Towards the Detection of Isolation-Aware Malware

Abstract

Abstract-Malware analysis tools have evolved in the last years providing tightly controlled sandbox and virtualised environments where malware is analysed minimising potential harmful consequences. Unfortunately, malware has advanced in parallel, being currently able to recognise when is running in sandbox or virtual environments and then, behaving as a nonharmful application or even not executing at all. This kind of malware is usually called analysis-aware malware. In this paper, we propose a tool to detect the evasion techniques used by analysis-aware malware within sandbox or virtualised environments. Our tool uses Dynamic Binary Instrumentation to maintain the binary functionality while executing arbitrary code. We evaluate the tool under a set of well-known analysis-aware malware showing its current effectiveness. Finally, we discuss limitations of our proposal and future directions.Index Terms-analysis-aware malware, binary analysis, dynamic binary instrumentation. I. INTRODUCCIÓNL VOLUMEN de aplicaciones software creadas con intenciones maliciosas o sospechosas (dícese malware por su nombre en inglés) ha crecido tanto en cantidad como en complejidad en la última década [18], [35], [36], [44]. La lucha contra el malware requiere una constante actualización de las técnicas defensivas, entender cómo actúa el malware, qué tipo de acciones dañinas realiza y cómo éstas pueden ser detectadas, eliminadas o prevenidas. Expertos analistas de malware deben hacer frente cada día a un creciente número de muestras de malware. Por ejemplo, la compañía especializada en antivirus Kaspersky indicó que en 2013 analizó, aproximadamente, 350.000 muestras de malware diarias [30]. La ingeniería inversa es el proceso desarrollado para conocer y entender las capacidades y comportamiento del malware; sin embargo, requiere mucho tiempo y trabajo. Dado el incremento diario de retos a los que se enfrentan los analistas de malware, dos tendencias complementarias han emergido recientemente en el análisis de La automatización del proceso de análisis del malware permite, por un lado, un conocimiento del comportamiento de la muestra de una forma ágil y rápida, y por tanto permite mantener actualizadas las bases de datos de anti-virus para proteger de forma efectiva a los usuarios finales ante nuevas amenazas. Por otro lado, el aislamiento del entorno de análisis de malware previene que durante el proceso de análisis el malware pueda infectar un sistema o una red legítima, o incluso llegue a interferir en el negocio de la empresa donde se está llevando el análisis. En este sentido, en este artículo sólo consideramos las soluciones software propuestas para aislar el entorno de análisis de malware, dejando de lado las soluciones basadas en máquinas físicas aisladas como entorno de análisis.Sin embargo, los desarrolladores de malware han aprendido a su vez cómo se analizan las muestras de malware, y por ello han empezado a incorporar a sus desarrollos diversas técnicas de evasión que permiten reconocer cuándo el malware está siendo ejecutado...

Reduzindo a Superfície de Ataque dos Frameworks de Instrumentação Binária Dinâmica

“…Dentres suas vantagens frente a outras técnicas de análise, o autor destaca que ela: (i) não requer qualquer preparação prévia para análise no programa cliente -programa a ser instrumentado -, como injeção de bibliotecas ou alterações no código binário da aplicação cliente; (ii) cobre naturalmente, com a análise, todo o código da aplicação cliente, o que pode não ser possível nas análises estáticas, especialmente quando a aplicação gera códigos dinamicamente; (iii) não requer acesso ao código fonte da aplicação cliente ou recompilação da mesma. Rodriguez et al (2016) acrescentam ainda: (i) ser independente de linguagem de programação e compilador utilizados para a geração da aplicação cliente; e (ii) possuir controle absoluto sobre a execução da aplicação a ser analisada.…”

“…A Instrumentação Binária Dinâmica (Dynamic Binary Instrumentation), ou simplesmente DBI, vem sendo empregada em diversas soluções de segurança, como taint analysis [Stamatogiannakis et al, 2015], unpacker de malwares [Mariani et al, 2016], proteção da transparência de máquinas virtuais [Gilboy, 2016;Rodriguez et al, 2016] e análise de malwares [Kulakov, 2017]. Por permitir a análise em tempo de execução de aplicações, a nível binário, através da inserção de instruções arbitrárias (de análise) no código da aplicação, a instrumentação binária dinâmica auxília na análise de segurança do comportamento de aplicações, inspecionando estruturas como registradores e a pilha do processo, dentre outras capacidades.…”

“…Para tanto, foi empregada uma ferramenta capaz de detectar e mitigar comportamentos evasivos de aplicações maliciosas, conhecida como PinVMShield [Rodriguez et al, 2016]. Uma vez que essa ferramenta foi desenvolvida com uma arquitetura de plugins, foi possível extendermos as funcionalidades da ferramenta com as nossas contramedidas.…”

Empirical Study to Fingerprint Public Malware Analysis Services

“…A taxonomy and non-exhaustive survey on techniques used for detecting analysis environments were introduced in [12]. Besides, a tool was provided to trick an anti-analysis malware sample running on a virtual environment as running on a real environment.…”

“…Malware with capabilities of analysis detection are named as analysis-aware or split personality malware [1,8]. These detection mechanisms are mainly based either on indirect techniques (i.e., time or event triggered) or on direct techniques as binary analysis, sandboxing, or virtual and memory analysis [12].…”