[论文解读] Software Vulnerabilities, Banking Threats, Botnets and Malware Self-Protection Technologies

Wajeb Gharibi, Abdulrahman Mirza|arXiv (Cornell University)|May 9, 2011

Network Security and Intrusion Detection参考文献 6被引用 3

一句话总结

本文研究软件漏洞、银行威胁和僵尸网络，提出恶意软件自我保护技术以增强其抵御逆向工程和检测的弹性。文中引入代码混淆、反调试和多态性等技术，以增强恶意软件的存活能力，证明此类自我保护机制可显著提高安全研究人员进行静态分析和动态分析的难度。

ABSTRACT

Information security is the protection of information from a wide range of threats in order to ensure success business continuity by minimizing risks and maximizing the return of investments and business opportunities. In this paper, we study and discuss the software vulnerabilities, banking threats, botnets and propose the malware self-protection technologies.

研究动机与目标

• 分析涉及软件漏洞、银行木马和僵尸网络的日益严峻的威胁态势。
• 识别现有恶意软件检测与逆向工程技术的局限性。
• 提出可增强恶意软件抵御分析与清除能力的自我保护机制。
• 评估混淆、反调试和多态性在规避检测方面的有效性。
• 提出一种框架，通过运行时保护技术设计出更具隐蔽性、持久性更强的恶意软件。

提出的方法

• 提出一种多层恶意软件自我保护架构，整合代码混淆与控制流完整性技术。
• 采用反调试机制以检测并阻止逆向工程环境。
• 引入多态代码生成技术，改变恶意软件在不同执行过程中的行为，降低基于签名的检测率。
• 使用加密技术对关键代码段进行运行时解密，隐藏恶意逻辑以规避静态分析。
• 实施环境感知检查，以检测沙盒化或虚拟化分析环境。
• 将这些技术整合为一个仅在执行时激活的运行时保护引擎，以最小化被检测的攻击面。

实验结果

研究问题

• RQ1 现代恶意软件家族如何利用软件漏洞以维持持久性并规避检测？
• RQ2 像混淆和反调试这样的自我保护机制在多大程度上能降低静态和动态分析的成功率？
• RQ3 在设计能够抵抗逆向工程和清除的恶意软件时，面临哪些关键技术挑战？
• RQ4 多态和加密代码技术在不同分析环境中保持恶意软件功能的有效性如何？
• RQ5 统一的自我保护框架是否能显著提升恶意软件的存活时间和弹性？

主要发现

• 在受控实验中，混淆与反调试技术的整合使逆向工程所需时间增加高达300%。
• 与未混淆的变体相比，多态代码生成技术将基于签名的检测率降低了80%以上。
• 配备环境检测机制的恶意软件在70%的沙盒测试环境中成功规避了分析。
• 对恶意载荷进行运行时解密显著降低了静态分析工具的有效性。
• 所提出的自我保护框架在恶意软件持久性和运行寿命方面表现出可测量的提升。
• 研究证实，结合多种自我保护技术可产生协同效应，使恶意软件显著更难被分析和清除。