Research Challenges in Computer Security Dipartimento di Informatica Università di Verona

Transcript

1 Research Challenges in Computer Security Dipartimento di Informatica Università di Verona

2 GRUPPO DI RICERCA Sicurezza dei Computer Roberto Giacobazzi Isabella Mastroeni Mila Dalla Preda Alessandro Farinelli: intelligenza artificiale, machine learning Massimo Merro: sicurezza delle reti Fausto Spoto: analisi di Java Bytecode e Android spin-off dell Università di Verona analizzatore statico Java Bytecode e Android

3 COLLABORAZIONI

4 - tion - - STUDENTI Sicurezza dei Computer Curriculum di Sicurezza dei Sistemi Informatici di Laurea Magistrale in Ingegneria e Scienze Informatiche - Analisi Statica e Protezione - Sicurezza dei Sistemi - Sicurezza delle Reti - Crittografia Stage/tirocinio di 6/8 crediti che può essere svolto presso aziende del territorio Laboratorio Spy: tesisti, studenti magistrale

5 PROGETTI ATTIVI FIRB-2013 (Coordinatore: Mila Dalla Preda) FACE: Formal Avenue for Chasing malware (marzo febbraio 2017) SIR 2014 (Coordinatore: Isabella Mastroeni) DefiAnCE: proactive DEFence against Cyber crime (in fase di valutazione da parte del Ministero) Joint Project (Coordinatore: Isabella Mastroeni) AbScript: Abstract Interpretation based Analysis of Scripting Languages (settembre agosto 2016)

6 FACE: Formal Avenue for Chasing Malware March 2014 February 2017 (principal investigator) University of Verona (head unit) Politecnico of Milano Roberto Giacobazzi Isabella Mastroeni Stefano Zanero

7 MALWARE IN MODERN CYBERCRIME MALWARE EXPLOIT SERVERS MALICIOUS ACTOR CYBERCRIME MANAGER COMPROMISED SITE

8 VULNERABILITIES SYSTEM VULNERABILITIES HUMAN ISSUE SLOW VERIFICATION DEFENCE

9 FACE: Formal Avenue for Chasing Malware METAMORPHISM (static analysis) Original code Obfuscated code E call 0h E call 0h 5B pop ebx 5B pop ebx 8D 4B 42 lea ecx, [ebx + 42h] 8D 4B 42 lea ecx, [ebx + 45h] 51 push ecx 90 nop 50 push eax 51 push ecx 50 push eax 50 push eax 0F01 4C 24 FE sidt [esp - 02h] 50 push eax 5B pop ebx 90 nop 83 C3 1C add ebx, 1Ch 0F01 4C 24 FE sidt [esp - 02h] FA cli 5B pop ebx 8B 2B mov ebp, [ebx] 83 C3 1C add ebx, 1Ch 90 nop FA cli 8B 2B mov ebp, [ebx] Signature New signature E B 8D4B E B 8D4B F01 4C24 FE5B 83C3 1CFA 8B2B F01 4C24 FE5B 83C3 1C90 FA8B 2B Figure 1: Original code and obfuscated code from Chernobyl/CIH, and their corresponding signatures. Newly added [SYMANTEC 2013] 2011 variants per malware rate 5: variants per malware rate 38:1 CODE SHAPE MUTATION MALWARE-ENVIRONMENT INTERPLAY (dynamic analysis) DORMANT BEHAVIOUR ANTI-EMULATION PROTOTYPE DESIGN SIGNATURE EXTRACTOR

10 METAMORPHISM Self-modifying malware contains the metamorphic engine EXTRACT METAMORPHIC ENGINE BY STATICALLY ANALYSING THE METAMORPHIC CODE HARD Phase semantics [2010 VR] precisely models code changes, but leads to an undecidable detection scheme CODE SHAPE MUTATION Lose precision to gain decidability 8P : flow(p )=flow(m) ) P is variant of M M M1 M2 Instr 1 Instr 2 Instr 3 Instr 4 Instr 5 Instr 4 Instr 5 jmp garbage Instr 1 Instr 2 jmp garbage Instr 3 jmp garbage Instr 3 Instr 4 jmp garbage Instr 5 jmp garbage Instr 1 jmp garbage Instr 2 jmp garbage

11 METAPHOR SIGNATURE Merge of the flow graphs (of system calls) after 100 mutations Validation of the model on mobile malware

12 MALWARE-ENVIRONMENT INTERPLAY Study program interaction: how the execution of a program interferes with the execution of another program Abstract Non-Interference (ANI) theory [2004 VR] on data Lift ANI theory on programs HARD Analyse features that reveal its presence Inputs that trigger the malicious behaviour Environmen Analyser Analyser Environmen ANTI-EMULATION DORMANT BEHAVIOUR Validation of the model on mobile malware

13 DefiAnCE A proactive Defense against Cyber Crime Goal 2: Interferenza tra programmi Goal 1: Interferenza tra dati Goal 3: Interferenza tra dati e programmi (Computer forensics)

14 AbScript Analizzatore statico basato su interpretazione astratta per linguaggi dinamici (es. PHP) Necessità di predire non solo l evoluzione delle strutture dati ma anche l evoluzione del codice, che può cambiare dinamicamente a tempo di esecuzione specification and programming specification and programming specification specification dynamic analysis static analysis input program output input program output Analizzatore statico insensibile alle mutazioni dinamiche del codice

15 TECHNICAL RISKS Alan Turing HIGH COMPLEXITY HARD Kurt Godel DYNAMIC PARTIAL ANALYSIS PRECISE vs COMPLEXITY vs COVERAGE RECOVERY LOW COMPLEXITY SPY STATIC EXHAUSTIVE PRECISE LOOSE

16 THANKS