docMalware
download 
Reclamo Transcript
Malware
Università degli Studi di Milano Malware Aristide Fattori [email protected] Introduzione Malware Sequenza di codice progettata per danneggiare intenzionalmente un sistema, i dati che contiene o comunque alterare il suo normale funzionamento, all’insaputa dell’utente A. Fattori Malware 3 replicazione autonoma no replicazione replicazione Tipologie di malware Virus Worm Dialer Root-kit Spyware Trojan horse necessita ospite Keylogger nessun ospite dipendenza da ospite A. Fattori Malware 4 Virus Virus replicazione autonoma necessitano di un ospite in cui inserirsi riproduzione attraverso la diffusione dell’ospite riproduzione payload A. Fattori infezione Malware 6 Virus replicazione autonoma necessitano di un ospite in cui inserirsi riproduzione attraverso la diffusione dell’ospite • • • • riproduzione payload A. Fattori File eseguibili Boot sector Script Documenti infezione Malware 6 Virus replicazione autonoma necessitano di un ospite in cui inserirsi riproduzione attraverso la diffusione dell’ospite • • • • La parte non relativa all’infezione (@FORMAT C: /AUTOTEST) riproduzione payload A. Fattori File eseguibili Boot sector Script Documenti infezione Malware 6 Virus Esempio “alto livello” DEMO A. Fattori Malware 7 Tecniche di infezione File infection File infection companion sovrascrittura inserimento in testa/coda/cavity entry point obfuscation (EPO) A. Fattori Malware 8 Tecniche di infezione File infection Companion Virus sfruttare la precedenza dei .com sui .exe (es, notepad.com e notepad.exe) sfruttare l’ordine con cui un eseguibile viene cercato nel path (es, $PATH=/usr/local/bin:/usr/bin:/bin:...) meno efficace quando si usa la GUI A. Fattori Malware 8 Tecniche di infezione File infection Sovrascrittura parte del codice dell’ospite è sostituito con quello del virus l’ospite non funzionerà più correttamente (⇒ rimozione impossibile) A. Fattori Malware 8 Tecniche di infezione File infection Parasitic virus: inserimento in testa virus entry programma infezione entry ...gramma pro... A. Fattori Malware 8 Tecniche di infezione File infection Parasitic virus: inserimento in coda entry programma infezione programma virus entry modifica delle prime istruzioni dell’ospite o dell’entry point nel caso di eseguibili “complessi” (es, PE, ELF, . . . ) è necessario aggiornarne le strutture A. Fattori Malware 8 Tecniche di infezione File infection Cavity virus jmp <virus> entry entry programma infezione ...rogramma virus cavità p... alcuni virus (e.g. W95/CIH) sono in grado di ripartire il proprio codice tra più cavità (fractionated cavity virus) A. Fattori Malware 8 Tecniche di infezione EPO: Entry Point Obfuscation & Code Integration EPO Modifiche all’entry point originale di un programma sono facilmente identificabili: A. Fattori Malware 9 Tecniche di infezione EPO: Entry Point Obfuscation & Code Integration EPO Modifiche all’entry point originale di un programma sono facilmente identificabili: joystick@arya:~$ readelf -h /bin/ls ELF Header: Class: ELF64 ... Entry point address: 0x4046d4 A. Fattori Malware 9 Tecniche di infezione EPO: Entry Point Obfuscation & Code Integration EPO Modifiche all’entry point originale di un programma sono facilmente identificabili: il virus ritarda il passaggio del controllo al suo codice sovrascrive una chiamata a funzione modifica la import table A. Fattori Malware 9 Tecniche di infezione EPO: Entry Point Obfuscation & Code Integration EPO Modifiche all’entry point originale di un programma sono facilmente identificabili: il virus ritarda il passaggio del controllo al suo codice sovrascrive una chiamata a funzione modifica la import table Code Integration Disassembla il codice eseguibile del file vittima, si inserisce nel codice e lo ri-assembla. (W95/Zmist) A. Fattori Malware 9 Tecniche di infezione Device infection Infezione di device removibili File autorun.inf [autorun] open=Knight.exe open icon=Knight.exe,0 shellexecute=Knight.exe open shell=auto action=Disk Knight(Protection Against Mobile Disk Viruses) shell\auto=&Auto shell\auto\command=Knight.exe open shell\open=&Open shell\open\command=Knight.exe open shell\explore=E&xplore shell\explore\command=Knight.exe open shell\find=S&earch... shell\find\command=Knight.exe open ... A. Fattori Malware 10 Tecniche di infezione MBR Infection MBR Porzione dell’hard disk che contiene il codice responsabile dell’avvio del sistema operativo. un virus può modificarlo per venire eseguito prima del sistema operativo stesso molto difficile da individuare tecnica vecchia (1986-: (c)Brain, Stoned, Michelangelo, Junkie, Tequila, . . . ) sta “tornando di moda” (2007: Rustock bootkit, 2008: Trojan.Mebroot, 2010: TDL 1-4) A. Fattori Malware 11 Worm Worm non necessitano di un ospite propagazione autonoma attraverso la rete capacità di propagarsi in sistemi altrui sfruttando delle vulnerabilità capacità di propagarsi via mail A. Fattori Malware 13 Worm Componenti locator: identifica nuove potenziali vittime propagator: ottiene controllo della vittima e ci si trasferisce life-cycle manager: controlla attività worm payload: DoS, furto credenziali, spam, . . . A. Fattori Malware 14 Worm Locator Indirizzi mail parsing rubrica outlook pattern matching su file cache internet explorer Network share Condivisione file e directory senza protezione: identifica gli share nella rete locale e ci si copia uno dei vettori più sfruttati Login remoto RSH, SSH, telnet, . . . attacchi bruteforce A. Fattori Malware 15 Worm Locator (2) Scanning Ricerca di nuove vittime nella rete locale o su internet: scansione della rete locale ∀ target ⇒ ricerca servizi vulnerabili lista di target pre-compilata (e.g., router con vuln note) uso di motori di ricerca per trovare macchine vuln (google-dorking) A. Fattori Malware 16 Worm Propagation: email-based Propagator Dopo il recupero di indirizzi mail, il worm invia copie del suo body agli indirizzi recuperati. Tecniche di social engineering: I I I I uso di temi “hot” (e.g., partite di calcio, catastrofi, reality) contraffazione indirizzi mittente pornografia ... Tecniche di hiding: I I I nascondere l’estensione (.exe ⇒ .jpeg) URL che punta all’eseguibile ... Vulnerabilità nel motore HTML del mail client Queste tecniche hanno impatto significante sui provider di posta (molto traffico) ma non sono molto efficaci. Perché? A. Fattori Malware 17 Worm Propagation: exploit-based Caratteristiche sfrutta vulnerabilità dei target (note o meno) non richiede interazione ⇒ propagazione molto veloce Anatomia di un attacco 1. exploit ⇒ remote code execution 2. download da origine o da web del body 3. nuova installazione A. Fattori Malware 18 Morris Worm Robert Morris Jr. - 1988 Primo worm in grado di causare problemi seri. Sfrutta 3 vulnerabilità per propagarsi: 1. RCE in sendmail 2. buffer overflow in fingerd 3. bruteforce su RSH Tramite la vuln esegue un piccolo snippet di codice che trasferisce il corpo del worm sulla vittima. The Internet Worm - Eugene H. Spafford http://security.dico.unimi.it/sicurezza1112/papers/ spafford89_crisis.pdf A. Fattori Malware 19 Slammer Worm ??? - 2003 Sfrutta vulnerabilità nota di MSSQL1 2000 Servers. Non contiene payload dannoso ma la sua velocità di propagazione causa gravi problemi. 1. SW bersaglio permette ai client di inviare una req per trovare un db 2. richiesta ⇒ pacchetto udp max 17 byte null terminated 3. buffer overflow, 376 byte per shellcode 4. shellcode: (1) genera IP (2) prova a attaccarlo (3) goto 1 Macchina infetta con 100Mbps di banda → 30000 scan/s Inside the Slammer Worm - Moore et al. http://cseweb.ucsd.edu/~savage/papers/IEEESP03.pdf 1 A. Fattori Microsoft SQL Malware 20 Stuxnet ??? - 2010 Primo malware che attacca sistemi industriali (SCADA). 1. Infetta sistemi Windows tramite 4 0-day + removable device 2. infetta software di controllo degli SCADA 3. infetta il device stesso e ne compromette il funzionamento Riflessioni: 4 0-day diversi == $$$ A. Fattori Malware 21 Stuxnet ??? - 2010 Primo malware che attacca sistemi industriali (SCADA). 1. Infetta sistemi Windows tramite 4 0-day + removable device 2. infetta software di controllo degli SCADA 3. infetta il device stesso e ne compromette il funzionamento Riflessioni: 4 0-day diversi == $$$ molto targettizzato A. Fattori Malware 21 Stuxnet ??? - 2010 Primo malware che attacca sistemi industriali (SCADA). 1. Infetta sistemi Windows tramite 4 0-day + removable device 2. infetta software di controllo degli SCADA 3. infetta il device stesso e ne compromette il funzionamento Riflessioni: 4 0-day diversi == $$$ molto targettizzato firmato con certificato compromesso W32.Stuxnet Dossier - Symantec http://goo.gl/lakj3 A. Fattori Malware 21 Worm - Tecniche di propagazione alternative Tecniche di propagazione Rogue Antivirus A. Fattori Malware 23 Tecniche di propagazione Rogue Antivirus A. Fattori Malware 23 Tecniche di propagazione Rogue Antivirus A. Fattori Malware 23 Tecniche di propagazione Drive-by-download Osservazioni: 1. Lo scenario è cambiato, la maggior parte delle attività sono su web. 2. Molte vulnerabilità trovate nei browser. 3. (1) + (2) == worm che si diffondono via web A. Fattori Malware 24 Tecniche di propagazione Drive-by-download Osservazioni: 1. Lo scenario è cambiato, la maggior parte delle attività sono su web. 2. Molte vulnerabilità trovate nei browser. 3. (1) + (2) == worm che si diffondono via web Come? 1. crea (o compromette) un sito per ospitare exploit 2. exploita i browser vulnerabili che visitano il sito 3. scarica il codice del worm sulla vittima A. Fattori Malware 24 Tecniche di propagazione Remote exploit + drive-by-download A. Fattori Malware 25 Tecniche di propagazione Remote exploit + drive-by-download link a JS maligno nel sito exploit MS06-014 + MS07-004 download keylogger/backdoor ∼ 3 giorni prima del Super Bowl! A. Fattori Malware 25 Malware Generators A. Fattori Malware 26 Contromisure Contromisure Detection signature-based Come funziona? Database di signature Un’applicazione che contiene una signature nota viene considerate infetta A. Fattori Malware 28 Contromisure Detection signature-based Come funziona? Database di signature Un’applicazione che contiene una signature nota viene considerate infetta Codice applicazione A. Fattori Malware 28 Contromisure Detection signature-based Come funziona? Database di signature Un’applicazione che contiene una signature nota viene considerate infetta Signature A. Fattori Malware 28 Contromisure Detection signature-based Come funziona? Database di signature Un’applicazione che contiene una signature nota viene considerate infetta + A. Fattori + Malware 28 Contromisure Detection signature-based Come funziona? Database di signature Un’applicazione che contiene una signature nota viene considerate infetta A. Fattori + + + + Malware 28 Contromisure Detection signature-based Come funziona? Database di signature Un’applicazione che contiene una signature nota viene considerate infetta A. Fattori + + + + + + Malware 28 Tecniche di self-defense Packing Codice maligno nascosto da 1+ layer di compressione/cifratura Decompressione/decrifratura a run-time A. Fattori Malware 29 Tecniche di self-defense Packing Codice maligno nascosto da 1+ layer di compressione/cifratura Decompressione/decrifratura a run-time Malicious code A. Fattori Malware 29 Tecniche di self-defense Packing Codice maligno nascosto da 1+ layer di compressione/cifratura Decompressione/decrifratura a run-time Unpacking routine A. Fattori Malicious code Malware 29 Tecniche di self-defense Packing Codice maligno nascosto da 1+ layer di compressione/cifratura Decompressione/decrifratura a run-time Unpacking Unpacking routine routine A. Fattori Malicious code Malware 29 Tecniche di self-defense Packing Codice maligno nascosto da 1+ layer di compressione/cifratura Decompressione/decrifratura a run-time Unpacking Unpacking routine routine Malicious code Problema ∼ 80% del malware è “packed” 200 famiglie di packer, 2000 varianti Backlog di ∼ 90 famiglie Fonte: Symantec, 2008 A. Fattori Malware 29 Tecniche di self-defense Polimorfismo Mutazione #1 Mutazione #2 Mutazione #3 Problema: la routine di packing può essere rilevata A. Fattori Malware 30 Tecniche di self-defense Polimorfismo Mutazione #1 Mutazione #2 Mutazione #3 Problema: la routine di packing può essere rilevata Idea: variare la routine di packing ad ogni infezione A. Fattori Malware 30 Tecniche di self-defense Polimorfismo Mutazione #1 Mutazione #2 Mutazione #3 Problema: la routine di packing può essere rilevata Idea: variare la routine di packing ad ogni infezione La semantica della routine rimane sempre la stessa A. Fattori Malware 30 Tecniche di self-defense Polimorfismo Mutazione #1 Mutazione #2 Mutazione #3 Problema: la routine di packing può essere rilevata Idea: variare la routine di packing ad ogni infezione La semantica della routine rimane sempre la stessa Contromisure Emulazione Algorithmic detection A. Fattori Malware 30 Tecniche di self-defense Metamorfismo “Metamorphics are body-polymorphics” (Igor Muttik) A ogni infezione muta l’intero corpo del malware Mutazione #1 A. Fattori Mutazione #2 Malware Mutazione #3 31 Tecniche di self-defense Metamorfismo “Metamorphics are body-polymorphics” (Igor Muttik) A ogni infezione muta l’intero corpo del malware Come funziona? Codice malware 1. Analizza il proprio codice 2. Identifica dei blocchi 3. Applica mutazioni A. Fattori Malware 31 Tecniche di self-defense Metamorfismo “Metamorphics are body-polymorphics” (Igor Muttik) A ogni infezione muta l’intero corpo del malware blocco1 blocco2 Come funziona? blocco3 1. Analizza il proprio codice blocco4 2. Identifica dei blocchi blocco5 blocco6 3. Applica mutazioni blocco7 blocco8 A. Fattori Malware 31 Tecniche di self-defense Metamorfismo “Metamorphics are body-polymorphics” (Igor Muttik) A ogni infezione muta l’intero corpo del malware blocco1 blocco2 Come funziona? blocco3 1. Analizza il proprio codice blocco4 2. Identifica dei blocchi blocco5 blocco6 3. Applica mutazioni blocco7 blocco8 A. Fattori Malware 31 Tecniche di self-defense Metamorfismo “Metamorphics are body-polymorphics” (Igor Muttik) A ogni infezione muta l’intero corpo del malware blocco1 blocco6 Come funziona? blocco3 1. Analizza il proprio codice blocco9 2. Identifica dei blocchi blocco5 blocco2 3. Applica mutazioni blocco10 blocco8 A. Fattori Malware 31 Tecniche di self-defense Metamorfismo “Metamorphics are body-polymorphics” (Igor Muttik) A ogni infezione muta l’intero corpo del malware Problema Analizzatore di codice particolarmente complesso Sviluppare un motore metamorfico è molto difficile A. Fattori Malware 31 Tecniche di self-defense Malware emulators mov xor inc int %ax, $0xcafe; %ebx, %ebx; %ecx; $0x2e; inst37 %r6 , $0xcafe; inst15 %r2 , %r2 ; inst24 %r11 ; inst4 $0x2e; Programma originale VM Programma offuscato 1. Codice del malware trasformato in bytecode 2. Bytecode interpretato a run-time da una VM 3. Bytecode mutato ad ogni infezione A. Fattori Malware 32 Tecniche di self-defense Malware emulators mov xor inc int %ax, $0xcafe; %ebx, %ebx; %ecx; $0x2e; inst37 %r6 , $0xcafe; inst15 %r2 , %r2 ; inst24 %r11 ; inst4 $0x2e; Programma originale VM Programma offuscato 1. Codice del malware trasformato in bytecode 2. Bytecode interpretato a run-time da una VM 3. Bytecode mutato ad ogni infezione Sembra complicato? A. Fattori Malware 32 Tecniche di self-defense Malware emulators A. Fattori Malware 32 Tecniche di self-defense Contromisure Signature-based detection è troppo debole Verso tecniche più “semantiche” A. Fattori Malware 33 Tecniche di self-defense Contromisure Signature-based detection è troppo debole Verso tecniche più “semantiche” Soluzioni Analisi dinamica Granularità a livello di system call Panda TruPrevent, AVG Identity Protection, NovaShield, ThreatFire, . . . Problemi Performance Falsi positivi Information leakage A. Fattori Malware 33 Strumenti anti-malware di nuova generazione Analisi statica impraticabile o troppo onerosa Analisi dinamica in ambienti emulati A. Fattori Malware 34 Strumenti anti-malware di nuova generazione Analisi statica impraticabile o troppo onerosa Analisi dinamica in ambienti emulati Esempi Anubis CWSandbox BitBlaze A. Fattori Malware 34 Strumenti anti-malware di nuova generazione Analisi statica impraticabile o troppo onerosa Analisi dinamica in ambienti emulati Esempi Anubis CWSandbox BitBlaze Come funzionano? 1. Esecuzione dell’applicazione sospetta in un emulatore 2. Monitoring dell’esecuzione (VM introspection) 3. Rilevamento di comportamenti maligni A. Fattori Malware 34 Rilevamento VM Red-pill Programma in grado di rilevare se eseguito all’interno di un emulatore (o virtualizzatore) CPU EMU Fonte: A fistful of red-pills (R. Paleari, L. Martignoni, G. Fresi Roglia, D. Bruschi) A. Fattori Malware 35 Rilevamento VM Red-pill Programma in grado di rilevare se eseguito all’interno di un emulatore (o virtualizzatore) void main() { redpill = ‘‘\x08\x7c\xe3\x04...’’; if (((void (*)())redpill)()) { // Eseguito su CPU fisica return CPU; } else { // Eseguito su CPU emulata return EMU; } } Fonte: A fistful of red-pills (R. Paleari, L. Martignoni, G. Fresi Roglia, D. Bruschi) A. Fattori Malware 35 Malware Domande? Aristide Fattori [email protected] Università degli Studi di Milano A. Fattori Malware 36
