Automatisierte Signaturgenerierung für Malware-Stämme - Zynamics

26 2 Begriffe, Konzepte und Verfahren
Im Vergleich zu Perl-kompatiblen regulären Ausdrücken werden die Schrittinstanzselektionsmodi
letzte und alle, sowie der Konsummodus nicht-konsumierend nicht unterstützt.
Tabelle 2.4 fasst die Ergebnisse der semantischen Betrachtungen zusammen.
2.5 Analyse von Malware
Vor der Erstellung einer Signatur zur Erkennung einer spezifischen Malware durch ein Antivirenprogramm
ist zunächst eine umfassende Analyse des jeweiligen Schadprogramms
erforderlich. Dabei wird nach charakteristischen Merkmalen der Malware gesucht, um
daraus später eine Signatur zu erstellen. Dies geschieht üblicherweise manuell oder
halb-automatisch.
Die folgenden Abschnitte richten den Blick auf einige Softwarewerkzeuge und Analysemethoden,
bevor in Kapitel 3 ein automatisiertes Verfahren dieses Prozesses vorgestellt
wird, welches auf den vorgestellten Methoden aufbaut.
2.5.1 IDA Pro
Schadprogramme liegen bei ihrer Erscheinung – also ihrer ersten Verbreitung – nicht
im Quelltext, sondern in Form von Objektcode vor, der je nach Art der Malware unterschiedlich
gut getarnt sein kann. Die Analyse der Binaries solcher Programme erfolgt mit
einer symbolischen Repräsentation der vom Prozessor 27 des Rechensystems ausgeführten
Instruktionen, auch Assemblersprache (engl. assembly language) oder Assembler genannt.
Ein Disassembler ist ein Programm, das Objektcode in diese symbolische Darstellung
übersetzt, wobei der Objektcode meist zunächst aus einer ausführbaren Datei extrahiert
wird (der Disassembler simuliert hier gewissermaßen das Ladeprogramm des Betriebssystems).
Da Assemblersprache schwierig zu lesen und zu verstehen ist 28 , implementieren Disassembler
eine Reihe von Techniken, die die Assemblerdarstellung eines Programms
lesbarer gestalten.
27 Da ein bestimmter Ausführungspfad eines Programms logisch immer nur auf einer Recheneinheit ausgeführt
wird, genügt es, hier von einem Prozessor zu sprechen, selbst wenn das Programm Nebenläufigkeit
und mehrere Prozessoren benutzt.
28 Dies hängt natürlich stark von der Expertise des Benutzers ab, ist aber in etwa vergleichbar mit einer
Wort-für-Wort-Übersetzung eines Textes.