Ταξινόμηση λογισμικού packing: Συνδυάζοντας στατικά και δυναμικά χαρακτηριστικά για βέλτιστο αποτέλεσμα

Abstract

Το λογισμικό packing στη σύγχρονη εποχή χρησιμοποιείται ευρέως τόσο σε κακόβουλο όσο και σε ασφαλές λογισμικό. Έρευνα που διεξήχθη από τη McAfee το 2017 έδειξε ότι περίπου το 80% του κακόβουλου λογισμικού που εντοπίζεται στο διαδίκτυο χρησιμοποιεί τεχνικές συμπίεσης και packing. Η χρήση packing είναι επίσης δημοφιλής και σε εταιρείες που επιθυμούν την προστασία της πνευματικής τους ιδιοκτησίας. Η συνεισφορά μου στη μελέτη των packers είναι η πρόταση ενός νέου ταξινομητή, ανθεκτικού σε στατικές τροποποιήσεις και μεθόδους προστασίας του εκτελέσιμου, που παράγει δυναμικές υπογραφές μέσα από την καταμέτρηση του αριθμού και του είδους των κλήσεων σε συναρτήσεις του Windows API που πραγματοποιούνται από το packed πρόγραμμα. Στα πλαίσια της παρούσας διπλωματικής, αναπτύχθηκαν δύο επιπλέον μοντέλα στατικής ανάλυσης και ανάλυσης ομοιότητας που μπορούν να συνδυαστούν με τον δυναμικό ταξινομητή για βέλτιστα αποτελέσματα. Για αυτόν το σκοπό, αναπτύχθηκε μια αυτοματοποιημένη διαδικασία συλλογής στατικών και δυναμικών χαρακτηριστικών από περισσότερα από 3000 διαφορετικά packed και μη Windows PE εκτελέσιμα. Χρησιμοποιώντας σύγχρονους αλγόριθμους μηχανικής μάθησης, π.χ. Random Forests, Perceptrons, K-Neighbors Classifiers, XGBoost Classifiers, Gradient Boosting Classifiers και Support Vector Machines κατάφερα να ταξινομήσω τους packers με 99% επιτυχία στη μετρική Accuracy και 99% στη μετρική Macro Average F1 Score για το στατικό μοντέλο και 97% Accuracy και 89% Macro Average F1 Score για το δυναμικό μοντέλο. Με αυτόν τον τρόπο, αποδεικνύω ότι είναι δυνατό να πραγματοποιηθεί ταξινόμηση με χρήση δυναμικών χαρακτηριστικών, η οποία στη συγκεκριμένη περίπτωση είναι πιο ανθεκτική σε τροποποιήσεις του εκτελέσιμου από ό,τι η στατική ταξινόμηση, γεγονός που συχνά δε μελετάται στη σχετική βιβλιογραφία. Το μοντέλο ομοιότητας που αναπτύχθηκε, χρησιμοποιεί την ομοιότητα στα TLSH, SSDEEP και ImpHash μεταξύ των εκτελέσιμων για τον εντοπισμό του packer που χρησιμοποιήθηκε. Το μοντέλο εντοπίζει σωστά τον packer στο 43% το περιπτώσεων, χωρίς να κάνει κάποιο λάθος για όσους packers εντοπίζει. Το γεγονός αυτό το καθιστά ιδανικό για συνδυασμό με τα άλλα δύο μοντέλα δυναμικής και στατικής ανάλυσης.