Utilisation du Data Tainting pour l'analyse de logiciels malveillants

SSTIC 2009 - Utilisation du Data Tainting pour l'analyse de logiciels malveillants - F. Marceau 1

Utilisation du Data Tainting pour l'analyse de

logiciels malveillants

Florent Marceau<fmarceau@lexsi.com>

<florent.marceau@gmail.com>

Malware bancaires

Cibles bancaires(chiffrées)

Ce que nous avons

• Explosion des trojans bancaires• Variantes (en nombre)• Modulaires et flexibles (réseaux)• Obfuscation lourde• Chiffrement• Capacités de rootkit

Ce que nous voulons

• Généricité• Intégralement automatisé• Non intrusif (furtivité)• Temps d’exécution viable

Ce que nous savons

Quelques certitudes …

• Dans un environnement idéal• Données chiffrées de toutes provenances• Seront traitées à un instant (t) par le CPU• En (t+1) elles sont présentes en RAM en clair

• Solution retenue– Full virtualisation– Data tainting

• Implémentation générale• Calibrage• Capture• Illustration• Démo• Limites• Conclusion

Solution retenue

• Full virtualisation +

• Data tainting

Full virtualisation

• Pros :– Granularité d’instrumentation fine– Non intrusif– Permet un marquage fin des données sans

besoins hardware

• Cons :– Détectable– Gourmand en ressources

Data tainting

« Mécanisme permettant la traçabilité de la propagation d'une donnée sur un système d'information. »

• Traçabilité entre périphériques• Traçabilité dans la RAM (Taintmap)• Traçabilité au niveau CPU

Data tainting

« Mécanisme permettant la traçabilité de la propagation d'une donnée sur un système d'information. »

• Type de ces données– Données/Code

• Utilisation de ces données– Lourde et faite par un code non contrôlé

Data tainting

• Pros :– Suivi du déploiement du processus– Suivi des données

• Cons :Car très forte interaction des données marquées

– Très difficile à calibrer– Peut être évadé

Implémentation

Bridges

network

Le calibrage

• Nous suivons les flux simples– Assignations directes– Opérations arithmétiques

Le calibrage

Un compromis :• Obfuscation/Chiffrement

– Risque de perdre la marque→Propagation permissive

• Fort volume de données– Risque de pollution complète du marquage

→Propagation limitée

Le calibrage

On peut s’aider du fait que le code surveillé est marqué pour appliquer une propagation plus ou moins permissive selon sa provenance.

La capture

• Propagation des flux simples• Différenciation des types de données• Hook de la MMU

– En amont de l’opération

• Introduction d’un type « manipulé »– Non propagé– Ne s’applique qu’à une donnée déjà typée

La capture

• Le type « manipulé » a pour seul objectif de marquer spécifiquement l’interaction entre le code surveillé et les données.

• Les données de ce type seront capturées dans un fichier et leur nature « manipulé » sera alors supprimée.

• Un fichier capture pour le type réseau.• Un fichier capture pour le reste (CD/HD).

La capture (Hook MMU)

• Trois cas distincts :– Lecture (RAM -> CPU)

• Données en RAM de type manipulé -> Capture

– Écriture (CPU -> RAM)• L’origine de l’opération (code) est marquée ? Non (OS)

» Données en RAM de type manipulé -> Capture

– Écriture (CPU -> RAM)• L’origine de l’opération (code) est marquée ? Oui (code viral)

» Données en RAM de type manipulé -> Capture» Données en passe d’être stockées en RAM sont marquées ->

Ajout du type manipulé

Illustrationmov eax,[esi]

eax : SP_Z

xor eax,0x11

eax : BANK

mov [edi],eax

strlen

Limites

• Détection• Stimuli• Mise en sommeil• Canaux cachés• Évasion

Évasion

• Nous suivons les flux simples– Assignations directes– Opérations arithmétiques

• Angle mort sur :– Déréférences de pointeurs– Flux conditionnels

Évasion

• Une propagation des déréférences– Impossible face à du code objet

• Une propagation des flux conditionnels– Impossible sans analyse statique approfondie

(Elle-même ineffective face a l’obfuscation..)

Problèmes des flux conditionnels

Exemple :

mov eax,[our_data]

and eax,0x80

je skip

mov ebx,0xffffffff ??

eax=our_data[0];

if(eax&0x80)

ebx=-1;

Problèmes des flux conditionnels

Il existes des solutions mais aucune ne gère correctement les flux implicites indirects (ensemble d'assignations engendrées par la non exécution d'une parcelle de code).

Conclusion

• Dans les faits– 18 VM parallèles, 10 min / session– 2000 – 2500 samples / jours– Problèmes liés au sandboxing courant (stimuli,

sommeil, anti-VM…)– Aucun constat d’anti-tainting

Conclusion

• Méthode dérivable pour de nombreux autres types d’applications– Contrôle du flux d’exécution– Contrôle du flux de données (temps réel)– Contrôle de la propagation des données (non

temporel)• Traduire son scénario en terme d’intersection

de ces différents contrôles.• Peut être évadée

Conclusion II

• Questions ? • Injures ?• Cadeaux ?• Pizza ?

Solution ?

• Propagation au niveau des eflags• Propagation des marquages conditionnels

dans le PC

• Flux implicites indirects : « un ensemble d'assignations engendrées par la non exécution d'une parcelle de code. »

Diagramme de contrôle

Exemple (1/7)

0xFEmov al, byte [our_data]mov ecx,0xffdo_it:mov ebx,1cmp al,clje skipxor ebx,ebxskip:test ebx,ebxjne doneloop do_itdone:

0xFEal=our_data[0];

for (ecx=0xff;ecx;ecx--){

ebx=1;if (al != ecx)

ebx=0;

if(ebx) goto done;

}done:

Exemple (2/7)

mov al, byte [our_data]mov ecx,0xffdo_it:mov ebx,1cmp al,clje skipxor ebx,ebxskip:test ebx,ebxjne doneloop do_itdone:

al=our_data[0];for (ecx=0xff;ecx;ecx--){

ebx=0;

if(ebx) goto done;

}done:

Exemple (3/7)

mov al, byte [our_data]mov ecx,0xffdo_it:mov ebx,1cmp al,cl (0xff != 0xfe)je skipxor ebx,ebxskip:test ebx,ebxjne doneloop do_itdone:

ebx=0;

if(ebx) goto done;

}done:

Exemple (4/7)

mov al, byte [our_data]mov ecx,0xffdo_it:mov ebx,1cmp al,clje skipxor ebx,ebxskip:test ebx,ebxjne doneloop do_itdone:

ebx=0;

if(ebx) goto done;

}done:

Exemple (5/7)

mov al, byte [our_data]mov ecx,0xffdo_it:mov ebx,1cmp al,cl (0xfe == 0xfe)je skipxor ebx,ebxskip:test ebx,ebxjne doneloop do_itdone:

ebx=0;

if(ebx) goto done;

}done:

Exemple (6/7)

mov al, byte [our_data]mov ecx,0xffdo_it:mov ebx,1cmp al,cl (0xfe == 0xfe)je skipxor ebx,ebxskip:test ebx,ebxjne doneloop do_itdone:

ebx=0;

if(ebx) goto done;

}done:

Exemple (7/7)

mov al, byte [our_data]mov ecx,0xffdo_it:mov ebx,1cmp al,cl (0xfe == 0xfe)je skipxor ebx,ebxskip:test ebx,ebxjne doneloop do_itdone: (cl == our_data)

ebx=0;

if(ebx) goto done;

}done:

Utilisation du Data Tainting pour l'analyse de logiciels malveillants

Documents

10. l'analyse budgétaire

CHAPITRE No 4 Bureautique Logiciels Logiciels comptables

Le Sphinx Développement 74650 Chavanod - i3s.unice.frcrescenz/publications/Florence/logiciels... · L'analyse statistique de données de ... On peut créer une enquête à partir

L'analyse transactionnelle

Les quatre principaux éléments à prendre en compte lors de ......logiciels malveillants basés sur les signatures moins efficaces. Par ailleurs, des acteurs malveillants continuent

Gestion de logiciels : impératif de sécurité et ......logiciels malveillants. Il est évident que les infections par des logiciels malveillants sont étroitement liées à l’utilisation

l'analyse financière

La lettre - BBS Logiciels | Tous les logiciels BBS

Données, Outils et Logiciels Construction et Aménagement ... · - GLASTRUCT : données conformes à la norme ASTM E1300-02 pour l'analyse des performances structurelles des vitres

Outils logiciels pour l'analyse de corpus textuels - Accueiled.humanites.unistra.fr/fileadmin/upload/ed520/EED/Supports_de... · Logiciels d'analyse Non liés à un corpus mais :

TeamViewer Endpoint Protection...solutions anti-programme malveillant qui reconnaissent 100% de certains types de logiciels malveillants. Ceux-ci sont définis comme tous les logiciels

LES LOGICIELS LIBRES Présentation des logiciels propriétaires et des logiciels libres Un peu d'histoire Caractéristiques des logiciels libres Principaux

GUIDE DE DÉMARRAGE RAPIDE - Malware Protection & Internet ... · signatures des derniers logiciels malveillants, ainsi que de nouvelles définitions destinées à l'heuristique avancée

Cybercriminalité - athena-gs.com2013, ESET avait prédit une augmentation importante de logiciels malveillants sous Android. En comparant les détections qui ont eu lieu en 2012 et

1 SÉCURITÉ ET GESTION INFORMATIQUE POUR LES PME-PMI...logiciels malveillants »**. Cette idée fausse laisse la porte ouverte aux logiciels malveillants (y compris les logiciels

Protéger son ordinateur · Les antivirus sont des logiciels conçus pour identifier, neutraliser et éliminer des logiciels malveillants (virus) Nos conseils . La vigilance mondiale

En finir avec les logiciels malveillants - PC Astuces

Cours #04 Drive-by downloading · Jean-Marc Robert, ETS Logiciels malveillants -A11 6 Propagation: Drive-by downloading La simple navigation sur le web est maintenant devenue une

L'analyse de données

L'analyse multicritères