Automatisierte Signaturgenerierung für Malware-Stämme - Zynamics

ii
Inhaltsverzeichnis
3.2 Signaturgenerierung mittels BinDiff und k-LCS . . . . . . . . . . . . . . . 44
3.2.1 Definitionen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
3.2.2 Formale Beschreibung . . . . . . . . . . . . . . . . . . . . . . . . . . 46
3.3 Längste gemeinsame Teilsequenzen. . . . . . . . . . . . . . . . . . . . . . 49
3.3.1 Dynamische Programmierung . . . . . . . . . . . . . . . . . . . . . 50
3.3.2 Weitere Verfahren . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
3.4 Längste gemeinsame Teilsequenzen von Permutationen . . . . . . . . . . 52
3.4.1 Korrektheit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
3.4.2 Laufzeiteigenschaften . . . . . . . . . . . . . . . . . . . . . . . . . . 54
3.5 Eine Heuristik für das k-LCS-Problem . . . . . . . . . . . . . . . . . . . . 56
3.6 Kürzungsstrategien . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57
3.7 Konstruktion eines regulären Ausdrucks aus einer gemeinsamen Teilsequenz
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57
4 Implementierung 61
4.1 Überblick . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
4.2 Verwendete Programmiersprachen . . . . . . . . . . . . . . . . . . . . . . 63
4.2.1 Java . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
4.2.2 C++. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64
4.3 Schnittstelle zu IDA Pro und BinDiff . . . . . . . . . . . . . . . . . . . . . 64
4.3.1 IDAJava . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65
4.3.2 SWIG . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68
4.4 Programmbeschreibung . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69
4.4.1 Implementierung des Rahmenprogramms . . . . . . . . . . . . . . . 70
4.4.2 Datenstrukturen und Optimierungen . . . . . . . . . . . . . . . . . 71
4.4.3 Einschränkungen von ClamAV-Signaturen. . . . . . . . . . . . . . . 73
4.4.4 Unterstützte Plattformen . . . . . . . . . . . . . . . . . . . . . . . . 73
4.4.5 Benutzerschnittstelle. . . . . . . . . . . . . . . . . . . . . . . . . . . 73
4.5 Probleme . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
5 Bewertung 77
5.1 Erreichte Ziele. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
5.2 Falsche Positive . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 78
5.2.1 Testverfahren . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79
5.3 Falsche Negative . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
5.4 Experimente. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82
5.4.1 Unbekannte Mitglieder einer Malware-Familie . . . . . . . . . . . . 82