[论文解读] Malware Dynamic Analysis Evasion Techniques: A Survey

Amir Afianian, Salman Niksefat+2 more|arXiv (Cornell University)|Nov 3, 2018

Advanced Malware Detection Techniques参考文献 33被引用 13

一句话总结

本文全面综述并分类了恶意软件动态分析绕过技术，区分了依赖检测的（例如指纹识别）与不依赖检测的（例如延迟执行、无文件执行）策略。文章指出，当前防御策略——尤其是反应式和透明性导向的方法——对零日指纹识别和不依赖检测的绕过手段无效，并主张采用通用的、基于路径探索的防御机制，以应对不断演变的恶意软件行为。

ABSTRACT

The Cyber world is plagued with ever-evolving malware that readily infiltrates all defense mechanisms, operates viciously unbeknownst to the user and surreptitiously exfiltrate sensitive data. Understanding the inner workings of such malware provides a leverage to effectively combat them. This understanding, is pursued through dynamic analysis which is conducted manually or automatically. Malware authors accordingly, have devised and advanced evasion techniques to thwart or evade these analyses. In this paper, we present a comprehensive survey on malware dynamic analysis evasion techniques. In addition, we propose a detailed classification of these techniques and further demonstrate how their efficacy hold against different types of detection and analysis approach. Our observations attest that evasive behavior is mostly interested in detecting and evading sandboxes. The primary tactic of such malware we argue is fingerprinting followed by new trends for reverse Turing test tactic which aims at detecting human interaction. Furthermore, we will posit that the current defensive strategies beginning with reactive methods to endeavors for more transparent analysis systems are readily foiled by zero-day fingerprinting techniques or other evasion tactics such as stalling. Accordingly, we would recommend pursuit of more generic defensive strategies with emphasis on path exploration techniques that have the potential to thwart all the evasive tactics.

研究动机与目标

• 为手动和自动化分析提供恶意软件动态分析绕过技术的全面分类。
• 识别并分析当前及新兴的绕过趋势，特别是从依赖检测的策略向不依赖检测的策略的转变。
• 评估现有防御策略（如反应式沙箱和透明分析系统）的局限性。
• 提出基于路径探索的技术，作为对多样化绕过策略更具通用性和有效性的防御手段。
• 引导未来研究聚焦于能够检测隐蔽恶意软件行为的弹性、自适应分析框架。

提出的方法

• 将绕过技术分为两大类：依赖检测的（例如指纹识别、反图灵测试）与不依赖检测的（例如延迟执行、无文件执行）。
• 分析通过反调试技术和运行时检测实现的手动动态分析绕过。
• 调查通过沙箱检测、环境指纹识别和行为混淆实现的自动化动态分析绕过。
• 评估包括反应式对策、透明沙箱（例如单机部署、裸金属）以及新兴通用方法在内的防御策略。
• 提出路径探索技术作为主动触发隐藏恶意行为的手段，通过探索多样化执行路径实现。
• 引入自动化指纹生成工具（例如 MORPHEUS、Red Pills），以增加指纹识别的复杂性，提升恶意软件绕过静态指纹识别的难度。

实验结果

研究问题

• RQ1 恶意软件在手动和自动化环境下主要使用哪些绕过动态分析的技术？
• RQ2 依赖检测的策略（如指纹识别和反图灵测试）在有效性和普遍性方面如何比较？
• RQ3 为何当前的防御策略——尤其是反应式和透明性导向的方法——对零日指纹识别和不依赖检测的绕过手段无效？
• RQ4 路径探索技术在多大程度上能够暴露传统动态分析无法检测的恶意行为？
• RQ5 如何利用沙箱环境的对抗性模仿（例如虚假沙箱）来威慑恶意软件，并提高其绕过难度？

主要发现

• 指纹识别是最普遍的绕过策略，恶意软件经常通过系统、网络和行为指标检测沙箱和虚拟化环境。
• 不依赖检测的策略（如延迟执行和无文件执行）正成为主导策略，使传统基于透明性的防御手段失效。
• 反应式防御机制和透明分析系统易受零日指纹识别和反图灵测试攻击的影响，这些攻击通过模拟人类交互行为来规避检测。
• 当前聚焦于沙箱透明性或反应式检测的防御策略，无法有效应对不依赖检测的绕过手段，因此亟需更具通用性的解决方案。
• 路径探索技术在通过触发隐藏执行路径暴露恶意行为方面展现出强大潜力，是应对多样化绕过策略的有前景的通用防御手段。
• 自动化工具如 MORPHEUS 和 Red Pills 可生成动态指纹，显著增加恶意软件通过静态指纹识别绕过检测的难度。