AhnLab MDS, 装载了基于内存分析的漏洞检测技术阻断迂回行为分析手法的恶意软件为检测未知恶意软件 (unknown malware), 很多 APT 响应解决方案提供商强调 signature-less 技术这些提供商使用的技术是虚拟机 (Virtual Machine) 或者沙箱

Size: px

Start display at page:

Download "AhnLab MDS, 装载了基于内存分析的漏洞检测技术阻断迂回行为分析手法的恶意软件为检测未知恶意软件 (unknown malware), 很多 APT 响应解决方案提供商强调 signature-less 技术这些提供商使用的技术是虚拟机 (Virtual Machine) 或者沙箱"

制石
5 years ago
Views:

1 (Vol.18) AhnLab MDS, 基于内存分析的漏洞检测技术

2 AhnLab MDS, 装载了基于内存分析的漏洞检测技术阻断迂回行为分析手法的恶意软件为检测未知恶意软件 (unknown malware), 很多 APT 响应解决方案提供商强调 signature-less 技术这些提供商使用的技术是虚拟机 (Virtual Machine) 或者沙箱 (Sandbox) 但是, 只依赖基于沙箱的行为分析技术来检测未知恶意软件, 预测已不再有效最近, 攻击者为了迂回自动化的行为分析系统, 致力于制作迂回自动化的行为分析系统的恶意软件这使得恶意软件变得有史以来最为强大通过本文, 首先了解一下基于沙箱的行为分析技术的局限性, 然后介绍可以代替该技术的 AhnLab MDS 产品的新的功能进化的恶意软件, 连沙箱自动分析技术也可以迂回 2012 年 11 月,AhnLab 安全响应中心 (ASEC, AhnLab Security E-response Center) 检测到了有趣的恶意软件样品该样本通过电子邮件附件传播, 电子邮件标题为对韩国空军的威望评价和诊断附件文件详细记述了韩国空军的未来和社会对航空宇宙军的认识等, 致使收件人认为是国防重要文件可以看出, 这是一个攻击者针对特定对象智能接近的 APT 攻击在技术方面, 该文件在制作得非常巧妙为了迂回堆喷射 (Heap Spray) 检测, 只发生少量的堆喷射, 致使很难判断文件的恶意与否而且, 只在该软件的最新版本下运行恶意软件但是, 该文件分明执行了恶意行为那么, 该文件的秘密在哪里? 该文件如要执行恶意行为, 要具备一些条件收到该文件的用户因好奇而打开文件用户使用滚动条读到第二页的问题的提出段落的瞬间, 便自动生成名称为 HncCtrl.exe 的恶意文件并运行该恶意文件一旦运行, 又生成其他恶意文件并运行而该文件运行后便收集计算机里的个人信息, 然后传送到指定的电子邮件地址最终导致个人信息外泄的结果总结来看, 攻击者设计的恶意文件必须有特定用户的行为才可以发生漏洞 (exploit) 这是利用文件攻击的最新 APT 攻击类型之一, 即迂回自动化的沙箱分析系统的典型恶意软件基于沙箱的行为分析 (Behavior Analysis in Sandbox) 技术的局限目前, 很多 APT 响应解决方案提供商强调为检测未知恶意软件, 不依赖于恶意软件特征码的 signature-less 技术的必要性特别是, 一些提供商主张基于行为分析技术是检测未知恶意软件的唯一 signature-less 技术那么, 仅仅利用基于沙箱的行为分析技术检测越来越高级化的恶意软件, 果真足够? 2

3 对该问题的回答是不足够我们来看一下利用基于沙箱的行为分析技术的 APT 响应解决方案来检测最新恶意软件的局限性沙箱是一种按照安全策略限制程序行为的执行环境基于沙箱的行为分析技术是将文件或程序在沙箱环境中运行, 根据运行所产生的变化来判断恶意与否因此, 如要利用 APT 响应解决方案的该技术来检测恶意软件, 恶意软件必须要有行为即, 恶意软件必须在沙箱环境中执行它原来所意图的行为, 才可以检测到该行为但是, 如前面所提到的, 最近的攻击方式有很多利用不发生行为的文件, 它们开始了迂回自动化的沙箱分析系统迂回基于沙箱的行为分析系统的最近代表性的恶意软件的三种类型如下 : 1. 感应计算机用户的特定行为 (Interaction) 发生恶意行为的恶意软件比如, 用户仅打开恶意 PDF 文件不会发生恶意行为但是, 利用滚动条移动到特定页时发生恶意行为还有一种是, 计算机被恶意软件感染的状态下, 恶意软件将感应用户执行的点击鼠标或者鼠标移动到特定方向等输入装置的变化, 便执行恶意行为有趣的是, 首先弹出被恶意软件感染的警告信息, 用户点击弹窗的确定键时才发生恶意行为此类恶意软件在用户执行特定行为之前是无可疑行为的恶意软件因此, 利用基于沙箱的行为分析技术的 APT 响应解决方案无法检测到该恶意软件 2. 利用自动化的沙箱分析系统无法控制的时间限制的恶意软件大部分的 APT 响应解决方案为了自动化的行为分析而使用虚拟机 (Virtual Machine) 或沙箱 (Sandbox) 但是, 为了驱动虚拟机或沙箱需要使用硬件有限资源, 因此直到样本的行为结束为止无法无限制使用一个样本需要的动态分析时间恶意软件制作者则瞄准该漏洞, 利用在特定时间发生恶意行为的调度 (scheduling) 法利用该手法的恶意软件本称为定时炸弹恶意软件 (Time-bomb Malware) 或者特洛伊木马小睡 (Trojan Nap) 一些 APT 响应解决方案, 如果使用利用在定时炸弹手法的如 Sleep API 的特定 API, 毫无疑问地判断为恶意软件但是, 该 API 也可用在正常的程序, 因此如上述的判断会导致增加误诊的问题 3. 认知虚拟机或沙箱而隐蔽恶意行为的智能型恶意软件攻击者制作此类恶意软件, 不仅是为了迂回 APT 响应解决方案检测和分析, 因为恶意软件分析家在动态分析时也使用虚拟机或沙箱一些 APT 响应解决方案检测欲想掌握运行中的进程注册表密钥或注册表值虚拟硬件等虚拟机或沙箱中的变化的企图相反, 当有此类的检测时, 恶意软件则进化为感知此类的检测后不发生恶意行为的方式 3

AhnLab MDS, 装载了基于内存分析的漏洞检测技术 AhnLab MDS 针对此类迂回行为分析的恶意软件, 应用了新的分析技术, 即动态内容分析 (Dynamic Intelligent Content Analysis) 技术该技术是在内存领域执行基于汇编代码 (Assembly Code) 的分析的技术, 由 AhnLab 开发的独自技术利用该技术, 可以在应用程序漏洞攻击阶段

4 AhnLab MDS, 装载了基于内存分析的漏洞检测技术 AhnLab MDS 针对此类迂回行为分析的恶意软件, 应用了新的分析技术, 即动态内容分析 (Dynamic Intelligent Content Analysis) 技术该技术是在内存领域执行基于汇编代码 (Assembly Code) 的分析的技术, 由 AhnLab 开发的独自技术利用该技术, 可以在应用程序漏洞攻击阶段 (Exploitation Phase) 检测到恶意软件与否, 还可以检测到利用新的零日 (Zero-Day) 漏洞的恶意软件 [ 图 1] 动态内容分析技术的概念 AhnLab MDS 的动态内容分析技术的概念如图 1 所示假设一下, 如果攻击特定应用程序漏洞的恶意软件正常利用漏洞发生恶意行为, 则该恶意软件最终发生恶意行为的过程可以分为运行恶意软件的前阶段 (Pre-exploitation Phase) 和运行恶意软件阶段 (Exploitation Phase) 如果, 该恶意软件在运行前阶段没有正常运行或在运行阶段感知到虚拟机或沙箱环境而不发生恶意行为, 则基于行为的分析技术便成为无用之物因此, 需要不管恶意行为的发生与否, 在恶意软件运行前阶段或运行阶段可以检测的的方法克服基于行为的分析技术的局限性, 并在攻击漏洞前阶段就可以检测到恶意软件而开发的技术即是 AhnLab MDS 的动态内容分析 (Dynamic Intelligent Content Analysis) 技术 4

AhnLab MDS 的动态内容分析技术的动作原理 [ 图 2] 动态内容分析 (Dynamic Intelligent content Analysis) 动作原理假设一下, 微软公司 Word 文件存在缓冲区溢位 (buffer overflow) 攻击漏洞运行正常的 MS word 文档的时, 结果是图 2 的左侧第一个图形所示当点击正常的 word 文档, 内存将装载主程序

5 AhnLab MDS 的动态内容分析技术的动作原理 [ 图 2] 动态内容分析 (Dynamic Intelligent content Analysis) 动作原理假设一下, 微软公司 Word 文件存在缓冲区溢位 (buffer overflow) 攻击漏洞运行正常的 MS word 文档的时, 结果是图 2 的左侧第一个图形所示当点击正常的 word 文档, 内存将装载主程序 msword.exe 文件和有关动态程序库文件如果是正常程序, 处理到 DLL#3, 然后正常打开 word 文档下面看一下, 攻击 word 文档漏洞的时候起初, 如正常情况一样运行程序但是在某一瞬间, 将 shell 代码保存到保存数据的 heap 领域然后, 发生缓冲区溢位漏洞如果是正常的情况, 只移动到 DLL#3 的 EIP, 但是 EIP 非正常地跳跃到 shell 代码领域之后, 便发生被 shell 代码编码的恶意行为的结果如果导入装载动态分析技术的 AhnLab MDS, 如下检测上述的恶意软件在分析对象程序在内存加载的瞬间即插入调试线程 (Debugging Thread), 检测非正常移动或跳跃到内存领域的恶意软件动态内容分析不仅可以检测缓冲区溢位, 还可以检测 SEH(Structured Exception Handing), R TL(Return-to-Lib), ROP(Return-Oriented Programing), 堆喷射 (Heap spray) 等恶意软件利用的攻击漏洞的阶段即,AhnLab MDS 的动态内容分析不管恶意行为的类型和发生与否都可以检测到恶意软件 5

6 事前阻断 APT 是关键 AhnLab MDS 动态分析技术是 AhnLab 研究阵容研发的基于数十个算法完成的独自的技术具有 Non-PE 型恶意文件在发生漏洞攻击前阶段通过堆喷射 ((Heap Spray) 保存 shell 代码的方法通过栈溢出 (Stack Overflow) 保存 shell 代码的方法包括恶意脚本在内存领域保存 shell 代码的方法等尤其是,AhnLab MDS 检测攻击应用程序漏洞的恶意文件的 shell 代码在内存开始的地点, 可视性地显示将 shell 代码的内存转储和汇编代码通过内存分析感知 shell 代码后正确提供 shell 代码的开始地址, 只有 AhnLab MDS 才可以做到的与众不同的最为出色的技术上面所阐述的 AhnLab MDS 的动态内容分析技术, 它本身对于恶意软件分析家或安全专家并不是一个重大的新的概念但是, 该技术转载到自动化的分析系统并分析大量的文件这一点来看, 可以称得上是恶意软件分析和事前阻断利用高级恶意软件的 APT 攻击的领先者我们坚信 :AhnLab MDS 以装载此技术, 不管环境和运行条件等潜在的因素检测到恶意软件, 在事前阻断 APT 攻击方面更加发挥出强大的力量 6

http://www.ahn.com.cn http://global.ahnlab.com http://www.ahnlab.com 关于安博士 (AhnLab,Inc.

7 关于安博士 (AhnLab,Inc.) 安博士的尖端技术和服务不断满足当今世界日新月异的安全需求, 确保我们客户的业务连续性, 并致力于为所有客户打造一个安全的计算环境我们提供全方位的安全阵容, 包括经过证实的适用于桌面和服务器的世界级防病毒产品移动安全产品网上交易安全产品网络安全设备以及咨询服务安博士已经牢固地确立了其市场地位, 其销售伙伴遍布全球许多国家和地区北京市朝阳区酒仙桥甲 12 号电子城科技大厦 1206 室上海市闵行区万源路 2158 号 18 幢泓毅大厦 1201 室电话 : / v3site@ahn.com.cn 2014 AhnLab, Inc. All rights reserved.

安博士月刊 2013 年 3 月号 AhnLab, Inc. 星期三 10 月 30 日年安博士月刊是综合安全解决方案公司 - 安博士公司发行的网络安全信息月刊 Vol.13 禁止复制和转载本刊任何内容 AhnLab MDS, 下一

安博士月刊 2013 年 3 月号 AhnLab, Inc. 星期三 10 月 30 日年安博士月刊是综合安全解决方案公司 - 安博士公司发行的网络安全信息月刊 Vol.13 禁止复制和转载本刊任何内容 AhnLab MDS, 下一星期三 10 月 30 日 2 0 1 3 年安博士月刊是综合安全解决方案公司 - 安博士公司发行的网络安全信息月刊 Vol.13 禁止复制和转载本刊任何内容 AhnLab MDS, 下一代主动型安全技术市场研究公司 Gartner 推出预测报告, 如要应对 APT, 不仅具备基本的安全响应体系, 还要具备高级的防御技术 Gartner 还预测, 未来将需要取证分析 (Forensic) 和

AhnLab MDS, 装载了基于内存分析的漏洞检测技术 阻断 迂回行为分析手法 的恶意软件 为检测未知恶意软件 (unknown malware), 很多 APT 响应解决方案提供商强调 signature-less 技术 这些提供商使用的技术是虚拟机 (Virtual Machine) 或者沙箱

AhnLab MDS, 装载了基于内存分析的漏洞检测技术阻断迂回行为分析手法的恶意软件为检测未知恶意软件 (unknown malware), 很多 APT 响应解决方案提供商强调 signature-less 技术这些提供商使用的技术是虚拟机 (Virtual Machine) 或者沙箱