Malware. Roberto Paleari, Alessandro Rinaldi

Транскрипт

1 Università degli Studi di Milano Facoltà di Scienze Matematiche, Fisiche e Naturali Anno Accademico 2007/ Novembre 2007

2 sequenza di codice progettata per danneggiare intenzionalmente un sistema, i dati che contiene o comunque alterare il suo normale funzionamento, all insaputa dell utente

3 Tipologie di malware virus worm trojan horse (anche adware, spyware,... ) backdoor root-kit...

4 Virus Definizione porzione di codice in grado di infettare altri programmi, modificandoli includendo una versione (eventualmente evoluta) di se stesso (F. Cohen [1])

5 Virus Tecniche di infezione boot sector/mbr file sovrascrittura companion (e.g. notepad.com e notepad.exe, o Win2k.Stream) inserimento in testa/coda/cavity entry point obscuring (EPO) memoria

6 Virus Macro Virus molte applicazioni sono programmabili con un proprio linguaggio di scripting macro per Microsoft Office, script Visual Basic, script mirc,... il virus richiede la presenza di un applicazione che contenga l interprete a volte tali linguaggi consentono anche la scrittura di virus multi-piattaforma

7 Virus Macro Virus nei prodotti Microsoft Office il virus è incluso nei documenti (o nei template) gestiti dalle applicazioni virus multi-piattaforma (a meno di language dependency o altri problemi di platform dependency) difficile rimuovere completamente il virus senza toccare le macro utenti: macro corruption macro conversion evoluzioni e devoluzioni del codice... esistono migliaia di esemplari: Melissa (1999), Laroux (Excel ),...

8 Worm Caratteristiche fondamentali A differenza dei virus, gli worm: si propagano via rete non necessitano di un host da infettare distinguiamo [3]: active worms non richiedono l intervento dell utente per la propagazione (exploit) worms richiedono una qualche azione dell utente (propagazione più lenta)

9 Worm Struttura [4] Componenti essenziali target locator: individuazione di nuovi bersagli (indirizzi , IP vulnerabili,... ) infection propagator: trasferimento del worm e infezione (e.g. exploiting) Componenti opzionali remote control and update interface payload: e.g. DoS/DDoS, patch per la protezione da altri worm,... self-tracking: tracciamento degli host infetti

10 Software anti-malware Componenti fondamentali motore di scansione signature (pattern da utilizzare per l identificazione dei virus) Metodologie di ricerca pattern-matching string scanning wildcard entry-point/top-and-tail scanning... algorithmic scanning code emulation analisi euristica Rimozione Una volta individuato, il malware deve anche essere rimosso completamente!

11 Tecniche di self-defense Encryption il corpo del malware è cifrato/decifrato dinamicamente chiave statica, dinamica, bruteforcing,... possibili anche più layer di cifratura Cascade l e a s i, c o r p o v i r u s mov sp, 0682 h c i c l o : xor [ s i ], s i xor [ s i ], sp i n c s i dec sp j n z c i c l o c o r p o v i r u s :... primo (?) esempio di virus cifrato XOR stessa procedura per cifrare e decifrare

12 Tecniche di self-defense Polimorfismo Esempio ancora corpo cifrato il malware è in grado di mutare la routine di cifratura l e a s i, c o r p o v i r u s nop mov sp, 0682 h sub ax, bx c i c l o : xor [ s i ], s i inc cx xor [ s i ], sp i n c s i add bx, cx dec sp j n z c i c l o c o r p o v i r u s :... le istruzioni evidenziate sono junk code possibile anche instruction reordering, instruction substitution, register replacement,... elevato numero di mutazioni possibili difficile individuare una signature costante

13 Tecniche di self-defense Metamorfismo metamorphics are body-polymorphics (Igor Muttik) W95/Regswap 5A pop edx BF mov edi, 0004 h 8BF5 mov e s i, ebp B80C mov eax, Ch 81C add edx, 0088 h 8B1A mov ebx, [ edx ] 58 pop eax BB mov ebx, 0004 h 8BD5 mov edx, ebp BF0C mov edi, Ch 81C add eax, 0088 h 8B30 mov e s i, [ eax ] W32/Evol BF0F mov edi, Fh 893E mov [ e s i ], e d i 5F pop e d i 52 push edx B640 mov dh, 4 0 BA8BEC5151 mov edx, EC8Bh 53 push ebx 8BDA mov ebx, edx 895 E04 mov [ e s i +0004], ebx BB0F mov ebx, Fh 891E mov [ e s i ], ebx 5B pop ebx 51 push ecx B9CB00C05F mov ecx, 5 FC000CBh 81C1C0EB91F1 add ecx, F191EBC0h 894 E04 mov [ e s i +0004], ecx

14 Tecniche di self-defense Polimorfismo e metamorfismo Polimorfismo Metamorfismo dopo la decifratura il malware appare in chiaro non esiste una versione in chiaro del malware adottano tecniche abbastanza semplici possono arrivare anche alla code integration (W95/Zmist) implemetazione relativamente semplice implementazione complessa

15 Tecniche di self-defense Altre tecniche anti-debugging anti-emulation anti-disassembling offuscamento da analisi statica

16 & Microsoft Windows Autostart entry points Come può il malware sopravvivere al riavvio del sistema? Alcuni esempi: hook nel registro: in {HKLM,HKCU}\SOFTWARE\Microsoft\Windows\CurrentVersion\, chiavi Run, RunOnce, RunServices, RunServicesOnce HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options injection come DLL in altri processi, es. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon application-specific, come HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar hook nel file system: %USERPROFILE%\Menu Avvio\Programmi\Esecuzione Automatica %WINDIR%\win.ini %WINDIR%\system.ini...

17 & Microsoft Windows Strumenti Alcuni strumenti utili (Sysinternals) 1 : regmon, filemon: chiavi di registro/file a cui un processo accede autoruns: applicazioni eseguite al boot tcpview: connessioni TCP in corso e porte in ascolto procexp... 1 sulla VM li trovate in C:\Utils\Sysinternals

18 Bibliografia I F. Cohen. Computer Viruses, Theory and Experiments. Computers & Security, 6:22 35, M. Russinovich and B. Cogswell. Windows Sysinternals Utilities. S. Staniford, V. Paxson, and N. Weaver. How to 0wn the Internet in Your Spare Time. May P. Szor. The Art of Computer Virus Research and Defense. Addison-Wesley Professional, 2005.