Technische Einblicke in moderne Anti-Viren Software - Möglichkeiten und Grenzen

Transkript

1 Technische Einblicke in moderne Anti-Viren Software - Möglichkeiten und Grenzen Candid Wüest Senior Threat Researcher Symantec Global Security Response

2 Über mich: Candid Wüest Sr. Threat Researcher bei Symantec Switzerland Bei Symantec seit 2003 Davon 3 Jahre im Security Respons Lab in Dublin Davor bei IBM Research Lab in Rüschlikon

3 Third Party Efficacy Tests 3

4 Bedrohungslage neue Threats pro Tag in 2009 (7.6 / s) 8.7 Mio Erkennungen pro Tag in 2009 (100 / s) infizierte Webseiten pro Tag in 2011 Gründe für die Flut: Toolkits zur Erstellung Runtime Packers Profit als Motivation Zunehmende Vernetzung 4

5 Runtime Packers z.b. UPX Komprimiert die Datei kleiner und meistens verschlüsselt Entpackt sich direkt in den Speicher braucht keine Tmp Datei Vereinfachter Vorgang: Mehrere Iterationen sind möglich Original binary file Loader & Decryptor compressed original file Neue Datei Anderer Hashwert Gleiches Verhalten 5

6 Packed & Obfuscated 6

7 Readable strings! 7

8 8

9 Es gibt viele verschiedene Methoden der Malware Erkennung Hier eine Auswahl: Static Analysis Signaturen Heuristiken Reputation Behavior Based IDS/IPS Cloud AV Whitelisting = 5 for extremely large values of 2! 9

10 Erstellen von Signaturen (Reaktiv) Datei beschaffen analysieren Signatur erstellen z.t. Automatisiert oder von Hand Echte physikalische Maschinen (nicht virtualisiert) API monitors Debugger Disassembler Enter any 11-digit prime number to continue...

11 Was sind Statische Signaturen (Blacklisting)? Finde einzigartige Bereiche der Malware Generisch genug um Varianten zu erkennen Heuristiken sind einfach sehr generische Signaturen Nicht zu generisch sonst gibt es mehr Falsch Erkennungen Methoden varieren von Checksummen bis zur Emulation Überprüfen selten komplette Datei An error? Impossible! My modem is error correcting. 11

12 Signaturen 4 Mio Signaturen in 2010 erstellt 2.9 Mio Signaturen in Mio Signaturen in Datenbank Engine kann alle Signaturen in <30ms überprüfen Signatur Updates alle 7 Minuten Pro Schädling weniger als 15 infiziert Computer Nachteile: Reaktiv Schlecht bei Mutationen oder Polymorphismus Relax, its only ONES and ZEROS!

13 Whitelisting Analog Blacklisting - einfach nur bekannte saubere Dateien Starten dürfen nur Prozesse welche auf der Liste stehen Gut bei Systemen welche sich selten ändern (z.b. validierte SYS) Pflegen solcher Listen ist sehr aufwendig Ähnliche Probleme wie beim Blacklisting Nachteile: Reaktiv Mühsame Datensatzpflege bei Updates bei Updates Nur bedingter Schutz Schutz vor Exploits vor Exploits Relax, its only ONES and ZEROS! All wiyht. Rho sritched mg kegtops awound?

14 Der ultimative AV Scanner? Gibt es einen AV Scanner welcher 100% aller Viren erkennt? Ja es ist möglich! Leider hat er eine False Positive Rate von >99.9% Scanner.bat Simply report ALL files as infected! Is it possible to have an AV scanner that detects 100% of all viruses? echo «This file is infected!» Yes No It has to be yellow No, max 99.99%

15 15

16 Was macht der Prozess? Does it log keystrokes? Writes to %System%? Is it persistent? Does it use the registry?? Visible windows? Executed by the user? Is it signed? Does it use the network? Computers are not intelligent. They only think they are 16

17 Verhaltensbasierte Erkennung Realtime Analyse von Prozessverhalten Bei Auffallen terminieren oder in Sandbox schieben >14 Mio verhaltensbasierter Erkennungen im letzten Jahr Das ist eine proaktive Methode Erkennt auch bis dahin unbekannte Schädlinge Nachteile: Malware muss ausgeführt werden Mehr False Positives ASCII stupid question, get a stupid ANSI! 17

18 Behavioral Policy Lockdown Definiere Normales Verhalten von Standard Prozessen Blockiere Abweichungen Kann infizierte Systemprozesse isolieren Kann vor 0-Day Exploits schützen Beispiel Internet Explorer: Herunterladen einer binären Datei nach %SYSTEM32% Automatisches Ausführen der besagten Datei Nachteile: Nicht Triviale Policies Mehr False Positives Machtlos bei Standalone Trojanern As far as we know, our computer has never had an undetected error 18

19 Signaturen aus der Wolke Bei unbekannten Dateien wird in der Cloud nachgefragt ob dort eine Signatur für diese Datei vorliegt z.b. per Hash Immer die aktuellsten Signaturen berücksichtigt Trotzdem die gleichen Probleme wie mit Signaturen Problem wird nur verlagert und Reaktionszeit verkürzt Nachteile: Immer noch Reaktiv Braucht Online Verbindung Information Leak? What if you friend does not know? REALITY.SYS corrupted: Reboot universe? (Y/N/Q)

20 Hypothetische Datei Klassifikation Press any key to continue or any other key to quit... 20

21 Verbreitung Ordnen nach Verbreitung Malicious Gutartig Was macht man mit der seltenen Malware? Blacklisting Whitelisting Does fuzzy logic tickle? 21

22 Datei Reputation Was wissen wir über diese Datei? Verbreitung, Alter, Ursprung, etc Nicht den Benutzer fragen, das funktioniert selten Malware meistens nur auf wenig Systemen (>50% Singeltons) Dilemma für Angreifer: Mehr mutieren schlechtere Reputation/Verbreitung Weniger mutieren einfache Erkennung mit Signaturen Nachteile: Braucht Online Verbindung Information Leak? More is good, All is better! 22

23 Unterstützende Methoden Je früher etwas geblockt wird desto besser für das System IDS/IPS Signaturen auf Exploits und C&C Code Generisches Exploit Blocking bei Schwachstellen Browser Protektion URL Blocklisten Decomposing & unpacking Einige Features helfen auch bei der Performance 23

24 AntiVirus alleine reicht (schon lange) nicht mehr! Es braucht eine Kombination von verschiedenen Methoden für einen umfassenden Schutz

25 Richtiges Testen von AntiViren Lösungen Ein aussagekräftiger AV Test sollte folgendes beinhalten: Aktive Malware ausgeführt mit Internet Verbindung Einen realistischen Infektionsvektor Test der Reaktiven & Proaktiven Komponenten Einen False Positive Test Eine Remediation Verifikation Mehr Informationen unter Quelle:tcs.ch

26 Typische Frage.welche man NICHT beantworten kann. Produkt X entdeckt Trojaner.Foobar, erkennt es Produkt Y auch? Antwort: Vielleicht Namen sind nicht 1:1 gemapt, gleiches gilt für Signaturen Um dies zu beantworten braucht es ein Sample oder Hash Vendor X, Trojan A Vendor Y, Trojan B 26

27 Typische Frage.welche man NICHT beantworten kann. Produkt X entdeckte Trojaner.Foobar, was macht dieser genau? Antwort: Keine Ahnung ;-) Es gibt generische WriteUps, aber Varianten können abweichen Um dies zu beantworten braucht es ein Sample oder Hash Vendor X, Trojan A Im WriteUp beschriebenes Sample 27

28 Typische Frage.welche man GUT beantworten kann. Kann ein Angreifer einen Schadcode unerkennbar machen? Antwort: Unerkannt ja, unerkennbar eher nein! Statische Signaturen können relativ leicht umgangen werden, proaktive Methoden sind schwerer zu umgehen Angreifer hat den Vorteil, er kann solange testen bis es klappt VirusTotal.com alleine ist aber kein Beweis 28

29 Thank you! Candid Wüest Besuchen Sie uns an der IT Security Konferenz Okt in Luzern ( Copyright 2010 Symantec Corporation. All rights reserved. Symantec and the Symantec Logo are trademarks or registered trademarks of Symantec Corporation or its affiliates in the U.S. and other countries. Other names may be trademarks of their respective owners. This document is provided for informational purposes only and is not intended as advertising. All warranties relating to the information in this document, either express or implied, are disclaimed to the maximum extent allowed by law. The information in this document is subject to change without notice. 29