Automatisierte Signaturgenerierung für Malware-Stämme - Zynamics

2 1 Einleitung
meist manuellen – Erstellung von Signaturen. Ebenfalls nicht zu vernachlässigen ist der
finanzielle Aufwand, der für die Verteilung der Signaturen und der dafür benötigten
Netzwerk-Ressourcen anfällt.
Da die Verfügbarkeit von tagesaktuellen Signaturen für die Sicherheit moderner Rechensysteme
unverzichtbar ist, verspricht eine weitgehende Automatisierung des Signaturerstellungsprozesses
eine drastische Reduzierung von Aufwand und Kosten. Daher
wäre es von Vorteil, die Anzahl der Signaturen signifikant zu senken und gleichzeitig die
Erkennungsrate durch Antivirenprogramme beizubehalten oder sogar zu steigern.
Die Varianten einer Malware sind – trotz unterschiedlichen syntaktischen Erscheinungsbildes
– semantisch meist nahezu identisch. Hieraus lässt sich ein Ähnlichkeitsmaß
ableiten, das die Zerlegung einer gegebenen Menge von Schadprogrammen in disjunkte
Teilmengen erlaubt. In Anlehnung an die Biologie werden die Schadprogramme in diesen
Teilmengen im Folgenden als Stamm oder Familie bezeichnet 1 .
Eine solche automatische Klassifizierung von Malware in Familien kann beispielsweise
mittels Clusteranalyse der paarweisen Ähnlichkeiten erfolgen 2 , und Methoden wie in
[16], [31] oder [29] eignen sich für die Definition eines Ähnlichkeitsmaßes, sind jedoch
im Allgemeinen nicht für den Echtzeiteinsatz auf Arbeitsplatz-Computern geeignet. Hier
sind die Byte-basierten Signatursysteme aktueller Antivirenprogramme mittelfristig nicht
zu ersetzen.
Um dennoch von den Resultaten der automatischen Klassifikation zu profitieren, benötigt
man eine Methode, welche aus einer gegebenen Familie von Schadprogrammen
eine Byte-basierte Signatur generiert, mit der zuverlässig die gesamte Familie erkannt
werden kann. Neue und noch unbekannte Varianten einer Malware können so von den
verfügbaren Antivirenprogrammen mit der Signatur für einen bereits bekannten Stamm
erkannt werden (siehe Abschnitt 5.4.1).
Im Rahmen der vorliegenden Arbeit sollen für Stämme von Malware, die durch eine
geeignete Methode (darunter fällt auch die manuelle Analyse) vorab klassifiziert wurden,
eine – möglichst kompakte – Signatur für alle diese Varianten der jeweiligen Malware zur
Verwendung durch das Antivirenprogramm ClamAV generiert werden ([11], [35]).
Kapitel 2 führt zunächst die dieser Arbeit zugrunde liegenden Konzepte ein und liefert
dafür notwendige Begriffsdefinitionen. Die semantischen Aspekte von Signaturen
werden diskutiert und einige Signaturbeschreibungssprachen kurz vorgestellt, bevor
1 Die klassische Systematik der Biologie nach Linné ordnet die Begriffe streng hierarchisch, sie werden hier
synonym verwendet.
2 Eine Implementierung des soeben beschriebenen Verfahrens findet sich in [65] und wird in Abschnitt 2.6.1
näher erläutert.