BASS - एंटी-वायरस हस्ताक्षर के स्वचालित संश्लेषण के लिए एक रूपरेखा

सभी को नमस्कार। "रिवर्स इंजीनियरिंग" पाठ्यक्रम शुरू होने तक दस दिन से कम समय बचा है। इस संबंध में, हम विषय पर एक और दिलचस्प अनुवाद साझा करना चाहते हैं। चलो चलते हैं!

संक्षिप्त समीक्षा

खतरों की तस्वीर तेजी से बदल रही है - नए साइबर हमले लगातार दिखाई दे रहे हैं, और पुराने अधिक परिष्कृत हो रहे हैं। इन परिस्थितियों में, सुरक्षा पेशेवरों को तेजी से जटिल चुनौतियों का सामना करना पड़ता है। हर दिन उन्हें पहले अज्ञात और पूरी तरह से नए मैलवेयर के लाखों नमूनों की प्रक्रिया और विश्लेषण करना पड़ता है, मैलवेयर के पूरे परिवारों का वर्णन करने के लिए प्रभावी एंटी-वायरस हस्ताक्षर विकसित होते हैं, और विश्लेषण के लिए नमूनों की संख्या के रूप में उपकरणों की स्केलेबिलिटी सुनिश्चित करते हैं। इस मामले में, मैलवेयर विश्लेषण स्वचालन उपकरण के लिए सीमित संसाधनों को ध्यान में रखना आवश्यक है। आईटी पेशेवरों को इन विविध चुनौतियों से निपटने में मदद करने के लिए, तालोस एक नया ओपन सोर्स प्लेटफॉर्म प्रदान करता है जिसे BASS कहा जाता है।

BASS ("बास" के रूप में पढ़ा जाता है) दुर्भावनापूर्ण कोड के पहले से गठित समूहों से नमूनों के आधार पर स्वचालित रूप से एंटी-वायरस हस्ताक्षर बनाने के लिए एक रूपरेखा है। इसका उद्देश्य हैश हस्ताक्षरों के सापेक्ष टेम्प्लेट-आधारित हस्ताक्षरों के अनुपात में वृद्धि, और टेम्पलेट-आधारित हस्ताक्षरों को विकसित करने वाले विश्लेषकों के काम को आसान बनाने के लिए क्लैमव कोर द्वारा संसाधन खपत को कम करना है। डॉकर कंटेनर समर्थन के साथ, रूपरेखा अच्छी तरह से तराजू।

यह ध्यान देने योग्य है कि अभी तक केवल BASS का अल्फा संस्करण उपलब्ध है और बहुत कुछ अंतिम रूप दिया जाना बाकी है। इस परियोजना का ओपन सोर्स कोड है, और हम इस पर सक्रिय रूप से काम कर रहे हैं, इसलिए हमें समुदाय से किसी भी प्रतिक्रिया और इसके सुधार के लिए सिफारिशों पर खुशी होगी। BASS के लिए स्रोत कोड यहाँ उपलब्ध है ।

मॉन्ट्रियल, कनाडा में REcon सम्मेलन में 2017 में BASS परियोजना की घोषणा की गई थी।

असली

तालोस विशेषज्ञ रोजाना 1.5 मिलियन से अधिक अद्वितीय नमूने प्राप्त करते हैं। अधिकांश भाग के लिए, वे ज्ञात खतरों से संबंधित हैं और मैलवेयर स्कैनर (क्लैमव) द्वारा तुरंत समाप्त कर दिया जाता है। हालांकि, स्कैनिंग के बाद, कई फाइलें हैं जिन्हें अभी भी आगे के विश्लेषण की आवश्यकता है। हम उन्हें सैंडबॉक्स में चलाते हैं और गतिशील विश्लेषण करते हैं, जो हमें उन्हें दुर्भावनापूर्ण और सुरक्षित लोगों में अलग करने की अनुमति देता है। हम इस स्तर पर चुने गए मैलवेयर के नमूनों को संसाधित करते हैं, ताकि उनके आधार पर ClamAV हस्ताक्षर बनाए जा सकें, जो स्कैनिंग के दौरान इन खतरों को पहले चरण में फ़िल्टर करने में मदद करेंगे।



तीन महीनों के लिए, फरवरी से अप्रैल 2017 तक, 560,000 नए हस्ताक्षर क्लैमव डेटाबेस में जोड़े गए, अर्थात प्रति दिन 9,500 हस्ताक्षर की वृद्धि हुई। उनमें से एक महत्वपूर्ण हिस्सा हमें हैश हस्ताक्षर के रूप में स्वचालित रूप से प्राप्त हुआ। इस तरह के हस्ताक्षरों में टेम्प्लेट या बाईटेकोड हस्ताक्षरों की तुलना में एक महत्वपूर्ण कमी है (ये दो अन्य प्रकार हैं जो क्लैमव कोर द्वारा समर्थित हैं): एक हैश हस्ताक्षर केवल एक फ़ाइल से मेल खाता है। इसके अलावा, हैश हस्ताक्षर की संख्या में वृद्धि इस तथ्य की ओर ले जाती है कि क्लैमाव डेटाबेस अधिक मेमोरी लेता है। यही कारण है कि हम पैटर्न-आधारित हस्ताक्षर पसंद करते हैं। वे बहुत सरल और तेजी से bytecode का प्रबंधन करने के लिए कर रहे हैं, और एक ही समय में वे आपको फ़ाइलों के पूरे समूहों का वर्णन करने की अनुमति देते हैं।

BASS

BASS ढांचे को ClamAV हस्ताक्षर-आधारित टेम्पलेट्स के निर्माण की सुविधा के लिए डिज़ाइन किया गया है। यह स्वचालित रूप से उन्हें उत्पन्न करता है, बाइनरी निष्पादन योग्य कोड के प्रसंस्करण खंड।



BASS दुर्भावनापूर्ण कोड के अपने आधार समूहों के रूप में लेता है, लेकिन उन्हें बनाने के साधन शामिल नहीं करता है। इसके कारण, प्रौद्योगिकी सुविधाजनक और लचीली बनी हुई है। हमने जानबूझकर इनपुट इंटरफ़ेस को सार्वभौमिक बना दिया ताकि क्लस्टर के नए स्रोतों के अनुकूल होना आसान हो। अब हम ऐसे कई स्रोतों का उपयोग करते हैं, जिसमें हमारे सैंडबॉक्स, संरचनात्मक हैशिंग से समझौता (IoC) के संकेतक के आधार पर क्लस्टर शामिल हैं (जब हमारे पास एक जानबूझकर दुर्भावनापूर्ण निष्पादन योग्य फ़ाइल है और हम अतिरिक्त नमूनों की तलाश कर रहे हैं जो संरचना में समान हैं और मैलवेयर प्राप्त हुए) स्पैम अभियानों से।

पहले चरण में, दुर्भावनापूर्ण उदाहरण क्लैमव कर्नेल अनपैकर्स से गुजरते हैं। यह विभिन्न स्वरूपों और संपीड़ित निष्पादन योग्य फ़ाइलों (उदाहरण के लिए, UPX) के अभिलेखों को अनपैक कर सकता है, और एम्बेडेड ऑब्जेक्ट्स को भी निकाल सकता है (जैसे Word दस्तावेज़ों के अंदर EXE फ़ाइलें)। प्राप्त कलाकृतियों का सावधानीपूर्वक विश्लेषण किया जाता है, जानकारी एकत्र की जा रही है। अब अगले चरण के लिए, फ़िल्टरिंग, हम उनके आकार और UNIX मैजिक स्ट्रिंग का उपयोग करते हैं।

फिर दुर्भावनापूर्ण कोड का क्लस्टर फ़िल्टर किया जाता है। यदि फ़ाइलें BASS आवश्यकताओं को पूरा नहीं करती हैं (जबकि प्लेटफ़ॉर्म PE निष्पादन योग्य फ़ाइलों के साथ ही काम करता है, लेकिन ELF और MACH-O बाइनरी फ़ाइलों के लिए समर्थन जोड़ना मुश्किल नहीं है), तो उन्हें क्लस्टर से हटा दिया जाता है या, यदि कुछ बहुत कम छोड़ दिया जाता है, तो क्लस्टर पूरी तरह से अस्वीकार कर दिया जाता है।

फ़िल्टर्ड क्लस्टर सिग्नेचर जनरेशन फेज में आता है। सबसे पहले, बाइनरी फाइलें डिसैम्बल्ड होती हैं। ऐसा करने के लिए, हम आईडीए प्रो का उपयोग करते हैं, लेकिन इसे आसानी से समान क्षमताओं के साथ किसी अन्य डिस्सेम्बलर से बदला जा सकता है, उदाहरण के लिए, रेडारे 2।



जुदा करने के बाद, इसके आधार पर हस्ताक्षर उत्पन्न करने के लिए नमूनों में एक सामान्य कोड की पहचान करना आवश्यक है। यह कदम दो कारणों से महत्वपूर्ण है। सबसे पहले, हस्ताक्षर पीढ़ी एल्गोरिथ्म को महत्वपूर्ण कम्प्यूटेशनल संसाधनों की आवश्यकता होती है और शॉर्ट कोड सेगमेंट के साथ बेहतर काम करता है। दूसरे, कोड नमूनों से हस्ताक्षर प्राप्त करना बेहतर होता है, जो न केवल वाक्यात्मक रूप से, बल्कि शब्दार्थ रूप से भी समान हैं। कोड की तुलना करने के लिए, हम BinDiff उपयोगिता का उपयोग करते हैं। फिर, इसे बदलना भी आसान है, और भविष्य में हम तुलना के लिए अन्य उपयोगिताओं को ढांचे में एकीकृत कर सकते हैं।

यदि क्लस्टर छोटा है, तो BinDiff अन्य सभी के साथ प्रत्येक निष्पादन योग्य की तुलना करता है। अन्यथा, तुलना का दायरा कम हो जाता है, अन्यथा प्रक्रिया बहुत लंबी हो सकती है। प्राप्त परिणामों के आधार पर, एक ग्राफ़ का निर्माण किया जाता है जहां कोने कार्यों को दर्शाते हैं और किनारों को उनकी समानता का संकेत मिलता है। एक अच्छा सामान्य कार्य खोजने के लिए, उच्च समग्र समानता सूचकांक के साथ एक जुड़ा उपसमूह खोजना पर्याप्त है।



सबग्राफ sub1, ƒ2, ,4, similar6 उच्च शीर्ष समानता संकेतक के साथ (ऊपर आंकड़ा देखें) एक सामान्य कार्य की भूमिका के लिए एक उत्कृष्ट उम्मीदवार है।

जैसे ही कई ऐसे उम्मीदवारों की भर्ती की जाती है, हम नमूने के साथ सांख्यिकीय रूप से जुड़े पुस्तकालयों के साधारण कार्यों के आधार पर हस्ताक्षर बनाने से बचने के लिए उनकी तुलना सफेद सूची से करते हैं। ऐसा करने के लिए, फ़ंक्शन को Kam1n0 उदाहरण के लिए भेजा जाता है, जिसका डेटाबेस हमने पहले स्पष्ट रूप से शुद्ध नमूनों से कार्यों से भरा था। यदि किसी फ़ंक्शन के क्लोन का पता चला है, तो शेष लोगों के सबसे उपयुक्त का चयन करने के लिए सबग्राफ चयन प्रक्रिया को दोहराया जाता है। यदि सत्यापन कुछ भी प्रकट नहीं करता है, तो फ़ंक्शन का सेट अगले चरण में पारित हो जाता है।

फिर हस्ताक्षर की पीढ़ी सीधे शुरू होती है। टेम्पलेट-आधारित क्लैमव हस्ताक्षर द्विआधारी डेटा में बाद का पता लगाने के लिए डिज़ाइन किए गए हैं। इसलिए, हम सभी निकाले गए फ़ंक्शन पर लागू होते हैं, जो सबसे बड़ी सामान्य अनुवर्ती (LCS, सबसे लंबी सामान्य प्रक्रिया) के लिए खोज एल्गोरिथम है।

एक कम्प्यूटेशनल बिंदु से, यह एल्गोरिथ्म दो नमूनों के लिए भी काफी महंगा है और कई के लिए काफी कठिन है, इसलिए हम ईसाई ब्लिचमैन द्वारा वर्णित इसकी विधर्मी विविधता का उपयोग करते हैं। परिणाम कुछ इस तरह दिख सकता है:



अंत में, आपको हस्ताक्षर प्रकाशित करने से पहले इसका परीक्षण करना होगा। हम झूठी सकारात्मकता के लिए अपने परीक्षण सूट का उपयोग करके स्वचालित रूप से हस्ताक्षर की जांच करते हैं। अधिक विश्वसनीयता के लिए, हम हस्ताक्षर का निर्माण और विश्लेषण करने के लिए हमारे CASC IDA Pro ClamAV प्लग-इन की एक नई विशेषता सिगलीज़र का उपयोग करते हैं। सिगालीज़र बाइनरी के वर्गों को चिह्नित करता है जो क्लैमव हस्ताक्षर से मेल खाता है जो इसके लिए काम करता था। इस प्रकार, हस्ताक्षर का एक दृश्य दृश्य प्रतिनिधित्व बनता है।

आर्किटेक्चर

BASS को डॉकर कंटेनर के क्लस्टर के रूप में लागू किया गया है। रूपरेखा पायथन में लिखी गई है और वेब सेवाओं के माध्यम से सभी आवश्यक उपकरणों के साथ बातचीत करती है। आर्किटेक्चर VxClass परियोजना के अनुरूप बनाया गया था, जिसने IDA प्रो और BinDiff का उपयोग करके ClamAV हस्ताक्षर भी बनाए, लेकिन बाद में बंद कर दिया जाएगा और BASS के विपरीत, आम जनता के लिए सुलभ नहीं होगा।

प्रतिबंध

BASS एक्सक्लूसिव रूप से बाइनरी एक्ज़िबेबल्स के साथ काम करता है, क्योंकि हस्ताक्षर नमूना कोड से उत्पन्न होता है। इसके अलावा, यह केवल x86 और x86_64 निष्पादनों का विश्लेषण करता है। अन्य आर्किटेक्चर के लिए समर्थन भविष्य में दिखाई दे सकता है।

अब तक, BASS फ़ाइल वायरस के साथ अच्छी तरह से सामना नहीं करता है, जो संक्रमित वस्तुओं में छोटे और बहुत अलग कोड स्निपेट को एम्बेड करता है, और बैकडोर के साथ, मुख्य रूप से हानिरहित बाइनरी कोड (अक्सर चोरी) से युक्त होता है, जो दुर्भावनापूर्ण कार्यों द्वारा पूरक होता है। हम क्लस्टरिंग चरण को अनुकूलित करने के लिए काम करके इन कमियों से जूझ रहे हैं।

और एक बार फिर हम आपको याद दिलाना चाहते हैं कि BASS अल्फा परीक्षण चरण में है, और अभी तक सब कुछ सुचारू रूप से काम नहीं कर रहा है। लेकिन हमें उम्मीद है कि हम इस ढांचे को एक ओपन सोर्स प्रोजेक्ट के रूप में विकसित करके समुदाय को लाभान्वित करेंगे, और हम किसी भी विचार और आलोचना के लिए खुश होंगे।

आवेदन

सबसे बड़े सामान्य प्रतिस्थापन और सबसे बड़े सामान्य क्रम के बीच का अंतर

निम्नलिखित दृष्टांत सबसे बड़े सामान्य विकल्प और सबसे बड़े सामान्य क्रम के बीच के अंतर को दर्शाता है। अंग्रेजी प्रकाशन एलसीएस द्वारा हमारे प्रकाशन में सबसे बड़े सामान्य परिणाम का संकेत दिया गया है।



वह सब है। और पहले से ही 20 जून को खुले घर में पाठ्यक्रम कार्यक्रम के साथ विस्तार से परिचित होना संभव होगा, जो वेबिनार मोड में आयोजित किया जाएगा।