Imaging and evaluating the memory access for malware

Abstract

Kötü amaçlı yazılım analizi adli bilişsel bir süreçtir. Zararlı yazılım; başarılıbir şekilde hedef bilgisayara bulaştıktan, amaçladığı zarar hedef bilgisayardaoluştuktan ve yazılım kendini tam ölçekte gösterdikten sonra ancak çalıştırılabilirdosyanın hedefi ve yapısı gerçek anlamda anlaşılabilir. Zararlı yazılım analizi ile eldeedilen bu bulgular kötü amaçlı yazılım imzalarına dönüştürülmekte; antivirüsveritabanları ve tehdit istihbarat değişim platformları arasında paylaşılmaktadır. Buçok değerli bilgiler daha sonra kötü amaçlı yazılımların daha fazla yayılmasınıönlemek amacıyla saptama/önleme mekanizmalarında kullanılır. Bu süreçte kötüamaçlı yazılım örneğinin analizi iki kategoriye ayrılır: statik analiz ve dinamik analiz.Statik analizde çalıştırılabilir dosya, tersine mühendislik yazılımları aracılığıylakaynak koduna geri döndürülüp analiz edilirken, dinamik analiz, çalıştırılabilirdosyanın dışarıya kapalı bir ortamda çalıştırılmasını ve davranışlarının analizini içerir.Hem statik hem de dinamik analiz, paketleme, perdeleme, ölü kod ekleme, sanalmakinenin algılanması ve hata ayıklama önleme teknikleri gibi analiz önlemeteknikleriyle sınırlıdır. Öte yandan bellek üzerinden gerçekleştirilen analiz işlemleribu sınırlamalarla gizlenemez ve bilgisayar sistemlerinin modellerinin icadından buyana herhangi bir yazılım için kaçınılmazdır. Bu nedenle, bu araştırmada, kötü niyetlieylemler için bellek işlemleri ve bellek erişim örüntüleri incelenmiş, bellek erişimgörüntülerinin çıkarılması için yeni bir yaklaşımın katkısı litaretüre sunulmuştur. Buçıkarma yöntemine ek olarak, bu görüntülerin tespiti ve karşılaştırma için nasılkullanılabileceği görüntü karşılaştırma tekniği ile ortaya konulmuştur.

Malware analysis is a forensic process. After infection and the damage representeditself with the full scale, then the analysis of the attack, the structure of the executableand the aim of the malware can be discovered. These discoveries are converted intoanalysis reports and malware signatures and shared among antivirus databases andthreat intelligence exchange platforms. This highly valuable information is thenutilized in the detection mechanisms in order to prevent further dissemination andinfections of malware. The types of analysis of the malware sample in this process canbe grouped into two categories: static analysis and dynamic analysis. In static analysis,the executable file is reverted to the source code through disassemblers and reverseengineering software and analyzed whereas dynamic analysis includes running thesample in an isolated environment and analyzing its behavior. Both static and dynamicanalysis have limitations such as packing, obfuscation, dead code insertion, sandboxdetection, and anti-debugging techniques. Memory operations, on the other hand, arenot possible to hide by these limitations and inevitable for any software since theinventions of the computational models. Therefore, in this research, memoryoperations and access patterns for the malicious acts are examined and a contributionof a novel approach for extracting of memory access images is presented. In additionto extraction, methods of how these images can be used for detection and comparisonis introduced through an image comparison technique.