就 给 它 加 分 ， 一 旦 达 到 某 个 可 疑 的 阈 值 ， 挂 起 进 程 ， 请 求 用 户 的 权 限 再 进 行 操 作 。 通 过 实 验 发 现 没 有 合 法 进 程 会 触 发 三 个 指 标 ， 打 分 机 制 使 该 工 具 能 够 保 持 在 得 分 阈 值 低 的 情 况 下 不 会 引 起 显 着 的 误 报 ， 研 究 表 明 单 一 指 标 检 测 机 制 的 情 况 下 有 很 高 的 几 率 会 产 生 误 报 ， 三 个 指 标 的 情 况 下 就 低 得 多 。 C r y p t o D r o p 的 可 靠 性 由 r a n s o m w a r e 的 典 型 行 为 加 强 ， 这 种 行 为 经 常 触 发 所 有 三 个 主 要 指 标 本 文 利 用 了 一 个 使 用 用 允 许 介 入 进 程 和 文 件 系 统 之 间 的 调 用 的 驱 动 程 序 的 W i n d o w s 内 核 。 这 样 的 方 法 使 该 工 具 不 仅 可 以 检 测 何 时 文 件 被 更 改 ， 也 是 为 了 防 止 机 制 被 恶 意 软 件 修 改 。 这 种 方 法 也 防 止 了 干 扰 磁 盘 加 密 系 统 （ 例 如 B i t L o c k e r ） ， 它 们 在 文 件 系 统 和 磁 盘 之 间 进 行 操 作 。 熵 测 量 ： R a n s o m w a r e 经 常 写 付 款 指 示 。 这 些 小 的 低 熵 写 入 过 度 影 响 熵 的 平 均 值 。 所 以 加 了 一 个 权 重 ， 这 个 权 重 确 保 了 低 熵 和 小 的 读 / 写 操 作 不 会 过 度 的 影 响 平 均 值 。 当 受 保 护 的 文 件 被 读 取 或 写 入 时 ， 计 算 出 执 行 操 作 过 程 中 该 操 作 涉 及 的 字 节 的 熵 更 新 读 写 操 作 的 加 权 平 均 数 。 然 后 计 算 读 写 差 值 ， 差 值 超 过 0 . 1 ， 说 明 行 为 可 疑 。 这 种 测 量 是 无 状 态 的 ， 每 次 超 过 阈 值 的 读 写 原 子 操 作 都 会 发 生 。 尽 管 阈 值 相 比 熵 值 很 小 ， 但 是 它 提 供 了 一 种 检 测 小 的 熵 值 增 加 的 压 缩 文 件 操 作 的 解 决 方 法 。 图 2   C r o p t o D r o p 的 结 构 图 3   信 息 熵 计 算 公 式 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理