[论文解读] A Comparison of Trojan Virus Behavior in Linux and Windows Operating Systems

Ghossoon. M. W. Al-Saadoon, Hilal M. Y. Al-Bayatti|arXiv (Cornell University)|May 6, 2011

Advanced Malware Detection Techniques参考文献 1被引用 8

一句话总结

本文通过使用 Wireshark 捕获网络数据包，对比分析了 Linux 和 Windows 系统中木马病毒的行为，重点关注有效载荷大小、控制位以及通过电子邮件附件和聊天软件等感染向量的行为。研究发现，与 Linux 相比，Windows 在数据包头部和有效载荷特征方面表现出更多可检测的行为模式，表明 Windows 可能更容易受到某些基于网络的木马检测方法的影响。

ABSTRACT

Trojan virus attacks pose one of the most serious threats to computer security. A Trojan horse is typically separated into two parts - a server and a client. It is the client that is cleverly disguised as significant software and positioned in peer-to-peer file sharing networks, or unauthorized download websites. The most common means of infection is through email attachments. The developer of the virus usually uses various spamming techniques in order to distribute the virus to unsuspecting users. Malware developers use chat software as another method to spread their Trojan horse viruses such as Yahoo Messenger and Skype. The objective of this paper is to explore the network packet information and detect the behavior of Trojan attacks to monitoring operating systems such as Windows and Linux. This is accomplished by detecting and analyzing the Trojan infected packet from a network segment -which passes through email attachment- before attacking a host computer. The results that have been obtained to detect information and to store infected packets through monitoring when using the web browser also compare the behaviors of Linux and Windows using the payload size after implementing the Wireshark sniffer packet results. Conclusions of the figures analysis from the packet captured data to analyze the control bit, and check the behavior of the control bits, and the usability of the operating systems Linux and Windows.

研究动机与目标

• 调查 Linux 与 Windows 操作系统之间木马病毒行为的差异。
• 分析木马感染期间的网络数据包特征，特别是有效载荷大小和控制位。
• 评估使用数据包嗅探工具（如 Wireshark）进行基于网络的检测的有效性。
• 比较电子邮件附件和点对点文件共享等感染向量在两种操作系统中的表现。
• 确定在木马攻击期间，哪种操作系统在网络流量中表现出更易检测的行为特征。

提出的方法

• 在模拟木马攻击期间，使用 Wireshark 数据包嗅探工具捕获网络数据包。
• 监控源自电子邮件附件和聊天软件（如 Yahoo Messenger、Skype）的流量。
• 分析 TCP 数据包中的控制位（如 URG、ACK、PSH）以检测行为差异。
• 测量并比较 Linux 和 Windows 主机在类似攻击条件下感染数据包中的有效载荷大小。
• 收集并存储感染数据包，用于行为分析与对比。
• 使用网络段监控技术，在主机被入侵前检测并记录恶意数据包流。

实验结果

研究问题

• RQ1 木马病毒在 Linux 和 Windows 系统中的网络数据包行为有何不同？
• RQ2 TCP 数据包中的控制位在区分 Linux 与 Windows 系统上的木马活动方面起到什么作用？
• RQ3 在两种操作系统中，感染数据包的有效载荷大小如何变化？
• RQ4 在电子邮件附件与聊天软件这两种感染向量中，哪种导致了更易检测的网络签名？
• RQ5 基于 Wireshark 的数据包分析在多大程度上能够有效区分 Linux 与 Windows 系统中的木马行为？

主要发现

• 与 Linux 相比，Windows 系统在木马通信期间控制位的使用表现出更一致且更易检测的模式。
• 在相似攻击条件下，Windows 系统中感染数据包的有效载荷大小显著大于 Linux 系统。
• 在测试环境中，电子邮件附件被发现是比聊天软件更普遍且更易检测的木马传播向量。
• 使用 Wireshark 能够可靠地捕获和分析恶意数据包，特别是在识别 TCP 头部中的行为异常方面表现良好。
• Linux 系统在数据包数据中表现出较少可预测的行为特征，表明仅通过网络监控可能检测性较低。
• 控制位分析显示，基于 Windows 的木马频繁且一致地使用特定组合（如 PSH 和 ACK），而基于 Linux 的变种则表现得不那么一致。