[论文解读] Integration of Ether Unpacker into Ragpicker for plugin-based Malware Analysis and Identification

Erik Schaefer, Nhien‐An Le‐Khac+1 more|arXiv (Cornell University)|Aug 5, 2017

Advanced Malware Detection Techniques参考文献 11被引用 3

一句话总结

该论文将 Ether Unpacker 集成到基于插件的恶意软件分析工具 Ragpicker 中，以提高混淆恶意软件的解包率，从而更有效地识别代码族和可重用组件。该方法通过增强解包能力，显著提高了可分析恶意软件样本的比例，进而提升对恶意软件变种的检测与分类能力。

ABSTRACT

Malware is a pervasive problem in both personal computing devices and distributed computing systems. Identification of malware variants and their families others a great benefit in early detection resulting in a reduction of the analyses time needed. In order to classify malware, most of the current approaches are based on the analysis of the unpacked and unencrypted binaries. However, most of the unpacking solutions in the literature have a low unpacking rate. This results in a low contribution towards the identification of transferred code and re-used code. To develop a new malware analysis solution based on clusters of binary code sections, it is required to focus on increasing of the unpacking rate of malware samples to extend the underlying code database. In this paper, we present a new approach of analysing malware by integrating Ether Unpacker into the plugin-based malware analysis tool, Ragpicker. We also evaluate our approach against real-world malware patterns.

研究动机与目标

• 解决现有恶意软件分析工具解包率低的问题，从而限制了对恶意软件家族间重复和转移代码的识别。
• 通过增强解包混淆或加密二进制文件的能力，提升基于插件的恶意软件分析的有效性。
• 通过增加可分析的、已解包的二进制文件数量，扩展底层代码数据库，以支持恶意软件家族分类。
• 评估将 Ether Unpacker 集成到 Ragpicker 中对真实世界恶意软件样本的影响。
• 通过实现更准确、高效的代码族识别，支持恶意软件的早期检测。

提出的方法

• 将 Ether Unpacker（一种二进制解包工具）作为插件集成到 Ragpicker 恶意软件分析框架中。
• 利用 Ragpicker 的插件架构，在每个恶意软件样本的分析流水线中动态调用 Ether Unpacker。
• 应用解包过程以检测并从打包或加密的恶意软件二进制文件中提取原始代码。
• 使用代码段聚类技术分析解包后的二进制文件，识别相似性并将恶意软件归类为不同家族。
• 在真实世界恶意软件样本数据集上评估解包成功率和分类准确性。
• 利用增强的解包能力，丰富代码数据库，以提升恶意软件家族识别能力。

实验结果

研究问题

• RQ1 将 Ether Unpacker 集成到 Ragpicker 中，对混淆恶意软件样本的解包率有何影响？
• RQ2 解包能力的提升在多大程度上增强了对恶意软件家族和可重用代码组件的识别能力？
• RQ3 该集成方法对基于插件的恶意软件分析的整体准确性与效率有何影响？
• RQ4 与基线解包技术相比，该方法在真实世界恶意软件样本上的表现如何？
• RQ5 增强的解包能力是否能通过更优的代码族分类实现恶意软件的更早检测？

主要发现

• 将 Ether Unpacker 集成到 Ragpicker 显著提高了恶意软件样本的解包率，使此前无法访问的二进制文件得以分析。
• 该方法通过解包后的二进制文件揭示了此前隐藏的代码相似性，从而改善了恶意软件家族的识别。
• 增强的解包能力使得恶意软件分类的代码数据库更加广泛且更具代表性。
• 评估结果表明，该方法能有效处理真实世界恶意软件的典型模式，特别是采用打包或加密技术的样本。
• 基于插件的架构具有可扩展性，支持未来集成更多解包与分析模块。
• 结果表明，更高的解包率直接促进了恶意软件检测与分类的更快、更准确实现。