Metamorfik kötücül kodların gerçek zamanlı tespiti

Abstract

Kötücül kodlar metamorfik kod gizleme yöntemleri sayesinde her bir nesilde büyüklüğü, yapısı ve çalışma şekli farklı fakat işlevselliği aynı olan yeni kötücül kodlar üretmektedirler. Böylece imza tabanlı geleneksel kötücül kod tespit sistemlerini atlatabilmektedirler. Çalışmamız kapsamında MAIL (Malware Analysis Intermediate Language) dilinin ürettiği özet yapılar kullanılarak metamorfik yapıdaki kötücül kodların tespitini yapan bir yöntem geliştirilmiştir. MAIL diline ait kodların frekans değerleri için öznitelik çıkarma, öznitelik seçimi ve sınıflandırma algoritmalarının doğruluk ve performans açısından incelemesi gerçekleştirilmiştir. Sistem metamorfik kötücül kod yöntemlerini kullanan NGVCK, G2, VCL32, PSMPC kötücül kod sınıfları üzerinde test edilmiş olup MAIL yapısına ait 21 adet özet öznitelik kod kümesi içerisinden 2 adet öznitelik seçilerek %90 oranında öznitelik azaltımı ile %100 oranında kötücül kod tespit başarımı sağlamıştır.

Malwares can create new malware samples which have different size, structure and operation mode but same functionality in each metamorphic code generation via malicious code obfuscation methods. So they bypass traditional signature-based malware detection systems. In this study, a pattern recognition based system that detects metamorphic malware by using summary structure of Malware Analysis Intermediate Language (MAIL)has been proposed. For the term frequency of MAIL language codes, feature extraction, feature selection and classification algorithm is researched in terms of accuracy and performance. The system is tested with metamorphic malware construction kits NGVCK, G2, VCL32, PSMPC and achieve %100 accuracy with 2 of 21 MAIL feature and implement %90 feature reduction.