[论文解读] Easy to Fool? Testing the Anti-evasion Capabilities of PDF Malware Scanners

Saeed Ehteshamifar, Antonio Barresi+2 more|arXiv (Cornell University)|Jan 17, 2019

Advanced Malware Detection Techniques参考文献 52被引用 11

一句话总结

本文提出了一套系统化的方法，用于评估绕过PDF恶意软件扫描器的欺骗技术的有效性，采用一种名为Chameleon的新框架生成了1,395个富含一种或多种欺骗技术的恶意PDF文档。研究发现，41款最先进的扫描器中有40款可被简单欺骗技术绕过，其有效性差异显著，多种欺骗技术的组合甚至能绕过最坚固的扫描器。

ABSTRACT

Malware scanners try to protect users from opening malicious documents by statically or dynamically analyzing documents. However, malware developers may apply evasions that conceal the maliciousness of a document. Given the variety of existing evasions, systematically assessing the impact of evasions on malware scanners remains an open challenge. This paper presents a novel methodology for testing the capability of malware scanners to cope with evasions. We apply the methodology to malicious Portable Document Format (PDF) documents and present an in-depth study of how current PDF evasions affect 41 state-of-the-art malware scanners. The study is based on a framework for creating malicious PDF documents that use one or more evasions. Based on such documents, we measure how effective different evasions are at concealing the maliciousness of a document. We find that many static and dynamic scanners can be easily fooled by relatively simple evasions and that the effectiveness of different evasions varies drastically. Our work not only is a call to arms for improving current malware scanners, but by providing a large-scale corpus of malicious PDF documents with evasions, we directly support the development of improved tools to detect document-based malware. Moreover, our methodology paves the way for a quantitative evaluation of evasions in other kinds of malware.

研究动机与目标

• 系统评估欺骗技术在绕过现代PDF恶意软件扫描器方面的有效性。
• 识别在绕过静态和动态扫描器方面最有效的欺骗技术及其组合。
• 衡量欺骗技术的非预期副作用及其对扫描器检测的影响。
• 提供一个大规模、可重用的欺骗性恶意PDF文档数据集，用于基准测试和改进扫描器工具。
• 建立一种可推广的方法论，适用于评估其他恶意软件类型的欺骗技术。

提出的方法

• 开发了Chameleon框架，可自动将一种或多种欺骗技术注入现有恶意PDF文档中。
• 将多种欺骗类型（包括代码混淆、环境检查和基于用户界面的检测欺骗）集成到漏洞利用载荷中。
• 验证每个生成文档的功能，确保其在应用欺骗技术后仍保持恶意性。
• 自动生成1,395个具有受控欺骗配置的独特恶意PDF文档。
• 在41款最先进的PDF扫描器上评估这些文档，其中34款通过VirusTotal进行测试。
• 收集检测结果，并分析欺骗成功率、扫描器差异及副作用。

实验结果

研究问题

• RQ1 单个欺骗技术在绕过现代PDF恶意软件扫描器方面的有效性如何？
• RQ2 组合多种欺骗技术对扫描器检测率有何影响？
• RQ3 不同类型的扫描器（静态与动态）如何响应各种欺骗策略？
• RQ4 哪些欺骗技术组合最能有效绕过最广泛的扫描器集合？
• RQ5 欺骗技术是否会引入非预期副作用，导致原本未被检测到的文件变得可检测？

主要发现

• 所研究的41款PDF恶意软件扫描器中，全部至少被一种欺骗技术绕过，仅有一款扫描器（Jordan et al., 2018）保持稳健。
• 欺骗成功率差异极大：部分扫描器被超过80%的测试欺骗技术绕过，而其他扫描器则检测到大多数欺骗文档。
• 三种特定的欺骗技术组合成功绕过了41款扫描器中的40款，表明存在高风险攻击模式。
• 欺骗技术的有效性取决于底层攻击机制；例如，JavaScript混淆对分析脚本内容的扫描器极为有效。
• 欺骗技术可能带来非预期副作用，例如因结构变化导致原本未被检测到的文件变得可检测。
• 本研究证明，自动化、多层欺骗组合可有效绕过现代扫描器中的静态和动态分析。