[论文解读] Longitudinal Study of the Prevalence of Malware Evasive Techniques

Lorenzo Maffia, Dario Nisi+4 more|arXiv (Cornell University)|Dec 21, 2021

Advanced Malware Detection Techniques被引用 8

一句话总结

本文首次对Windows恶意软件中的反动态分析规避技术进行了大规模纵向研究，采用自研的基于Pin的工具Pepper，检测并绕过183,340个样本中的53种规避技术。研究发现，2020年超过40%的恶意软件样本使用了至少一种规避技术，其使用频率随时间推移而上升，且在不同样本中表现出显著的技术使用多样性。

ABSTRACT

By their very nature, malware samples employ a variety of techniques to conceal their malicious behavior and hide it from analysis tools. To mitigate the problem, a large number of different evasion techniques have been documented over the years, and PoC implementations have been collected in public frameworks, like the popular Al-Khaser. As malware authors tend to reuse existing approaches, it is common to observe the same evasive techniques in malware samples of different families. However, no measurement study has been conducted to date to assess the adoption and prevalence of evasion techniques. In this paper, we present a large-scale study, conducted by dynamically analyzing more than 180K Windows malware samples, on the evolution of evasive techniques over the years. To perform the experiments, we developed a custom Pin-based Evasive Program Profiler (Pepper), a tool capable of both detecting and circumventing 53 anti-dynamic-analysis techniques of different categories, ranging from anti-debug to virtual machine detection. To observe the phenomenon of evasion from different points of view, we employed four different datasets, including benign files, advanced persistent threat (APTs), malware samples collected over a period of five years, and a recent collection of different families submitted to VirusTotal over a one-month period.

研究动机与目标

• 测量现实世界中Windows恶意软件随时间演变的反动态分析规避技术的普遍性与演化趋势。
• 研究规避技术在不同恶意软件家族、APT组织及良性软件中的分布情况。
• 评估打包器/保护工具的使用与规避技术采纳之间的关系。
• 评估自研检测与缓解工具（Pepper）在实现对规避样本准确动态分析方面的有效性。
• 识别常被误判为恶意行为的合法用途技术，挑战其作为恶意行为指标的可靠性。

提出的方法

• 开发Pepper，一种基于Pin的动态二进制仪器工具，可检测并绕过七类中53种不同的反动态分析技术。
• 利用Pepper对四组多样化数据集进行动态分析：年度恶意软件集合（2016–2020年）、基于家族的恶意软件、APT样本及良性软件。
• 结合行为分析与仪器化技术，强制规避样本完整执行，从而检测其规避行为。
• 将规避技术分类为反调试、虚拟机检测、时间攻击和代码注入等类别，并实现细粒度检测逻辑。
• 通过在Themida保护器上测试Pepper，验证其有效性，确认其可完全检测并绕过其规避功能。
• 使用DIE工具识别打包器与保护器，将其存在与规避行为相关联，以评估其普遍性与使用模式。

实验结果

研究问题

• RQ1 在不同年份与恶意软件家族中，Windows恶意软件中反动态分析规避技术的普遍性如何？
• RQ2 规避技术的使用模式如何随时间演变？哪些技术被最常使用？
• RQ3 规避技术在多大程度上与打包器或保护器的使用相关联？哪些保护器在规避样本中最常见？
• RQ4 哪些规避技术常用于良性软件中？这些技术如何影响静态启发式检测作为恶意行为指标的可靠性？
• RQ5 每个样本中规避技术的数量如何变化？技术多样性与样本类型（如APT与普通恶意软件）之间是否存在相关性？

主要发现

• 2020年收集的恶意软件样本中，超过40%使用了至少一种规避技术，较2016年的约30%显著上升，表明规避行为呈增长趋势。
• 平均每种恶意软件样本使用2种规避技术，但部分样本使用超过十种，其中41%使用超过一种，17%使用超过两种。
• 超过90%使用现成打包器（如UPX、ASPack）打包的样本表现出反转储（Anti-Dump）技术，主要目的是防止内存转储。
• Themida是使用最广泛的保护器，其样本数量超过接下来三大常见保护器（VMProtect、ASProtect、ENIGMA）的总和，且具有高度规避能力。
• 超过60%的打包样本和超过50%的保护样本表现出规避行为，其中保护样本平均每个样本使用4.1种不同的规避技术。
• 四种常被报告的反分析技术（如特定的时间检查与注册表检查）也在良性软件中被发现，表明其并非恶意意图的可靠指标。