Statischevs. Dynamische Malwareanalyse

Transkript

1 Statischevs. Dynamische Malwareanalyse A day in the life of a malware analyst Florian Nentwich, Georg Kremsner Security Forum Hagenberg,

2 Malware Statistik täglich 20k bis 40k Samples neu 8 Mitarbeiter im Analyselabor 3k bis 5k Samples / Mitarbeiter am Tag Automatisierung notwendig Florian Nentwich / Georg Kremsner 2

3 Viren-Samples bei IKARUS Florian Nentwich / Georg Kremsner 3

4 Kategorisierung von Samples Malware not-a-virus Ad-/Spyware False Positives Florian Nentwich / Georg Kremsner 4

5 Virenscanner Dateiformatanalyse Pattern Heuristik Emulation/Simulation Florian Nentwich / Georg Kremsner 5

6 Statische Analyse Analyse der Samples ohne Ausführung Möglichkeiten Dateiformat File-Header-Analyse Patternmatching Imports/Exports Disassembly Florian Nentwich / Georg Kremsner 6

7 Tools zur statischen Analyse Virenscanner (auch Multiscanner) Windows Dateieigenschaften PEiD, TrID, Stud_PE CFF Explorer Editor, Hex-Editor FileAlyzer Disassembler Florian Nentwich / Georg Kremsner 7

8 Florian Nentwich / Georg Kremsner 8

9 Florian Nentwich / Georg Kremsner 9

10 Florian Nentwich / Georg Kremsner 10

11 Florian Nentwich / Georg Kremsner 11

12 Florian Nentwich / Georg Kremsner 12

13 Florian Nentwich / Georg Kremsner 13

14 Florian Nentwich / Georg Kremsner 14

15 Probleme statischer Analyse Laufzeit-Packer verkleinern File, entpacken vor Ausführung verändern Aussehen der Binärdatei UPX, ASPack, NSPack,... Crypter und Software Protection/Obfuscation unterschiedliche Methoden zur Ausführung verändern Aussehen der Binärdatei stark Reverse-Engineering/Disassembly stark erschwert Armadillo, PE-Crypter, Themida,... Florian Nentwich / Georg Kremsner 15

16 Dynamische Analyse Analyse des Samples während/nach der Ausführung Möglichkeiten Simulation Debugging Sandboxes Analyse meist in VM oder eigenem Labor Florian Nentwich / Georg Kremsner 16

17 Tools zur dynamischen Analyse OllyDbg, IDA Pro, WinDbg Sandboxie Sysinternals Toolset Wireshark Anubis, CWSandbox, JoeBox, ThreatExpert,... Wepawet für JS/PDF, Flash Florian Nentwich / Georg Kremsner 17

18 Florian Nentwich / Georg Kremsner 18

19 Florian Nentwich / Georg Kremsner 19

20 Florian Nentwich / Georg Kremsner 20

21 Florian Nentwich / Georg Kremsner 21

22 Florian Nentwich / Georg Kremsner 22

23 Florian Nentwich / Georg Kremsner 23

24 Florian Nentwich / Georg Kremsner 24

25 Florian Nentwich / Georg Kremsner 25

26 Florian Nentwich / Georg Kremsner 26

27 Probleme dynamischer Analyse I Anti-Debugging erschwert die Analyse in einem Debugger Packer, Crypter, Obfuscation Erkennung des Debuggers Spaghetti-Code, sinnloser Code Anti-Emulation/Anti-Sandbox verhindert/erschwert die Ausführung in Sandbox Timeout-Problematik, Interaktivität gleichbleibendes Emulationssystem Florian Nentwich / Georg Kremsner 27

28 Probleme dynamischer Analyse II VM-/Emulator-Erkennung Ausführung innerhalb einer VM wird erkannt Erkennung der VM-Software Unterschiede zu echtem System Kontaktaufnahme zu externem Server Systemvoraussetzungen unterschiedliche Sprache Architektur (32-/64-Bit) Betriebssystem Florian Nentwich / Georg Kremsner 28

29 Zusammenfassung ständige Weiterentwicklung der Malware AV-Industrie arbeitet oft nach Aktion Reaktion Publikationen helfen beiden Seiten Verhalten bekannt wirklich böse? Florian Nentwich / Georg Kremsner 29

30 Fragen Florian Nentwich Georg Kremsner Florian Nentwich / Georg Kremsner 30

31 Links Multiscanner Virustotal - Jotti - VirSCAN - Florian Nentwich / Georg Kremsner 31

32 Links statische Tools PEiD- TrID- Stud_PE- CFF Explorer - HxD- FileAlyzer Florian Nentwich / Georg Kremsner 32

33 Links dynamische Tools OllyDbg- IDA Pro - WinDbghttp:// ging/default.mspx Sandboxie- Sysinternals Toolset - Wireshark- Florian Nentwich / Georg Kremsner 33

34 Links Sandboxes Anubis - CWSandbox - ThreatExpert - Joebox - JS-/PDF- und Flash-Analyse Wepawet - Florian Nentwich / Georg Kremsner 34