Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. / Submitted by Fernanda Percia França (fernandafranca@bce.unb.br) on 2016-08-24T15:40:33Z No. of bitstreams: 1 2016_LeandroSilvadosSantos.pdf: 1164074 bytes, checksum: 9322776457712d86b959e6a3b7d0e26e (MD5) / Approved for entry into archive by Raquel Viana(raquelviana@bce.unb.br) on 2016-10-11T20:44:07Z (GMT) No. of bitstreams: 1 2016_LeandroSilvadosSantos.pdf: 1164074 bytes, checksum: 9322776457712d86b959e6a3b7d0e26e (MD5) / Made available in DSpace on 2016-10-11T20:44:07Z (GMT). No. of bitstreams: 1 2016_LeandroSilvadosSantos.pdf: 1164074 bytes, checksum: 9322776457712d86b959e6a3b7d0e26e (MD5) / O cenário de ataques cibernéticos, acompanhando a modernização das ferramentas de detecção e remoção, tem se tornando cada vez mais complexo de ser detectado e mitigado. Com isso as ferramentas tradicionais de detecção e remoção de ameaças estão cada vez menos eficiente, principalmente por aquele seguimento que utiliza uma abordagem de detecção baseada em assinatura. Este trabalho propõe uma metodologia automatizável de detecção de malwares desconhecidos, ou seja, aqueles que não foram detectados pelas ferramentas tradicionais. A metodologia apresentada neste trabalho, denominada aqui por Maldetect, coleta e correlaciona características comportamentais típicas de códigos maliciosos, que estão presente no dump memória volátil, com o objetivo de identificar os artefatos que mais realizam atividades típicas de malware. Além disso, foi construída uma ferramenta usando as linguagens de programação PHP e Python, denominada Maldetect Tool, a qual automatiza a metodologia proposta. Esta ferramenta analisou \textit{dumps} da memória volátil infectados com códigos maliciosos e gerou um relatório contendo os artefatos que mais realizaram atividades típicas de malwares. ________________________________________________________________________________________________ ABSTRACT / The scenario of cyber attacks, following the modernization of detection and removal tools is becoming increasingly complex to be detected and mitigated. Thus the traditional tools of detection and removal of threats are becoming less efficient, especially by those that use a signature-based detection approach. This paper proposes an automatable method of detecting unknown malware, ie those that were not detected by traditional tools. The methodology presented in this work, called here by Maldetect, collects and correlates typical behavioral characteristics of malicious code, which are present in the volatile memory dump , in order to identify artifacts that most perform typical activities of malware. Moreover, it was built a tool using the languages of PHP and Python, called Maldetect Tool, which automates the proposed methodology. This tool analyzed the volatile memory dumps infected with malicious code and generated a report containing the artifacts held more typical activities of malware.

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. / Submitted by Fernanda Percia França (fernandafranca@bce.unb.br) on 2017-03-07T17:05:45Z No. of bitstreams: 1 2016_LindebergPessoaLeite.pdf: 1876384 bytes, checksum: ebc1a91384451f2c55d1ca1c44894d45 (MD5) / Approved for entry into archive by Raquel Viana(raquelviana@bce.unb.br) on 2017-03-28T16:58:06Z (GMT) No. of bitstreams: 1 2016_LindebergPessoaLeite.pdf: 1876384 bytes, checksum: ebc1a91384451f2c55d1ca1c44894d45 (MD5) / Made available in DSpace on 2017-03-28T16:58:06Z (GMT). No. of bitstreams: 1 2016_LindebergPessoaLeite.pdf: 1876384 bytes, checksum: ebc1a91384451f2c55d1ca1c44894d45 (MD5) / A ameaça de variantes de malware aumenta continuamente. Várias abordagens para agrupamento de malware já foram aplicadas para entender melhor como caracterizar suas famílias. Destas, a análise comportamental pode usar tanto métodos de aprendizado supervisionado como não supervisionado. Nesse último caso, a análise é comumente baseada em lógica convencional, em que um dado exemplar deve pertencer a apenas uma família. Neste trabalho, propõe-se uma abordagem de agrupamento comportamental por lógica fuzzy, que atribui um grau de relevância à cada exemplar e permite que este pertença a mais de uma família. Essa abordagem possibilita verificar outros comportamentos das amostras, não visualizados na lógica convencional. Compara-se o algoritmo escolhido — Fuzzy C-Means (FCM) — com o algoritmo K-Means para analisar similaridades e mostrar os benefícios do FCM na análise comportamental de malware. Nos resultados obtidos, verificou-se, nos casos em que há clusters sem rótulos, que o FCM apresentou vantagens na atribuição de um nome ao grupo devido à sua matriz de pertinência. Enquanto que no K-Means quatro clusters permaneceram sem rótulo, no caso do FCM, repetindo o processo, conseguiu-se atribuir rótulos a todos os clusters. Ademais, verificaram-se as semelhanças e divergências na aplicação de ambos os métodos e mensurou-se o tempo de execução dos experimentos. Por fim, conclui-se que outro benefício da aplicação de lógica fuzzy em relação ao método de lógica crisp reside no fato de que os programas maliciosos não se limitam apenas a um comportamento específico de uma dada família, ou seja, podem pertencer a várias delas ao mesmo tempo. Desse modo, a lógica fuzzy modela, de forma mais fidedigna, o real comportamento malicioso exibido durante uma infecção. / The threat of malware variants continuously increases. Several approaches have been applied to malware clustering for a better understanding on how to characterize families. Among them, behavioral analysis is one that can use supervised or unsupervised learning methods. This type of analysis is mainly based on conventional (crisp) logic, in which a particular sample must belong only to one malware family. In this work, we propose a behavioral clustering approach using fuzzy logic, which assigns a relevance degree to each sample and consequently enables it to be part of more than one family. This approach enables to check other behaviors of the samples, not visualized in conventional logic. We compare the chosen fuzzy logic algorithm — Fuzzy C-Means (FCM) — with K-Means so as to analyze their similarities and show the advantages of FCM for malware behavioral analysis. In the results, which there are clusters without labels, the FCM presented advantages in assigning a name to the group due to its relevance degree. While in the K-Means four clusters remained unlabeled, in the case of FCM, repeating the process, it was possible to assign labels to all clusters. In addition, the similarities and divergences of the methods were examined and their execution time of experiments were measured. Finally, it is concluded that another benefit of the application of fuzzy logic in relation to crisp logic method lies in the fact that malicious programs are not limited to a specific behavior of a given family, i.e, may be part of more than one family at the same time. Thus, fuzzy logic presents more reliably the actual malicious behavior reveal during an infection.

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. / Submitted by Fernanda Percia França (fernandafranca@bce.unb.br) on 2017-03-03T15:17:54Z No. of bitstreams: 1 2016_DanielMendesCaldas.pdf: 1619130 bytes, checksum: e84e0f38f31262e273d74ef772c95c79 (MD5) / Approved for entry into archive by Ruthléa Nascimento(ruthleanascimento@bce.unb.br) on 2017-03-28T13:45:07Z (GMT) No. of bitstreams: 1 2016_DanielMendesCaldas.pdf: 1619130 bytes, checksum: e84e0f38f31262e273d74ef772c95c79 (MD5) / Made available in DSpace on 2017-03-28T13:45:07Z (GMT). No. of bitstreams: 1 2016_DanielMendesCaldas.pdf: 1619130 bytes, checksum: e84e0f38f31262e273d74ef772c95c79 (MD5) / Grande parte das ações criminosas na rede são praticadas com uso de softwares maliciosos, comumente denominados malwares. Malwares são programas desenvolvidos com o intuito de se infiltrar em um sistema de computador alheio de forma ilícita, para causar danos, alterações ou roubo de informações (confidenciais ou não). Uma resposta eficiente do Estado para um crime cibernético requer o entendimento do meio utilizado para o cometimento da ação criminosa. No ambiente jurídico, a análise de malware deve prover evidências necessárias para a materialização do fato e a determinação da autoria, visando a condenação do agente malicioso, e a fornecer meios para inocentar os erroneamente acusados. Existem duas abordagens fundamentais para o problema da análise de malware, a análise estática, que envolve examinar o malware sem executá-lo observando suas características estruturais, e a análise dinâmica, que envolve analisar o malware durante sua execução, observando suas características comportamentais. A maior parte da pesquisa feita hoje na área de análise de malware tem seu foco na detecção, como forma de prevenção e de evitar ataques. A pesquisa na área de classificação de malware ainda se encontra em estágios iniciais, e as técnicas desenvolvidas até então demonstram serventia limitada no dia a dia do investigador forense. O objetivo deste trabalho é realizar uma contribuição na área de classificação de malware. Tal contribuição é feita na forma de um estudo do panorama atual da área, na indústria de antivírus e na literatura. O estudo apresenta as principais classificações existentes até então, e suas limitações. É apresentada uma nova proposta de classificação, definida como profiling de malware, baseada no profiling criminal. Além da definição de perfis, este trabalho sugere características, comportamentais e estruturais, que podem representar comportamentos que reflitam os perfis, e apresenta uma estratégia eficiente para extração das características, utilizando a ferramenta Cuckoo Sandbox. Por fim faz-se uma análise das características extraídas, que revela que sete das onze características extraídas se mostraram promissoras para o profiling de malware. / Most of the criminal actions in the network are practiced with the use of malicious software, commonly denominated malwares. Malwares are programs designed to infiltrate a computer system unlawfully, to cause damage, alteration or theft of information (confidential or not). An efficient response of the state to a cyber crime requires understanding the means used to commit the criminal action. In the legal environment, malware analysis should provide evidence necessary for the materialization of the fact and the determination of authorship, aiming at condemning the malicious agent, and providing means to clear the wrongly accused. There are two fundamental approaches to the problem of malware analysis, the static analysis, that involves examining the malware without executing it, observing its structural features, and the dynamic analysis, that involves analyzing the malware during its execution, observing its behavioral features. Most of the research done today in the area of malware analysis has its focus on malware detection, as a way of preventing attacks. The research in the area of malware classification is still in the early stages, and the techniques developed until then show limited use in the day-to-day of the forensic investigator. The goal of this work is to make a contribution in the area of malware classification. This contribution is made with a study of the current panorama of malware classification, in the antivirus industry and in the literature. The study presents the main classes definitions until now, and their limitations. A new classification strategy based on criminal profiling is presented, named as malware profiling. In addition to the definition of profiles, this work suggests features, behavioral and structural, that represent behaviors of the profiles, and presents an efficient strategy to extract these features from malware samples, using the Cuckoo Sandbox tool. Finally, an analysis of the extracted features is performed, which reveals that seven of the eleven extracted features have shown promise for malware profiling.