16964

16964

ارائه روشي براي شناسايي الگوريتم‏هاي رمزگذاري در فشرده‏سازها جهت نافشرده‏كردن ايستاي آن‏ها

كارشناسي ارشد

نرم افزار

شهريور ماه 1395

دكتر سعيد پارسا

كامپيوتر

چكيده همانطور كه مي‏دانيد بدافزار مهمترين عامل تهديدات امنيتي در فضاي مجازي مي‏باشد. ميزان اين بدافزارها به ‏حدي است كه برخي آمارها نشان مي‏دهد روزانه بيش از 400000 بدافزار جديد منتشر مي‏شود. بسياري از اين بدافزارها براي جلوگيري از شناسايي فشرده مي‏شوند. بنابراين جهت تحليل آن‏ها بايد ابتدا آن‏ها را از حالت فشرده خارج نمود. نافشرده‏سازي به دو روش ايستا و پويا انجام مي‏گيرد. مطمئناً نافشرده‏سازي پوياي بدافزارها خطرناك و زمان‏بر مي‏باشد. به همين دليل بايد از روش‏هايي استفاده شود كه بتوان اين فايل‏ها را بصورت ايستا نافشرده كرد. براي نافشرده‏سازي ايستاي فايل‏هاي فشرده نياز به شناسايي الگوريتم رمزگذاري استفاده‏شده مي‏باشد تا بتوان نحوه نافشرده كردن را مشخص كرد. تاكنون ابزارهاي زيادي براي نافشرده‏سازي پويا ارائه شده‏اند. مهم‏ترين مشكل اين ابزارها اين است كه به بدافزار اجازه اجرا مي‏دهد. براي حل اين مشكل راهكار نافشرده‏سازي ايستا ارائه شده است، اما اين راه حل مشكل محدوديت دارد. محدوديت نافشرده‏سازي ايستا در استفاده از روش‏هاي مبتني بر امضا براي شناسايي نوع فشرده‏ساز و الگوريتم‏هاي استفاده‏شده در درون آن مي‏باشد. به همين خاطر روش نافشرده‏سازي ايستا مبتني بر امضا تنها زماني قابل استفاده است كه امضاي آن فشرده‏ساز در دسترس ابزار باشد و نمي‏توان از اين روش براي نافشرده‏سازي فشرده‏سازهاي شخصي‏سازي‏شده يا فشرده‏سازهاي اختصاصي استفاده نمود. در اين پايان‏نامه چارچوبي براي شناسايي الگوريتم فشرده‏ساز ارائه خواهد شد كه از روش استخراج ويژگي‏هاي زيرروال استخراج به همراه الگوريتم‏هاي داده‏كاوي استفاده مي‏كند. بنابراين بدون نياز به در اختيار داشتن امضاي فشرده‏سازها و محافظ‏گرها توان شناسايي الگوريتم‏هاي استفاده‏شده در فايل فشرده را دارد. همچنين اين چارچوب قادر به شناسايي الگوريتم‏هاي استفاده‏شده در فشرده‏سازهايي كه از توابع رابط برنامه‏نويسي كاربردي استفاده مي‏كنند نيز مي‏باشد. واژه‌هاي كليدي: تحليل ايستا، نافشرده‏سازي ايستا، بدافزار، فشرده‏ساز، رمزگذاري.

1396/01/15

1/1/1900 12:00:00 AM

Abstract: Malware is the most important security threat in cyberspace. Some statistics show that over 400,000 malware are released, every day. The majority of malware that appears today are packed in order to avoid easy detection. Therefore, they need to be unpacked before any analysis can begin. There are two methods for malware unpacking: static an​d dynamic. Dynamic unpacking is shown to be dangerous an​d time-consuming indeed. So, it is proposed to employ static unpacking methods to this aim. In order to statically unpack a given packed malware, it is necessary to identify the encryption algorithm used while packing process. A large number of dynamic unpacking tools has been provided so far. The most important drawback with dynamic unpacking of malware is that it allows the malware to be executed on the system. Static unpacking methods have been proposed in order to deal with this problem. However, it has some limitations. The applicability of static unpacking in signature-based methods is limited due to its inability on identification of the type of compression an​d the encryption algorithm. So, signature-based static malware unpacking is just usable when the signature of the packer is available an​d it can not be used to unpack the customized o​r unknown packers. In this thesis a framework for identifying compresson o​r encryptoing algorithms in packed malware is proposed that employs feature extraction an​d data-mining techniques. Therefore, it can be used to identify the algorithms used in packed malware without having in hand the signature of packers an​d protectors. The proposed framework is also able to detect Microsoft CryptoAPI function calls for encryption/decryption. Keywords: Static Analysis, Static Unpacking, Malware, Packer, Encryption