TrumanBox UNIVERSITÄT MANNHEIM. Verbesserung der dynamischen Schadsoftwareanalyse durch Simulierung des Internets

Größe: px

Ab Seite anzeigen:

Download "TrumanBox UNIVERSITÄT MANNHEIM. Verbesserung der dynamischen Schadsoftwareanalyse durch Simulierung des Internets"

Ingelore Geisler
vor 8 Jahren
Abrufe

1 TrumanBox Verbesserung der dynamischen Schadsoftwareanalyse durch Simulierung des Internets Pi1 - Laboratory for Dependable Distributed Systems

2 TrumanBox Hintergrund Es gibt Honeypots / Honeynets und Honeywall Wünschenswert: Voller Zugriff auf das Internet, ohne das Risiko, eine dritte Partei zu infizieren Simulation als Ausweg

3 Simulation InMAS - Status Report CW Simulation Es muss kein vollständiger Zugriff erlaubt werden Der Client muss nur denken, dass Zugriff möglich ist Simulation not have to grant Internet access. t need to make the intruder believe having access to it. ulation

4 Vorgehen Wünschenswert ist Transparenz Generisches Verhalten Flexibilität

5 Transparenz Bridging anstatt Routing Transparenter Proxy Manipulation der Kommunikation Platzierung der TrumanBox flexibel Unabhängig von Malware-Analyse-Plattform CWSandbox und andere Plattformen möglich

6 Generisches Verhalten Generische Dienste Es wird zur Verfügung gestellt, was angefragt wird Dynamisches Dateisystem Zugriff mit beliebigem Passwort Original-Banner einspielen Jedes unterstützte Protokoll wird auf (fast) beliebigem Netzwerkports angeboten HTTP auf TCP Port 5711 und FTP auf 80

7 Generisches Verhalten Folgende Protokolle werden momentan unterstützt HTTP FTP IRC SMTP Dispatcher, um diese Dienste auf beliebigen Ports zur Verfügung zu stellen

8 Flexibilität Ziel ist es, die best-mögliche Simulation zu bieten Policy Modus kein ausgehender Verkehr nur harmloser ausgehender Verkehr simulation half-proxy ausgehender Verkehr erlaubt (Content Filter) ausgehender Verkehr erlaubt (kein Filter) full-proxy transparent

9 Implementierung Bridging Von Kernel- zu User-Space Verarbeitung der Pakete im User-Space Interceptor Dispatcher

10 Bridging InMAS - Status Report C Packet-Flow Inside A Bridge Paketfluß innerhalb einer Bridge

11 How We Drive The Data Vorgehen (cont d)

12 Protokollidentifizierung Typischerweise Protokollidentifizierung per Port Bei Malware nicht möglich, da beliebige Ports verwendet werden Besser: Protokollidentifizierung per Payload Am besten: Hybride Protokollidentifizierung Zunächst per Payload Falls nötig per Zielport

13 Modi Simulation: Dispatching zu lokalem Dienst Half-Proxy: Dispatching zu lokalem Dienst und Zusatzinformation von Original-Server Full-Proxy: Dispatching zu Original-Server und Inhalts-Filterung Transparent: Kein Dispatching, nur zum Logging und Beobachten

14 System Struktur Filesystem Log Files Server-Resp FTP HTTP IRC SMTP Content Manipulation According the Protocol Filesystem Structure Manipulation Content Matching Protocol Identification Logging Protocol Interception/Dispatching Internet Header Payload

15 taken from our repository, is shown. There we only notice a successful domain name resolving and no further network activity takes place. want to remind you that it is in the nature of malicious binaries to not always behave deterministic. In fact during our very first test cases we often observed different behaviour in repeated executions of same binaries quite often. Analyse Beispiel We Listing 5.1: Process 4 (w/o TrumanBox) 1 <w i n s o c k s e c t i o n> 2 <connections unknown> 3 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= 0 > 4 <gethostbyname r e q u e s t e d h o s t= new. najd. us r e s u l t i n g a d d r= /> 5 </ c o n n e c t i o n> 6 </ connections unknown> 7 </ w i n s o c k s e c t i o n> Executing the same binary in our test environment running the Truman- Box in simulation mode we obtained the report given in Listing 5.2. There we can see the same activity, followed by an IRC connection directed to the IP address resolved. As we figured out by manual connection attempts the corresponding server is offline and hence could not be reached by an unfiltered connection request. Using our TrumanBox the connection request is redirected to our own IRC server. That way the malware is served with re-

16 taken in thefrom sameour wayrepository, as loggingiswas shown. demonstrated There we inonly Chapter notice 5.1. a In successful particularly noteworthy name resolving is, that andour notrumanbox further network recognises activity thetakes IRC protocol place. on domain want port to remind Accordingly you thatour it is protocol in the determination nature of malicious works as binaries expected. to not always behave deterministic. In fact during our very first test cases we often Listing 5.2: Process 4 (TrumanBox simulation) observed 5.2. TRUMANBOX different behaviour AND CWSANDBOX in repeated executions of same binaries quite 57 often. Analyse Beispiel We 1 <w i n s o c k s e c t i o n> 2 <connections unknown> 3 <c o n n e c t i o n c o n n e c t i o n e s t a b l i s h e d= 0 s o c k e t= 0 > 4 <gethostbyname r e q u e s t e d h o s t= new. najd. us r e s u l t i n g a d d r= Listing 5.1: Process 4 (w/o TrumanBox) /> 1 5 <w i n s</ o cck o ns en ce tc it oi on> n> 2 6 <connections </ unknown> 3 7 <c <co on nne ec ct ti oi on ns oc uo tn gn oei nc tg> i o n e s t a b l i s h e d= 0 s o c k e t= 0 > 4 8 <c <gethostbyname o n n e c t i o n p r o t or ce oq l= IRC u e s t e d hc os nt= new n e c t i o. nnajd e s t a. bus l i s h er d= 1 e s u l t i ns go cak de t= d r= 352 6t3 r. a1 n7 s3 p. 1o 7r t2 p. 9r 8 o t o c/> o l= TCP remoteaddr= </ c o nremoteport= n e c t i o n> > 6 9 </ connections <i r c d a t aunknown> n i c k= gm n o n r f c c o n f o r m= 0 servername= 7 </ w i n s o c k s0 e c t username= i o n> mbhvhefgz r e al n a m e= gm hostname= 0 > 10 <channel password= dcpass name= #dc /> 11 <n o t i c e d e l e t e d value= : i r c. l o c a l h o s t NOTICE gm : S e r v e r i s c u r r e n t l y i n s p l i t mode. /> 12 </ i r c d a t a> 13 </ c o n n e c t i o n> 14 </ c o n n e c t i o n s o u t g o i n g> 15 </ w i n s o c k s e c t i o n> Executing the same binary in our test environment running the Truman- Box in simulation mode we obtained the report given in Listing 5.2. There we can see the same activity, followed by an IRC connection directed to the IP address resolved. As we figured out by manual connection attempts the corresponding server is offline and hence could not be reached by an unfilteredas connection there is no request. spoofing Using implemented our TrumanBox for the IRC the connection protocol yet, request reports is redirected to our own IRC server. That way the malware is served with re-

17 Christian Gorecki Fragen? Danke für ihre Aufmerksamkeit! Pi1 - Laboratory for Dependable Distributed Systems

Ähnliche Dokumente

TrumanBox - Transparente Emulation von Internetdiensten

TrumanBox - Transparente Emulation von Internetdiensten 15. DFN Workshop Christian Gorecki Pi1 - Laboratory for Dependable Distributed Systems TrumanBox Hintergrund - Es gibt Honeypots / Honeynets und