面向数字货币特征的细粒度代码注入攻击检测 - 孙聪, 李占魁, 陈亮, 马建峰, 乔新博.pdf
免费下载
计 算 机 研 究 与 发 展
DOI
:
１０．７５４４∕issn１０００Ｇ１２３９．２０２１．２０２００９３７
JournalofCom
p
uterResearchandDevelo
p
ment ５８
(
５
):
１０３５ １０４４
,
２０２１
收稿日期
:
２０２０
－
１１
－
０９
;
修回日期
:
２０２１
－
０２
－
０４
基金项目
:
国家自然科学基金项目
(
６１８７２２７９
);
陕西省重点研发计划项目
(
２０２０GYＧ００４
,
２０１９ZDLGY１２Ｇ０６
)
Thisworkwassu
pp
ortedb
y
theNationalNaturalScienceFoundationofChina
(
６１８７２２７９
)
andtheKe
y
ResearchandDevelo
p
ment
Pro
g
ramofShaanxiProvince
(
２０２０GYＧ００４
,
２０１９ZDLGY１２Ｇ０６
)
．
面向数字货币特征的细粒度代码注入攻击检测
孙
聪
１
李 占 魁
１
,
２
陈
亮
１
马 建 峰
１
乔 新 博
１
１
(
西安电子科技大学网络与信息安全学院
西安
７１００７１
)
２
(
华为技术有限公司
西安
７１００７５
)
(
suncon
g
＠xidian．edu．cn
)
Di
g
italCurrenc
y
FeaturesOrientedFineＧGrainedCodeIn
j
ectionAttackDetection
SunCon
g
１
,
LiZhankui
１
,
２
,
ChenLian
g
１
,
MaJianfen
g
１
,
andQiaoXinbo
１
１
(
Schoolo
f
C
y
berEn
g
ineerin
g
,
XidianUniversit
y
,
Xian
７１００７１
)
２
(
HUAWEITechnolo
g
iesCo
．
,
Ltd
,
Xian
７１００７５
)
Abstract Di
g
italcurrencieshavedevelo
p
edra
p
idl
y
andemer
g
edasacriticalform ofour
p
a
y
ment
s
y
stem．Conse
q
uentl
y
,
thea
pp
licationsand
p
latformsofdi
g
italcurrenciesandtheir
p
a
y
mentservices
areextensivel
y
ex
p
osedtovariousex
p
loitsb
y
malware．Inat
yp
icalscenario
,
modernransomware
usuall
y
levera
g
esdi
g
italcurrenciesasthe medium of
p
a
y
ment．ThestateＧofＧtheＧartcodein
j
ection
attackdetectionshaverarel
y
consideredsuch di
g
italcurrenc
y
Ｇrelated memor
y
features
,
thuscan
hardl
y
identif
y
the maliciousbehaviorsofransomware．To miti
g
atethisissue
,
we
p
ro
p
oseafineＧ
g
rainedschemeofmemor
y
forensicstofacilitatethedetectionofhostＧbasedcodein
j
ectionattackswith
theabilit
y
toidentif
y
ransomware．Weca
p
turethedi
g
italcurrenc
y
Ｇrelatedmemor
y
featuresexhibited
inthe
p
rocedureofinducin
g
thevictims
p
a
y
ment．Weincor
p
oratesuchmemor
y
featuresintoasetof
g
eneralmemor
y
featuresandim
p
lementafineＧ
g
raineddetections
y
stem oncodein
j
ectionattacks．
Accordin
g
totheex
p
erimentalresults
,
thenewschemeofmemor
y
forensicseffectivel
y
im
p
rovesthe
p
erformanceofthestateＧofＧtheＧartdetections
y
stem ondifferentmetrics．Meanwhile
,
oura
pp
roach
enablesthe detection s
y
stems of hostＧbased codein
j
ection attacksto ca
p
turethe behaviors of
ransomware
p
recisel
y
．Moreover
,
theextractionofthenewl
yp
ro
p
osedmemor
y
featuresisefficient
,
andourdetections
y
stemisca
p
ableofdetectin
g
unknownmalwarefamilies．
Ke
y
words codein
j
ectionattack
;
machinelearnin
g
;
memor
y
forensics
;
ransomware
;
di
g
italcurrenc
y
摘
要
数字货币的迅速发展使其被越来越多的恶意软件利用
．
现有勒索软件通常使用数字货币作为支
付手段
,
而现有代码注入攻击检测手段缺乏对相关恶意特征的考虑
,
使得其难以有效检测勒索软件的恶
意行为
．
针对此问题
,
提出了一种细粒度的 代码注 入攻击 检测内 存特征 方案
,
利用勒 索软件 在引导 被攻
击者支付过程中表现的数字货币内存特征
,
结合多种通用的细粒度内存特征
,
实现了一种细粒度的代码
注入攻击检测系统
．
实验结果表明
:
新的内存特征方案能够在多个指标上有效提升现有检测系统内存特
征方案的检测性能
,
同时使得基于主机的代码注入攻击检测系统能够准确检测勒索软件行为
,
系统还具
有较好的内存特征提取性能及对未知恶意软件家族的检测能力
．
关键词
代码注入攻击
;
机器学习
;
内存取证
;
勒索软件
;
数字货币
中图法 分类号
TP３０９．５
数字货币在近年 来 长足 发 展的 同 时
,
已被 广 泛
用于勒 索 软件 等 恶意 程 序
[
１
]
．
此类 恶 意程 序 的传 播
和注入过程常依赖 于 系统 漏 洞和 通 用恶 意 行为
,
如
代码注入攻击
[
２
]
．
此外
,
勒索软件通常为被攻击 者生
成唯一的勒索地址
,
或要 求 被攻 击 者发 送 支付 交 易
哈希值
,
以便于数字货币兑换
[
３
]
,
此类恶意特征在勒
索软件有效载荷及其进程内存地址空间中具有特定
特征
,
因而
,
面向数字货币相关的内存特征进行代码
注入攻击检测是发现勒索软件攻击的有效手段
．
代码注入攻击指注入者实体复制代码到受害者
实体
,
并在受害者上下文中执行恶意代码的行为
．
基
于主 机 的 代 码 注 入攻 击
[
４
]
(
hostＧbasedcodein
j
ection
attack
,
HBCIA
)
相 比 远 程 代 码 注 入 攻 击
[
５
]
隐 蔽 性
更高
:
注入者与受害 者均 为 驻留 在 同一 操 作系 统 上
的进程
,
注入者进程利 用 系统 调 用接 口 对受 害 者进
程地址空间实施代 码 注入
,
从而 访 问受 害 者进 程 空
间中所有信 息 并 实 施 恶 意 行 为
．
目 前
HBCIA
检 测
方案可分为动态 和 静 态
２
类
．
动 态 检 测 通 过 监 控 实
时 的 系 统 调 用 序 列 和 进 程
、
线 程 环 境 变 化 发 现
HBCIA
[
６Ｇ８
]
;
静态检测则通过静态分析代码
[
９Ｇ１０
]
或内
存取证
(
即检测恶意软 件 执行 一 段时 间 后的 系 统内
存转储文件
)
[
１１Ｇ１３
]
识别
HBCIA
行为
．
静态 检 测相 比
动态检测开销较小
,
准确性和安全性较高
．
现有主流
HBCIA
静态检 测系统 通过在 内存转
储文件中提取包括进程钩子
、
系统调用序列
、
网络字
符串
、
内存页 特征
、
shellcode
等细 粒 度 内 存 特 征 来
检测注入攻击行 为
[
１２Ｇ１３
]
,
但所 考 虑的 特 征不 包 括数
字货币相关的特征
,
无法 区 分勒 索 软件 和 一般 恶 意
程序
．
而现有针对勒索软件的内存取证检测方案
,
只
针对勒索软件相 关 的内 存 特征
[
２Ｇ３
]
或仅 考 虑比 特 币
客户端软件 的 内 存 特 征
[
１４
]
及 与 内 核 对 象 数 量 有 关
的粗 粒 度 特 征
[
１５
]
,
没 有 充 分 结 合 当 前 细 粒 度
HBCIA
检测方法的分析能力
,
也难以检测出勒索软
件对较新的代码注入攻击的利用
．
针对这些问题
,
本文提出一种面向数字货币特征
的细粒度
HBCIA
检测方法
(
di
g
italcurrenc
y
oriented
fineＧ
g
raindHBCIAdetection
,
Dicof
)
．Dicof
在现有
检测方案的
３８
种 内 存 特 征 基 础 上
,
首 先 提 出 全 局
类
、
内存类和 木 马 类 共
１３
种 细 粒 度 的 通 用 内 存 特
征
,
对现有检测方 案 进行 扩 展
;
然后
,
针对 勒 索软 件
利用数字货币进行赎 金 支付 的 特点
,
提出 了
２
种与
数字货币支付 有 关 的 勒 索 行 为 内 存 特 征
．
基 于 新 特
征方案
,
本文 实 现了 一个 细粒 度
HBCIA
静 态 检 测
系统
,
分别使用基于 树的 分 类模 型 和多 层 感知 器 神
经网络模型对所提出 内 存特 征 方案 进 行性 能 评价
,
在
Windows１０
系统应用程序样本集上的 实验评 估
结果表明
,
新特征方案的
１５
种特征有效提升了现有
检测系统
Quinc
y
对
HBCIA
的检测 性能
,
恶意软 件
家族检测度提升 了
１．１
个 家 族
,
恶 意 软 件 家 族 检 测
完整度提升了
１．２
个 家 族
,
查 准 率 提 升 了
５．７％
,
查
全率提升了
３．４％
;
对于典型勒索软件的查准率和查
全率分 别 提 升 了
３８．７％
和
３７．３％．Dicof
系 统 还 具
有较好的内存特征提取性能及对未知恶意软件家族
的检测能力
．
本文的主要贡献包括
３
个方面
:
１
)
提出了一 种 细 粒 度 基 于 主 机 的 代 码 注 入 攻
击内存取证特征方案
,
其中包含
１３
种能有效提升现
有系统恶意软件家族检测度的通用内存特征
;
２
)
针对勒索软件的支付行为
,
提出了
２
种面向
数字货币的内存特 征
,
使得 基 于主 机 的代 码 注入 攻
击检测系统能够准确检测勒索软件行为
;
３
)
实现了内存特征提取算法和相应检测系统
,
评估结果显示相比现有细粒度检测系统具有更高的
恶意软件检测度和 性 能
,
并显 著 提升 了 对勒 索 软件
的检测能力
．
１
相关工作
内存取证分析旨在从不同操作系统和硬件平台
的易失存储器出发 获 取有 效 的语 义 信息
,
从而 获 得
恶意行为执行 的 证 据
．
从 一 个 正 在 运 行 的 系 统 的 内
存转储文件出发
,
发现恶意行为的运行时特征
,
已在
内核层面
[
１６Ｇ１７
]
和应用 程序层 面
[
１１Ｇ１３
,
１８Ｇ１９
]
均被 证 明可
行
．
在内核层面
,
结合静态分析和内存遍历可识别内
核代码和 数 据 的 完 整 性
,
用 于 检 测
rootkit
恶 意 行
为
[
１６
]
;
通过从内 存 转 储 构 造 内 存 图
,
可 将 内 核对 象
识别问题转化为内 存 图特 征 的深 度 学习 问 题
,
从而
避免内存遍历和签 名 扫描 的 局限 性
,
并用 于 检测 直
接内 核 对 象 操 作
(
directkernelob
j
ectmani
p
ulation
,
DKOM
)
攻击
[
１７
]
．
在应用程序层 面
,
内存取 证已用 于
推断即时消息应用的关键信息和 操作
[
１８
]
、
检测内 存
代码的完整性
[
１９
]
、
检测恶意软件的代码加载行为
[
１１
]
、
基于主机的 代 码 注 入 攻 击
[
１２
]
及 注 入 代 码 执 行 页 隐
藏
[
１３
]
．
在发现 应 用程 序的 恶 意 行 为 时
,
此 类 方 法 通
常依赖于内存结构列表遍历和基于签名的扫描来发
现恶意特征
．
与 依 据 动 态 监 测 结 果 构 建 内 存 转 储 的
检测
[
８
]
不同
,
Quinc
y
系 统
[
１２
]
在 内 存 转 储 上 通 过 签
名扫描方法发现细粒 度 内存 特 征并 构 建特 征 向量
,
其特征 粒度比
Membrane
[
１１
]
更细
,
且利用 监督学 习
６３０１
计算机研究与发展
２０２１
,
５８
(
５
)
of 10
免费下载
【版权声明】本文为墨天轮用户原创内容，转载时必须标注文档的来源（墨天轮），文档链接，文档作者等基本信息，否则作者和墨天轮有权追究责任。如果您发现墨天轮中有涉嫌抄袭或者侵权的内容，欢迎发送邮件至：contact@modb.pro进行举报，并提供相关证据，一经查实，墨天轮将立刻删除相关内容。
下载排行榜
评论