Neue Methode zeigt Taktiken zur Umgehung von Malware auf

Windows-Malware ist im Internet ganz normal und wird oft von Angreifern ins Visier genommen, die versuchen, von Sicherheitssystemen nicht erkannt zu werden. Forscher haben sich damit beschäftigt, wie Malware diese Verteidigungen umgehen kann, aber es gibt noch viele Fragen, die beantwortet werden müssen. Einige dieser Fragen sind, wie effektiv die aktuellen Techniken sind, wie man sicherstellt, dass die Malware nach der Modifikation wie gewünscht funktioniert, und wo die besten Stellen sind, um Änderungen vorzunehmen, ohne entdeckt zu werden.

In diesem Artikel wird eine neue Methode zur Modifikation von Windows Portable Executable (PE)-Dateien besprochen, das ist das Standardformat für ausführbare Dateien auf Windows. Der Ansatz besteht darin, einen Raum innerhalb der Datei selbst zu schaffen, wo kleine Änderungen vorgenommen werden können, um der Malware zu helfen, von maschinellen Lernscannern nicht erkannt zu werden, während die Malware weiterhin funktional bleibt.

#Hintergrund

#Was ist Malware?

Malware, kurz für bösartige Software, bezieht sich auf jedes Programm, das dafür ausgelegt ist, Computersysteme zu schädigen oder auszunutzen. Dazu gehören Viren, Würmer und Software, die persönliche Informationen stehlen kann. Malware kann über E-Mail-Anhänge, Downloads oder sogar Websites verteilt werden.

#Verständnis von Evasion-Angriffen

Ein Evasion-Angriff tritt auf, wenn Malware absichtlich verändert wird, um nicht von Sicherheitsprogrammen erkannt zu werden. Angreifer modifizieren die Malware so, dass sie für Scanner, die oft auf maschinellen Lernalgorithmen basieren, harmlos erscheint.

#Die Herausforderung der Malware-Erkennung

Malware zu erkennen, ist eine herausfordernde Aufgabe für Sicherheitssysteme. Modelle des maschinellen Lernens, wie konvolutionale neuronale Netze (CNNs), werden häufig verwendet, weil sie lernen können, Muster in Daten zu erkennen. Diese Modelle können jedoch durch kleine Änderungen an der Malware, die als Störungen bekannt sind, ausgetrickst werden. Der Schlüssel liegt darin, sicherzustellen, dass diese Modifikationen nicht die Fähigkeit der Malware stören, zu funktionieren.

#Vorgeschlagene Methode

#Was ist eine Code Cave?

Eine Code Cave ist ein Bereich innerhalb einer PE-Datei, der ungenutzt ist oder umfunktioniert werden kann, um zusätzlichen Code oder Daten zu speichern. Indem diese Räume genutzt werden, können Angreifer ihre Modifikationen einfügen, ohne das sichtbare Verhalten der Malware zu ändern.

#Schritte zur Erstellung einer Intra-Section Code Cave

1. Abschnitte identifizieren: Eine PE-Datei ist in Abschnitte unterteilt, wie .text (Code) und .data (Variablen). Der erste Schritt ist, den Abschnitt zu identifizieren, der genügend Platz für die Änderungen hat.

2. Grösse erhöhen: Sobald ein geeigneter Abschnitt gefunden ist, wird die Grösse dieses Abschnitts erhöht, um Platz für die Code Cave zu schaffen.

3. Code Loader einfügen: Ein Code Loader wird am Ende des .text-Abschnitts hinzugefügt. Dieser Loader wird die ursprüngliche Malware wiederherstellen, wenn er ausgeführt wird, sodass die Malware weiterhin wie gewünscht funktioniert.

4. Störungen injizieren: Schliesslich werden gegnerische Änderungen innerhalb der Code Cave vorgenommen. Dies kann der Malware helfen, der Erkennung zu entgehen, indem sie für Sicherheitssysteme harmlos aussieht.

#Experimentelle Einrichtung

Ein wichtiger Teil dieser Forschung bestand darin, einen Datensatz von Malware-Dateien zu erstellen. Es wurden zwei Datensätze verwendet: einer mit Malware und einer mit sauberen Dateien (Goodware). Die Malware umfasste verschiedene Familien wie Trojaner und Ransomware.

#Malware-Erkennungsmodelle

Zwei spezifische Erkennungsmodelle, MalConv und MalConv2, wurden zur Testung ausgewählt. Diese Modelle dienen als Benchmarks zur Bewertung, wie gut die modifizierte Malware der Erkennung entkommen kann.

#Ergebnisse

#Evasion-Raten

Die Experimente zeigten, dass die neue Methode mit Code Caves die Evasion-Rate erheblich verbesserte. Zum Beispiel:

• Bei der Ausrichtung auf das MalConv-Erkennungsmodell erreichte die Evasion-Rate beeindruckende 92,31%.
• Für das MalConv2-Modell lag die Evasion-Rate sogar noch höher bei 97,93%.

Diese Raten deuten darauf hin, dass die modifizierte Malware von den Sicherheitssystemen weitgehend unentdeckt blieb.

#Vertrauensverlust

Ein weiteres untersuchtes Mass war der Vertrauensverlust, der analysiert, wie stark das Vertrauen der Erkennungsmodelle nach der Begegnung mit der modifizierten Malware sinkt. Die Ergebnisse zeigten:

• Ein starker Rückgang des Vertrauens, als die modifizierte Malware getestet wurde, was bedeutet, dass die Modelle weniger sicher waren, die Malware als schädlich zu klassifizieren.

#Technische Herausforderungen

#Praktikabilität

Die Umsetzung dieser Änderungen in realen Szenarien bleibt eine Herausforderung. Während die getesteten Methoden in einer kontrollierten Umgebung erfolgreich waren, könnten praktische Anwendungen auf Probleme stossen, wie zum Beispiel, nicht genug über die Erkennungssysteme zu wissen.

#Malware-Erkenner

Obwohl die Forschung auf spezifische Modelle fokussiert war, könnten die Ergebnisse auch auf andere Arten von Erkennungssystemen anwendbar sein. Zukünftige Arbeiten könnten erforschen, wie diese Techniken gegen eine breitere Palette von Detektoren abschneiden.

#Grössenlimits

Eine Einschränkung ist der Bedarf an ausreichend Platz innerhalb der Abschnitte. Nicht alle PE-Dateien werden genügend Raum haben, um die intra-section Modifikationen durchzuführen.

#Code Loader Injection

Die Erstellung und Injektion des Code Loaders erfordert Präzision. Es müssen Änderungen vorgenommen werden, um sicherzustellen, dass der Loader korrekt funktioniert, abhängig von der Ausführungsumgebung.

#Fazit

Diese Forschung schlug eine neue Möglichkeit vor, Windows-Malware effektiv zu modifizieren. Durch die Nutzung von intra-section Code Caves können Angreifer Änderungen verbergen, was es für Sicherheitssysteme schwieriger macht, schädliche Dateien zu erkennen. Die vielversprechenden Ergebnisse deuten auf ein Potenzial für weitere Erkundungen in den Techniken zur Umgehung von Malware hin, insbesondere gegen verschiedene Erkennungssysteme. Zukünftige Richtungen könnten Tests in Black-Box-Umgebungen und die Anwendung ähnlicher Strategien umfassen, um Malware effektiver zu entdecken und zu bekämpfen.