RU2615317C1 - Method for detection of malicious software codes in network data traffic, including exposed to combination of polymorphic transformations - Google Patents
Method for detection of malicious software codes in network data traffic, including exposed to combination of polymorphic transformations Download PDFInfo
- Publication number
- RU2615317C1 RU2615317C1 RU2016102879A RU2016102879A RU2615317C1 RU 2615317 C1 RU2615317 C1 RU 2615317C1 RU 2016102879 A RU2016102879 A RU 2016102879A RU 2016102879 A RU2016102879 A RU 2016102879A RU 2615317 C1 RU2615317 C1 RU 2615317C1
- Authority
- RU
- Russia
- Prior art keywords
- traffic
- cells
- image
- detection
- blocks
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/562—Static detection
- G06F21/564—Static detection by virus signature recognition
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Virology (AREA)
- Health & Medical Sciences (AREA)
- Software Systems (AREA)
- General Health & Medical Sciences (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- Computing Systems (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
Description
Изобретение относится к области защиты компьютеров, их компонентов, программ и данных от несанкционированной деятельности, а именно к способам обнаружения кодов вредоносных компьютерных программ (ВКП), в том числе подвергнутых полиморфным преобразованиям, и предназначено для использования в области обнаружения трафика, содержащего исполняемые коды полиморфных ВКП в сетях передачи данных.The invention relates to the field of protection of computers, their components, programs and data from unauthorized activity, and in particular to methods for detecting codes of malicious computer programs (VKP), including those subjected to polymorphic transformations, and is intended for use in the field of detecting traffic containing executable polymorphic codes VKP in data transmission networks.
В настоящее время наблюдается резкое увеличение количества компьютерных угроз, к числу которых могут относиться различные ВКП программы (например, сетевые черви, компьютерные вирусы, троянские программы), а также атаки со стороны злоумышленников. Одним из видов систем обнаружения вторжений является система обнаружения кодов ВКП по сигнатурным признакам, предназначенная для перехвата входящего в компьютерную систему или сеть сетевого трафика, анализа информационной нагрузки трафика на наличие сигнатур угроз, перемещения подозрительного трафика в защищенное хранилище. В данном случае под информационной нагрузкой сетевого трафика понимается поток пользовательских данных, передающихся по сети между хостами, полученные после сборки пакетов различных нижележащих уровней модели OSI (канальный, сетевой, транспортный и т.п.). В процессе обнаружения угроз в информационной нагрузке методом сигнатурного анализа обычно проверяется (идентичность участков анализируемого трафика эталонным образцам кода известных компьютерных угроз).Currently, there has been a sharp increase in the number of computer threats, which may include various VKP programs (for example, network worms, computer viruses, trojans), as well as attacks by cybercriminals. One of the types of intrusion detection systems is a signature-based VKP code detection system designed to intercept network traffic entering a computer system or network, analyze the traffic information load for threat signatures, and move suspicious traffic to a secure storage. In this case, the information load of network traffic is understood as the stream of user data transmitted over the network between hosts received after the assembly of packets of various underlying layers of the OSI model (channel, network, transport, etc.). In the process of detecting threats in the information load, the method of signature analysis is usually checked (the identity of the sections of the analyzed traffic to the reference code samples of known computer threats).
Существуют различные способы сигнатурного обнаружения кодов вредоносных компьютерных программ в трафике сети передачи данных. Такие способы, несомненно, увеличивают число обнаружений трафика, содержащего коды ВКП. Известен способ (патенты US 2004190506 A1, ЕР 2393030 А2) обнаружения трафика, содержащего шаблоны, характерные для кодов ВКП, где в качестве шаблонов выступают битовые сигнатуры участков исполняемого кода ВКП. В последнее время разработчики ВКП прилагают значительные усилия для сокрытия исполняемых кодов ВКП от систем сигнатурного поиска, в том числе за счет применения различных полиморфных преобразований. Недостатком предложенного способа сигнатурного обнаружения является малая полнота обнаружения, вызванная отсутствием возможности обнаружения трафика, содержащего участки исполняемого кода ВКП, подвергнутые различным полиморфным преобразованиям.There are various methods of signature-based detection of malicious computer codes in data network traffic. Such methods will undoubtedly increase the number of detections of traffic containing BCP codes. There is a method (patents US 2004190506 A1, EP 2393030 A2) for detecting traffic containing patterns specific to VKP codes, where bit signatures of sections of the VKP executable code are used as patterns. Recently, VKP developers have been making significant efforts to hide executable VKP codes from signature search systems, including through the use of various polymorphic transformations. The disadvantage of the proposed method of signature detection is the low completeness of detection due to the inability to detect traffic containing sections of the executable code of the CPSU, subjected to various polymorphic transformations.
Ряд патентных публикаций описывает подходы к обнаружению кодов полиморфных ВКП. Наиболее близким к изобретению аналогом (прототипом) является способ (патент US 5442699A) обнаружения в анализируемых битовых последовательностях участков, тождественных битовым сигнатурам исполняемых кодов ВКП, где в качестве шаблонов выступают редуцированные образы битовых сигнатур исполняемых кодов ВКП. При этом каждый из образов является инвариантом относительно одного из следующих типов полиморфных преобразований - аддитивное сложение (ADD), «Исключающее ИЛИ» (XOR), циклический битовый сдвиг - то есть остается неизменным при любых допустимых ключах выбранного преобразования. Недостатком данного способа является отсутствие возможности построения для заданного участка исходного кода вредоносного ПО шаблона, инвариантного к произвольным комбинациям полиморфных преобразований, реализованных способом аддитивного сложения (ADD) с однобайтной гаммой, способом «Исключающее ИЛИ с однобайтной гаммой» (XOR), способом простой замены байт, способом простой перестановки байт на окне заданной длины. Следствием этого является малая (менее 10%) полнота обнаружения кодов ВКП, подвергнутых комбинациям указанных полиморфных преобразований.A number of patent publications describe approaches to detecting polymorphic VKP codes. The closest analogue (prototype) to the invention is the method (patent US 5442699A) for detecting in the analyzed bit sequences sections that are identical to the bit signatures of the VKP executable codes, where the reduced images of the bit signatures of the VKP executable codes act as templates. Moreover, each of the images is an invariant with respect to one of the following types of polymorphic transformations - additive addition (ADD), “Exclusive OR” (XOR), cyclic bit shift - that is, it remains unchanged for any valid keys of the selected transformation. The disadvantage of this method is the inability to build a template for a given section of the source code of malware that is invariant to arbitrary combinations of polymorphic transformations implemented by the method of additive addition (ADD) with a single-byte gamma, the method of "Exclusive OR with single-byte gamma" (XOR), the way to easily replace bytes , by a simple way of rearranging bytes on a window of a given length. The consequence of this is the low (less than 10%) completeness of detection of VKP codes subjected to combinations of these polymorphic transformations.
Задачей изобретения является создание способа обнаружения кодов вредоносных компьютерных программ в трафике сети передачи данных, в том числе подвергнутых комбинациям полиморфных преобразований, позволяющего повысить полноту обнаружения кодов ВКП, что обусловлено использованием в качестве эталонов, соответствующих характерным участкам кода ВКП, редуцированных образов характерных участков кода ВКП, инвариантных относительно воздействия произвольных комбинаций полиморфных преобразований, реализованных способами аддитивного сложения с однобайтной гаммой (ADD), «Исключающее ИЛИ с однобайтной гаммой» (XOR), простой замены байт, простой перестановки байт на окне заданной длины.The objective of the invention is to provide a method for detecting malicious computer codes in traffic of a data network, including subjected to combinations of polymorphic transformations, which allows to increase the completeness of detection of VKP codes, which is caused by the use of reduced patterns of characteristic sections of VKP code as standards, corresponding to characteristic sections of the VKP code invariant under the influence of arbitrary combinations of polymorphic transformations realized by additive complex methods single-byte gamma (ADD), Exclusive OR with single-byte gamma (XOR), simple byte replacement, simple byte permutation on a window of a given length.
Эта задача решается тем, что реализованный в системе антивирусной защиты набор известных ранее способов обнаружения кодов вредоносных компьютерных программ в трафике сети передачи данных, в том числе подвергнутых комбинациям полиморфных преобразований, согласно изобретению дополнен тем, что упорядоченные ячейки памяти, содержащие зарегистрированный трафик, разделяют на последовательные, равновеликие блоки заданной длины; в оперативной памяти формируют образ трафика, выделяя упорядоченный набор ячеек, с количеством ячеек, равным числу блоков, и записывая нулевые значения в выделенные ячейки; в каждом из блоков трафика сравнивают состояния всех ячеек памяти, входящих в анализируемый блок, определяя число уникальных состояний ячеек в каждом блоке; в i-е ячейки образа записывают значения, соответствующие числу уникальных состояний ячеек в i-х блоках анализируемого трафика; определяют степень сходства всех подмножеств последовательных ячеек сформированного образа со всеми эталонами, выбирая такие подмножества, длина которых равна длине как минимум одного из эталонов, и вычисляя значение величины степени сходства методом нахождения нормированного расстояния Евклида между векторами значений ячеек; сравнивают получившиеся значения величин степени сходства с пороговыми значениями, установленными для каждого из эталонов; обнаружив участок образа трафика, величина степени сходства которого с каким-либо эталоном не превышает заданного порогового значения, прекращают анализ образа трафика, посылают пользователю системы сигнал об обнаружении трафика, содержащего участок, сходный с эталоном кода вредоносных компьютерных программ, и переносят подозрительный трафик в ячейки памяти защищенного хранилища.This problem is solved in that the set of previously known methods for detecting malicious computer codes in data traffic of a data network, including those subjected to combinations of polymorphic transformations implemented in the anti-virus protection system, is supplemented according to the invention in that ordered memory cells containing the registered traffic are divided into consecutive, equal size blocks of a given length; form a traffic image in the RAM, highlighting an ordered set of cells, with the number of cells equal to the number of blocks, and writing zero values to the selected cells; in each of the traffic blocks, the states of all memory cells included in the analyzed block are compared, determining the number of unique cell states in each block; in the i-th cell of the image write the values corresponding to the number of unique states of the cells in the i-th blocks of the analyzed traffic; determine the degree of similarity of all subsets of consecutive cells of the formed image with all the standards, choosing such subsets whose length is equal to the length of at least one of the standards, and calculating the value of the degree of similarity by finding the normalized Euclidean distance between the cell vectors of values; comparing the resulting values of the degree of similarity with the threshold values set for each of the standards; having found a portion of the traffic image whose degree of similarity with any standard does not exceed a predetermined threshold value, stop the analysis of the traffic image, send a signal to the system user about the detection of traffic containing a portion similar to the standard of the code of malicious computer programs, and transfer the suspicious traffic to the cells protected storage memory.
Перечисленная новая совокупность существенных признаков позволяет получить технический результат, выражающийся в повышении полноты обнаружения кодов ВКП, в том числе подвергнутых полиморфным преобразованиям, за счет снижения своевременности, достигаемый в результате дополнения набора способов обнаружения системы антивирусной защиты предложенным способом обнаружения участков анализируемого трафика, редуцированные образы которых в заданной степени сходны с эталонными шаблонами кодов ВКП, инвариантными к воздействию произвольных комбинаций указанный полиморфных преобразований.The listed new set of essential features allows us to obtain a technical result, which is expressed in increasing the completeness of detection of VKP codes, including those subjected to polymorphic transformations, by reducing the timeliness achieved by supplementing the set of detection methods for the anti-virus protection system with the proposed method for detecting sections of the analyzed traffic, reduced images of which to a certain degree are similar to the reference patterns of VKP codes invariant to the action of arbitrary combinations of the specified polymorphic transformations.
Проведенный анализ уровня техники позволил установить, что аналоги, характеризующиеся совокупностью признаков, тождественных всем признакам заявленного технического решения, отсутствуют, что указывает на соответствие изобретения условию патентоспособности «новизна».The analysis of the prior art made it possible to establish that analogues that are characterized by a combination of features that are identical to all the features of the claimed technical solution are absent, which indicates compliance of the invention with the condition of patentability “novelty”.
Результаты поиска известных решений в данной и смежных областях техники с целью выявления признаков, совпадающих с отличительными от прототипа признаками заявленного объекта, показали, что они не следуют явным образом из уровня техники. Из уровня техники также не выявлена известность влияния предусматриваемых существенными признаками заявленного изобретения преобразований на достижение указанного технического результата. Следовательно, заявленное изобретение соответствует условию патентоспособности «изобретательский уровень».Search results for known solutions in this and related fields of technology in order to identify features that match the distinctive features of the claimed object from the prototype showed that they do not follow explicitly from the prior art. The prior art also did not reveal the popularity of the impact provided by the essential features of the claimed invention, the transformations on the achievement of the specified technical result. Therefore, the claimed invention meets the condition of patentability "inventive step".
Заявляемый способ поясняется чертежами на которых показаны:The inventive method is illustrated by drawings in which are shown:
фиг. 1 - принципиальная схема системы антивирусной защиты, анализирующей трафик, поступающий в вычислительное устройство из сети передачи данных;FIG. 1 is a schematic diagram of an anti-virus protection system that analyzes traffic entering a computing device from a data network;
фиг. 2 - блок-схема алгоритма предложенного способа обнаружения трафика, содержащего коды ВКП.FIG. 2 is a flowchart of a proposed traffic detection method comprising BCP codes.
Предложенный способ обнаружения кодов вредоносных компьютерных программ в трафике сети передачи данных, в том числе подвергнутых комбинациям полиморфных преобразований, дополняющий известные способы обнаружения, реализованные в системе антивирусной защиты, принципиальная схема которой представлена на фигуре 1, включает в себя следующие шаги, представленные в виде блок-схемы алгоритма на фиг. 2:The proposed method for detecting malicious computer codes in data network traffic, including those subjected to combinations of polymorphic transformations, complements the known detection methods implemented in the anti-virus protection system, the circuit diagram of which is shown in Figure 1, includes the following steps, presented in block form diagrams of the algorithm in FIG. 2:
1) из размещенной в оперативной памяти вычислительного устройства базы данных антивирусной системы извлекаются вектора-эталоны, коэффициенты элементов эталонов, соответствующие эталонам пороговые значения. В выделенных физических ячейках оперативной памяти, логически организованных контроллером памяти в вектора с длинами, равными длинам эталонных векторов, электромагнитным характеристикам последовательных ячеек устанавливаются значения, однозначно сопоставляемые со значениями элементов векторов-эталонов;1) vector vectors, coefficients of the elements of the standards corresponding to the standards, threshold values are extracted from the database of the anti-virus system located in the RAM of the computing device. In the selected physical RAM cells, logically organized by the memory controller into vectors with lengths equal to the lengths of the reference vectors, the electromagnetic characteristics of the successive cells are set to values that are unambiguously comparable with the values of the elements of the reference vectors;
2) для каждой последовательности равновеликих блоков, составляющих размещенный в оперативной памяти участок анализируемого трафика, с числом блоков, равным числу элементов в векторе-эталоне, и длиной блока, равной длине блока, использованной при генерации вектора-эталона, выполняется формирование редуцированного образа:2) for each sequence of equal-sized blocks that make up the portion of the analyzed traffic located in the RAM, with the number of blocks equal to the number of elements in the vector reference and the block length equal to the length of the block used in the generation of the reference vector, a reduced image is formed:
а) в выделенных физических ячейках оперативной памяти, логически организованных контроллером памяти в вектора с длинами, равными длинам эталонных векторов, электромагнитным характеристикам последовательных ячеек устанавливаются значения, однозначно сопоставляемые с числом взаимно уникальных символов в соответствующем анализируемом блоке анализируемого участка трафика;a) in the selected physical RAM cells, logically organized by the memory controller into vectors with lengths equal to the lengths of the reference vectors, the electromagnetic characteristics of the successive cells are set to values that are unambiguously comparable with the number of mutually unique characters in the corresponding analyzed block of the analyzed traffic section;
3) измеряют степень сходства сформированного редуцированного образа с эталоном:3) measure the degree of similarity of the formed reduced image with the standard:
a) последовательно измеряют разность электромагнитных характеристик ячеек оперативной памяти, содержащих вектор-эталон, и соответствующих последовательных ячеек оперативной памяти, содержащих анализируемый редуцированный образ;a) sequentially measure the difference in the electromagnetic characteristics of the RAM cells containing the reference vector and the corresponding sequential RAM cells containing the analyzed reduced image;
b) вычисляют квадратный корень суммы отношений квадратов измеренных разностей к соответствующим коэффициентам элементов эталона по формулеb) calculate the square root of the sum of the ratios of the squares of the measured differences to the corresponding coefficients of the elements of the standard by the formula
где i - порядковый номер, Ei - значение элемента вектора-эталона, Pi - значение элемента редуцированного образа, Di - коэффициент элемента вектора-эталона (равен квадрату дисперсии элемента вектора эталона);where i is the serial number, E i is the value of the element of the reference vector, P i is the value of the element of the reduced image, D i is the coefficient of the element of the reference vector (equal to the variance squared of the element of the reference vector);
c) в случае превышения пороговым значением эталона числа R принимают решение об обнаружении участка трафика, сходного с эталоном, характерным для участка кода ВКП;c) if the threshold value exceeds the number R, a decision is made to detect a traffic section similar to the standard characteristic of the BCP code section;
4) при обнаружении в анализируемом трафике участка, сходного с кодом ВКП, на видеоадаптер вычислительной системы посылают сигнал, содержащий сведения об обнаружении участка трафика, сходного с эталоном, и его характеристиках, а затем перемещают весь зарегистрированный в оперативной памяти трафик в недоступное для пользователя и процессов операционной системы, за исключением процессов антивирусной системы, защищенное хранилище, размещаемое за пределами оперативной памяти вычислительного устройства.4) when a section similar to the VKP code is detected in the analyzed traffic, a signal containing information about the detection of a traffic section similar to the standard and its characteristics is sent to the video adapter of the computer system, and then all traffic registered in the main memory is moved out of the reach of the user and processes of the operating system, with the exception of the processes of the anti-virus system, protected storage located outside the RAM of the computing device.
Для подтверждения достижимости технического результата выполнен эксперимент по обнаружению кодов вредоносных компьютерных программ в трафике сети передачи данных, в том числе подвергнутых комбинациям полиморфных преобразований. Алгоритмы способов, описанных в патенте-прототипе, а также предложенного способа реализованы в формате динамических библиотек прототипа системы антивирусной защиты. Экспериментальная проверка предложенного способа выполнена на испытательном стенде, реализованном на базе вычислительных устройств, представленных идентичными IBM-совместимыми компьютерами с процессором Intel Core 17 3.6 ГГц, 4 Гб RAM, 512 Гб HDD. В сеть передачи данных входят 2 вычислительных устройства идентичной комплектации, на первом устройстве запущен прототип системы антивирусной защиты, использующий разработанные модули-обнаружители. Второе устройство отвечает за трансляцию файлов по сети передачи данных. Трафик сети передачи данных, поступающий на вход вычислительно устройства, обрабатывается сетевым драйвером и регистрируется в оперативной памяти вычислительного устройства, а затем анализируется прототипом антивирусной системы.To confirm the attainability of the technical result, an experiment was performed to detect codes of malicious computer programs in the traffic of a data network, including those subjected to combinations of polymorphic transformations. The algorithms of the methods described in the patent prototype, as well as the proposed method are implemented in the format of the dynamic prototype libraries of the anti-virus protection system. An experimental verification of the proposed method was performed on a test bench implemented on the basis of computing devices represented by identical IBM-compatible computers with Intel Core 17 3.6 GHz processor, 4 GB RAM, 512 GB HDD. The data transmission network includes 2 computing devices of identical configuration, the first device runs a prototype anti-virus protection system using developed detectors. The second device is responsible for broadcasting files over a data network. The data network traffic entering the input of the computing device is processed by the network driver and recorded in the RAM of the computing device, and then analyzed by the prototype anti-virus system.
В качестве обнаруживаемого класса файлов выбран класс исполняемых файлов ОС Windows (расширение ехе, формат Portable Executable). В качестве эталонной кодовой последовательности, характерной для данного класса файлов, выбрана строка «This program cannot be run in DOS mode» в кодировке ANSI, характерная для исполняемых файлов. Данная строка использована для построения эталонов способами, описанными в патенте-прототипе. При создании эталона для обнаружения предложенным способом для первых 1000 байт каждого из 100 проанализированных исполняемых файлов создан образ уникальности с размером окна расчета статистики уникальности равным 25 и числом элементов равным 40. В качестве значений элементов эталонного образа установлены математические ожидания величин соответствующих элементов в выборке образов проанализированных файлов. В качестве коэффициентов элементов эталонного образа использованы дисперсии величин соответствующих элементов в выборке образов проанализированных файлов. Порог обнаружителя установлен равным 12. Выборка трафика для анализа получена способом имитационного моделирования на основе исходной выборки, состоящей из 100 проанализированных ранее исполняемых файлов, дополненной 100 другими уникальными исполняемыми файлами, а также 800 произвольными неисполняемыми файлами с рабочей станции (файлы форматов Microsoft Office Word 2003, 2010, изображения jpeg, png, bmp, аудио файлы mp3, wav и т.п.).The Windows class of executable files (exe extension, Portable Executable format) was selected as the detected class of files. As the reference code sequence, characteristic for this class of files, the line “This program cannot be run in DOS mode” in ANSI encoding, which is typical for executable files, is selected. This line is used to build standards in the ways described in the patent prototype. When creating a standard for detecting by the proposed method, for the first 1000 bytes of each of the 100 analyzed executable files, a uniqueness image was created with the size of the window for calculating uniqueness statistics equal to 25 and the number of elements equal to 40. The mathematical expectations of the values of the corresponding elements in the sample of images analyzed were set as values of the elements of the reference image files. As the coefficients of the elements of the reference image, variances of the values of the corresponding elements in the sample of images of the analyzed files are used. The detector threshold is set to 12. The traffic sample for analysis was obtained by simulation based on the initial sample consisting of 100 previously analyzed executable files, supplemented by 100 other unique executable files, as well as 800 arbitrary unexecutable files from the workstation (Microsoft Office Word 2003 file formats , 2010, jpeg, png, bmp images, audio files mp3, wav, etc.).
Исходный код каждого файла выборки подвергнут следующим полиморфным преобразованиям: простая замена байт с однобайтной гаммой, «Исключающее ИЛИ с однобайтной гаммой», простая перестановка байт на окне 5. Также исходный код каждого файла выборки подвергнут всем возможным комбинациям из двух (6 комбинаций) либо трех (27 комбинаций) указанных полиморфных преобразований, применяемых последовательно. При выполнении каждого из полиморфных преобразований ключ преобразования выбирается произвольно, с равной вероятностью, из множества допустимых для выполняемого преобразования ключей. В итоге из каждого файла выборки получено 36 преобразованных файлов, всего N=36000 файлов, из них NE=7200 преобразованных исполняемых файлов, NO=28800 преобразованных неисполняемых файлов, общий размер выборки составил около 3,6 ГБайт.The source code of each sample file is subjected to the following polymorphic transformations: simple replacement of bytes with a single-byte gamma, “Exclusive OR with single-byte gamma”, simple rearrangement of bytes on window 5. Also, the source code of each sample file is subjected to all possible combinations of two (6 combinations) or three (27 combinations) of these polymorphic transformations applied sequentially. When each of the polymorphic transformations is performed, the transform key is chosen arbitrarily, with equal probability, from the set of keys valid for the transform. As a result, 36 converted files were received from each sample file, in total N = 36000 files, of which N E = 7200 converted executable files, N O = 28800 converted non-executable files, the total sample size was about 3.6 GB.
По сети передачи данных, контролируемой системой антивирусной защиты, реализующей способы обнаружения, описанные в патенте-прототипе, передана выборка из N преобразованных файлов. В результате анализа системой верно обнаружено 513 файлов, являющихся преобразованными исполняемыми файлами формата РЕ, а также ошибочно обнаружено 11 файлов, не являющихся преобразованными исполняемыми файлами формата РЕ. На анализ затрачено 44 секунды. После этого набор способов обнаружения системы антивирусной защиты дополнен предложенным способом обнаружения. По сети передачи данных, контролируемой системой антивирусной защиты, повторно передана выборка из N преобразованных файлов. В результате анализа системой верно обнаружено 2249 файлов, являющихся преобразованными исполняемыми файлами формата РЕ, а также ошибочно обнаружено 53 файла, не являющихся преобразованными исполняемыми файлами формата РЕ. На анализ затрачено 62 секунды.A data transfer network, controlled by an anti-virus protection system that implements the detection methods described in the prototype patent, transmitted a sample of N converted files. As a result of the analysis, the system correctly detected 513 files that are converted executable files of the PE format, and also mistakenly detected 11 files that are not converted executable files of the PE format. The analysis took 44 seconds. After that, the set of methods for detecting the anti-virus protection system is supplemented by the proposed detection method. A data network controlled by the anti-virus protection system retransmitted a sample of N converted files. As a result of the analysis, the system correctly detected 2249 files that are converted executable files of the PE format, and also mistakenly detected 53 files that are not converted executable files of the PE format. Analysis took 62 seconds.
Таким образом, в результате расширения возможностей системы антивирусной защиты за счет предложенного способа обнаружения преобразованных файлов и снижения своевременности (в 1,4 раза) успешно повышены полнота (с 7,1% до 31%) достоверность (с 81,3% до 86,1%) обнаружения кодов, подвергнутых полиморфным преобразованиям, где полнота обнаружения рассчитывается по формулеThus, as a result of expanding the capabilities of the anti-virus protection system due to the proposed method for detecting converted files and reducing the timeliness (1.4 times), the completeness (from 7.1% to 31%) has been successfully increased reliability (from 81.3% to 86, 1%) detection of codes subjected to polymorphic transformations, where the completeness of detection is calculated by the formula
а достоверность обнаружения рассчитывается по формулеand the reliability of detection is calculated by the formula
что подтверждает достижение заявленного технического результата. При этом представленные характеристики достоверности и полноты обнаружения могут иметь иные значения в случае анализа иных форматов файлов, выбора иных эталонных последовательностей в файлах, выбора иных значений дисперсий элементов эталонного образа и порога принятия решения, в силу вероятностной природы предложенного способа обнаружения.which confirms the achievement of the claimed technical result. At the same time, the presented characteristics of reliability and completeness of detection may have different values in the case of analysis of other file formats, selection of other reference sequences in files, selection of different variances of elements of the reference image and decision threshold, due to the probabilistic nature of the proposed detection method.
Claims (1)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2016102879A RU2615317C1 (en) | 2016-01-28 | 2016-01-28 | Method for detection of malicious software codes in network data traffic, including exposed to combination of polymorphic transformations |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2016102879A RU2615317C1 (en) | 2016-01-28 | 2016-01-28 | Method for detection of malicious software codes in network data traffic, including exposed to combination of polymorphic transformations |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| RU2615317C1 true RU2615317C1 (en) | 2017-04-04 |
Family
ID=58507014
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| RU2016102879A RU2615317C1 (en) | 2016-01-28 | 2016-01-28 | Method for detection of malicious software codes in network data traffic, including exposed to combination of polymorphic transformations |
Country Status (1)
| Country | Link |
|---|---|
| RU (1) | RU2615317C1 (en) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2664401C1 (en) * | 2017-04-05 | 2018-08-17 | Федеральное государственное автономное учреждение науки Институт конструкторско-технологической информатики Российской академии наук (ИКТИ РАН) | Anti-virus protection method and device for its implementation |
| CN109948335A (en) * | 2018-06-29 | 2019-06-28 | 卡巴斯基实验室股份公司 | System and method for detecting the rogue activity in computer system |
| RU2757265C1 (en) * | 2020-09-24 | 2021-10-12 | Акционерное общество "Лаборатория Касперского" | System and method for assessing an application for the presence of malware |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5442699A (en) * | 1994-11-21 | 1995-08-15 | International Business Machines Corporation | Searching for patterns in encrypted data |
| US20040190506A1 (en) * | 2003-03-24 | 2004-09-30 | International Business Machines Corp. | Method and apparatus for performing complex pattern matching in a data stream within a computer network |
| WO2006022566A1 (en) * | 2004-07-26 | 2006-03-02 | Stochasto Asa | Method for protecting computer systems against encrypted and polymorphous viruses |
| RU2427890C2 (en) * | 2009-10-01 | 2011-08-27 | ЗАО "Лаборатория Касперского" | System and method to compare files based on functionality templates |
| EP2393030A2 (en) * | 2010-06-07 | 2011-12-07 | Samsung SDS Co. Ltd. | Anti-malware system and operating method thereof |
| RU2538292C1 (en) * | 2013-07-24 | 2015-01-10 | Открытое Акционерное Общество "Информационные Технологии И Коммуникационные Системы" | Method of detecting computer attacks to networked computer system |
-
2016
- 2016-01-28 RU RU2016102879A patent/RU2615317C1/en not_active IP Right Cessation
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5442699A (en) * | 1994-11-21 | 1995-08-15 | International Business Machines Corporation | Searching for patterns in encrypted data |
| US20040190506A1 (en) * | 2003-03-24 | 2004-09-30 | International Business Machines Corp. | Method and apparatus for performing complex pattern matching in a data stream within a computer network |
| WO2006022566A1 (en) * | 2004-07-26 | 2006-03-02 | Stochasto Asa | Method for protecting computer systems against encrypted and polymorphous viruses |
| RU2427890C2 (en) * | 2009-10-01 | 2011-08-27 | ЗАО "Лаборатория Касперского" | System and method to compare files based on functionality templates |
| EP2393030A2 (en) * | 2010-06-07 | 2011-12-07 | Samsung SDS Co. Ltd. | Anti-malware system and operating method thereof |
| RU2538292C1 (en) * | 2013-07-24 | 2015-01-10 | Открытое Акционерное Общество "Информационные Технологии И Коммуникационные Системы" | Method of detecting computer attacks to networked computer system |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2664401C1 (en) * | 2017-04-05 | 2018-08-17 | Федеральное государственное автономное учреждение науки Институт конструкторско-технологической информатики Российской академии наук (ИКТИ РАН) | Anti-virus protection method and device for its implementation |
| CN109948335A (en) * | 2018-06-29 | 2019-06-28 | 卡巴斯基实验室股份公司 | System and method for detecting the rogue activity in computer system |
| CN109948335B (en) * | 2018-06-29 | 2024-02-23 | 卡巴斯基实验室股份公司 | System and method for detecting malicious activity in a computer system |
| RU2757265C1 (en) * | 2020-09-24 | 2021-10-12 | Акционерное общество "Лаборатория Касперского" | System and method for assessing an application for the presence of malware |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP7405596B2 (en) | System and method for object classification of computer systems | |
| US8533835B2 (en) | Method and system for rapid signature search over encrypted content | |
| Kim et al. | Improvement of malware detection and classification using API call sequence alignment and visualization | |
| CN107066883B (en) | System and method for blocking script execution | |
| CN111382434B (en) | System and method for detecting malicious files | |
| JP6636096B2 (en) | System and method for machine learning of malware detection model | |
| US20200012792A1 (en) | System and method for statistical analysis of comparative entropy | |
| US10284580B2 (en) | Multiple detector methods and systems for defeating low and slow application DDoS attacks | |
| CN110034921B (en) | Webshell detection method based on weighted fuzzy hash | |
| EP3474177A1 (en) | System and method of detecting malicious files using a trained machine learning model | |
| US11470097B2 (en) | Profile generation device, attack detection device, profile generation method, and profile generation computer program | |
| US20170193230A1 (en) | Representing and comparing files based on segmented similarity | |
| JP2019079493A (en) | System and method for detecting malicious files using machine learning | |
| EP2284752B1 (en) | Intrusion detection systems and methods | |
| EP3428826B1 (en) | Ransomware detection apparatus and operating method thereof | |
| Naik et al. | Fuzzy-import hashing: A static analysis technique for malware detection | |
| RU2615317C1 (en) | Method for detection of malicious software codes in network data traffic, including exposed to combination of polymorphic transformations | |
| Breitinger et al. | Evaluating detection error trade-offs for bytewise approximate matching algorithms | |
| CN111756735A (en) | DNS tunnel traffic detection method and device | |
| Kim et al. | Evaluation of image similarity algorithms for malware fake-icon detection | |
| CN111756871B (en) | Data processing method based on domain name service protocol and electronic equipment | |
| EP3674948B1 (en) | System and method for classification of objects of a computer system | |
| CN114491621B (en) | Text object security detection method and equipment | |
| Wang et al. | Toward machine intelligence that learns to fingerprint polymorphic worms in IoT | |
| CN116032583A (en) | Abnormal domain name detection method, device, storage medium and equipment |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| MM4A | The patent is invalid due to non-payment of fees |
Effective date: 20180129 |