Analyse der Entwicklung von Malware

Transkript

1 TU Darmstadt 1. Kryptowochenende

2 Gliederung 1 Chronologische Betrachtung Übersicht über die Eigenschaften der Viren 2 3 4

3 Die Motivation Definitionen Chronologische Betrachtung Übersicht über die Eigenschaften der Viren und Würmer

4 Motivation Dissertationsthema: Kriminalität im Internet Überblick über das Verhalten von Schadprogrammen Ziel: Schätzung der durch Malware entstehenden Kosten

5 Definitionen Virus: infiziert Dateien Wurm: eigenständige Datei Trojaner : verbreitet sich nicht selbst Makrovirus: infiziert Office-Dokumente

6 Die 70er und 80er Jahre 1983 VD von Fred Cohen erster Virus Creeper und Reaper (70er): ARPANET Elk Cloner: 1981, Apple II Brain: 1986, IBM Lehigh: 1987, löscht Daten Cascade: 1987, verschlüsselt sich Morris: 1988, spioniert Passwörter aus, Unix Hoaxes: 1988, Falschmeldungen

7 Die frühen 90er Chameleon: 1990, polymorpher Virus Verändert seinen Quellcode und verschlüsselt sich dann Viren auf Gratis-Datenträgern: DiskKiller: 1990, verschlüsselt Festplatte (zufällig) CIH, Marburg, Form (Win 95 Betatest) Peach: 1992, Anti-Antivirus WinVir.1 4: 1992 erst Win 3.x-Virus

8 Mitte der 90er Makroviren: Concept: 1995, Word-Dokumente Laroux: 1996, Excel Wazzu: 1996, Download auf MS-Webseite Tristate: 1998, Office Internetzeitalter beginnt 1997: MS Mail, FTP, IRC

9 Der Super-GAU CIH / Chernobyl Überschreibt Daten auf der Festplatte Löscht Flash-BIOS schädigt Hardware Setzt sich in Dateilücken ( Spacefiller ) Trojaner (Trojanische Pferde) Spionieren Passwörter aus Ermöglichen Remote-Zugriff durch Backdoor VBS-Viren, HTML-Viren

10 für Dich 1999 Makrovirus Melissa Verschickte sich an die ersten 50 Einträge im Adressbuch von MS Outlook 2000 Y2k-Bug befürchtet VBS-Wurm LoveLetter Versandte sich an alle Outlook-Einträge Übertraf Ausbreitung von Melissa

11 I love you (Loveletter)

12 Das Jahr 2000 Doppelte Dateiendungen Netzwerkfreigaben Eintrag in der Registry Downloads aus dem Internet

13 2001: Odyssee im RAM Datenlose Würmer Nur im RAM, keine Daten auf der Festplatte -Würmer Harvester statt Adressbücher Eigene SMTP-Engine Gefälschte Absender Mehrsprachige Texte

14 2001: Odyssee im RAM Nimda Gastaccount mit Administrationsrechten Tendenz zu Backdoor-Malware Klez-Familie Automatisches Öffnen des Anhangs (Outlook) Würmer nutzen gezielt Sicherheitslücken

15 Patchwork 3 / 4 aller Top-Ten-Viren ziehen Patch von Microsoft nach sich Malware deaktiviert Antiviren-Programme und Personal Firewalls Systemnamen als Tarnung Bugbear infiziert auch freigegebene Drucker

16 Fehlermeldung (Blaster-A)

17 Blaster und Bots (2003) Löschfunktion fast bedeutungslos Tendenz zu Bots (Zombies) Spam-Bots (D)DoS-Angriffe Swen Angeblicher Patch von Microsoft Nachi Löscht Blaster, installiert Patches

18 Phishing for Credit Cards Phishing-Würmer (Mimail-Familie) Spionieren z.b. Kreditkarteninformationen aus weniger als 1% des Virenaufkommens Meist im Zusammenhang mit Spambots

19 Phishing-Fenster (Mimail-I )

20 Worms for Download -Würmer filtern Adressen Keine Administratoren und Antiviren-Hersteller Kopien in Filesharing-Verzeichnissen (KaZaA) Tarnung als Firewall- oder AVP-Prozess Sasser Nutzt Sicherheitslücke im LSASS

21 Seit 2005 Im Netz nichts Neues aber das neue Windows kommt bald

22 Auswertung zweier Viren-Datenbanken und Top-Ten-Statistiken Online-Archive von Sophos und Symantec Eigenschaften durch 41 Variablen abgebildet Ca. 300 Schadprogramme im

23 Verteilung der Malware

24 Dendrogramm Ergebnisse Klassifikationsverfahren Fasst ähnliche Objekte/Cluster zusammen Berechnet Ähnlichkeit über Distanzmatrix Average-Linkage-Verfahren mit euklidischer Metrik

25 Distanzmatrix Dendrogramm Ergebnisse 98/ ,6 161,8 230,8 285,1 251,1 270,5 301, ,6 135,7 210,6 261,1 222,6 243,5 278, ,8 135,7 135,2 191,3 162,8 188,5 221, ,8 210,6 135,2 139,4 111,0 151,2 175, ,1 261,1 191,3 139,4 131,1 175,2 182, ,1 222,6 162,8 111,0 131,1 117,0 152, ,5 243,5 188,5 151,2 175,2 117,0 80, ,9 278,2 221,6 175,5 182,4 152,5 80,0

26 Dendrogramm Dendrogramm Ergebnisse

27 Ergebnisse Dendrogramm Ergebnisse Wenig Entwicklung zwischen den Jahren 1998/99 und 2004/05 Größter Sprung zwischen 2000 und Würmer werden vielseitiger Unterschiede werden jährlich größer Ausnahme: 2002 Besonders viele Sicherheitslücken und Patches sowie Spyware, Anti-Schutzprogramme, etc.

28 Erklärte Gesamtvarianz Ergebnisse (Faktoren) Dient der Dimensionsreduktion Erklärt Zusammenhänge vieler Variablen durch wenige Faktoren Hier: 41 Variablen durch 7 Faktoren Korrelationsmatrix Stellt Zusammenhänge zwischen Variablen dar

29 Erklärte Gesamtvarianz Erklärte Gesamtvarianz Ergebnisse (Faktoren) Faktor Eigenwert Anteil der Varianz kumulierte Anteile 1 17,89 44,73 44,73 2 8,55 21,37 66,10 3 4,61 11,53 77,63 4 3,64 9,09 86,71 5 2,80 7,00 93,72 6 1,42 3,56 97,27 7 1,09 2,73 100,00

30 Scree-Test Erklärte Gesamtvarianz Ergebnisse (Faktoren)

31 Moderne Mail-Würmer Erklärte Gesamtvarianz Ergebnisse (Faktoren) Makros -0,84-0,37-0,07-0,27-0,29-0,03-0,04 Würmer 0,75 0,22 0,17 0,33 0,37 0,31 0,14 0,81 0,32-0,00 0,05 0,34 0,35 0,06 Harvester 0,76 0,23 0,46 0,17 0,29 0,13-0,17 mehrsprachig 0,85-0,31 0,02-0,23 0,20 0,03-0,30 Registry 0,78 0,32 0,07 0,20 0,36 0,34-0,05 SMTP 0,76 0,33 0,49 0,12 0,20 0,11-0,10 Backdoor 0,92 0,22 0,18-0,12-0,09 0,16 0,18 Jahr 0,70 0,04 0,44 0,25 0,41 0,29 0,08

32 Sicherheitslücken Erklärte Gesamtvarianz Ergebnisse (Faktoren) Trojaner 0,07 0,95-0,21-0,22 0,08 0,03 0,04 Spyware 0,06 0,92 0,25-0,07-0,19 0,19-0,11 MS-Patch 0,28 0,94 0,07 0,17-0,09 0,05-0,01 MS-Software 0,26 0,92-0,22 0,06-0,09 0,16 0,07

33 Datenmanipulation Erklärte Gesamtvarianz Ergebnisse (Faktoren) Skripte -0,05 0,12-0,80-0,16 0,17 0,16 0,51 Datenänderung 0,05 0,33-0,66-0,54-0,02-0,40-0,06 Datenvernichtung -0,13 0,02-0,79-0,39-0,25-0,39-0,05

34 Zweck der Übung Erklärte Gesamtvarianz Ergebnisse (Faktoren) Phishing 0,15-0,10 0,16 0,93 0,21 0,12-0,13 Peer-to-Peer 0,23 0,06 0,20 0,93-0,14 0,10 0,08 D-DoS 0,30-0,14 0,32 0,87 0,09 0,13 0,06

35 Unauffällige Verbreitung Erklärte Gesamtvarianz Ergebnisse (Faktoren) Dateiendungen 0,44 0,41 0,25-0,12 0,73 0,15 0,03 Mail-Avoid 0,46-0,45 0,47-0,12 0,58 0,11 0,05 Filesharing 0,41-0,42 0,41 0,25 0,63 0,16-0,08

36 Hardwareorientierung Erklärte Gesamtvarianz Ergebnisse (Faktoren) BIOS Int 13-0,38-0,26 0,02-0,08-0,13-0,87-0,06 BIOS/CMOS -0,12-0,05-0,26-0,35-0,45-0,57-0,52 MBR -0,43-0,26 0,03-0,09-0,15-0,84-0,08

37 Nutzung von IRC und ICQ Erklärte Gesamtvarianz Ergebnisse (Faktoren) IRC / ICQ 0,06-0,19-0,21-0,20-0,08-0,06 0,95

38 Zusammenhang zwischen Zeit und Malware-Typen Makros bis 2000 stark vertreten Dominanz der Würmer seit 2002 Wachsende Vielseitigkeit und Komplexität Entwicklung von Datenvernichtung hin zu Missbrauch (Bots) und Datendiebstahl Unmittelbares Phishing nicht verbreitet

39 Anmerkungen Anzahl der unterschiedlichen Schadprogramme steigt zur Zeit jährlich um ca. 20% Ca. 300 im Jahr 1991 Inzwischen über Anteil verseuchter s: 10-25%

40 Zu guter Letzt Anregungen, Fragen, neue Quellen Vielen Dank für Ihre Aufmerksamkeit Weiterhin viel Spaß beim Kryptowochenende