[论文解读] Modeling the Propagation of Trojan Malware in Online Social Networks

Mohammad Reza Faghani, Uyen Trang Nguyen|arXiv (Cornell University)|Aug 3, 2017

Advanced Malware Detection Techniques参考文献 39被引用 9

一句话总结

本文提出了一种新颖的分析模型，用于模拟在线社交网络（OSNs）中木马恶意软件的传播，综合考虑了现实的网络拓扑、防病毒（AV）动态、用户行为以及社交工程策略。该模型在 O(E) 时间复杂度下实现了高精度，并表明快速的防病毒更新和协作式清除可显著减少感染传播。

ABSTRACT

The popularity and widespread usage of online social networks (OSN) have attracted cyber criminals who have used OSNs as a platform to spread malware. Among different types of malware in OSNs, Trojan is the most popular type with hundreds of attacks on OSN users in the past few years. Trojans infecting a user's computer have the ability to steal confidential information, install ransomware and infect other computers in the network. Therefore, it is important to understand propagation dynamics of Trojans in OSNs in order to detect, contain and remove them as early as possible. In this article, we present an analytical model to study propagation characteristics of Trojans and factors that impact their propagation in an online social network. The proposed model assumes all the topological characteristics of real online social networks. Moreover, the model takes into account attacking trends of modern Trojans, the role of anti-virus (AV) products, and security practices of OSN users and AV software providers. By taking into account these factors, the proposed model can accurately and realistically estimate the infection rate caused by a Trojan malware in an OSN as well as the recovery rate of the user population.

研究动机与目标

• 开发一种准确的分析模型，用于模拟现实世界在线社交网络（OSNs）中木马恶意软件的传播，突破以往基于均匀混合等简化假设的局限。
• 整合现实因素，如 OSN 拓扑中的幂律度分布、高聚类性以及短平均路径长度。
• 建模现代木马行为，包括阻止用户访问防病毒提供商网站，以及利用社交工程手段诱骗用户执行恶意软件。
• 评估防病毒更新时机、用户意识以及协作式清除对感染率和恢复率的影响。
• 通过真实 Facebook 子图验证该模型，并展示其计算效率与准确性。

提出的方法

• 模型采用无向图表示 OSNs，其中节点代表用户，边代表相互关系。
• 基于用户连通性与社交工程成功概率（p_i）构建随机感染过程，模拟用户如何被诱骗执行恶意软件。
• 通过时变补丁发布函数 β̂(t) 反映现实世界中防病毒更新延迟，体现防病毒保护机制。
• 包含一种恢复机制，允许被感染用户通过协作方式被清除，模拟点对点的清理努力。
• 整合高级木马的阻断行为，即阻止用户访问防病毒网站，从而降低防护有效性。
• 通过在真实 Facebook 子图上的仿真验证模型，结果与数值解对比，确认其准确性与 O(E) 时间复杂度。

实验结果

研究问题

• RQ1 现实 OSN 拓扑——具有幂律度分布、高聚类性及短平均路径长度——如何影响木马恶意软件的传播？
• RQ2 防病毒更新时机与用户意识在多大程度上影响 OSN 中木马恶意软件的感染率与恢复率？
• RQ3 协作式清除在减少使用社交工程手段规避检测的复杂木马传播方面有多有效？
• RQ4 高级木马行为（如阻止访问防病毒提供商网站）如何影响整体感染动态？
• RQ5 所提出的分析模型能否在真实 OSN 拓扑中以低计算复杂度（O(E)）准确预测感染与恢复率？

主要发现

• 所提模型在估计感染与恢复率方面具有高精度，数值结果与真实 Facebook 子图上的仿真结果高度吻合。
• 快速发布防病毒更新可显著减少被感染用户数量，尤其对零日或新型恶意软件变种效果明显。
• 协作式清除是一种有效的恢复机制，尤其适用于利用高级社交工程手段规避检测的复杂木马。
• 用户意识与安全浏览习惯可减缓恶意软件传播，凸显 OSN 提供商开展教育宣传的重要性。
• 该模型表现出 O(E) 的低计算复杂度，适用于大规模 OSN 环境的可扩展性。
• 木马阻止用户访问防病毒网站会降低防护有效性，强调 OSN 提供商需通过短信或电子邮件主动通知用户感染情况。