Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. / Submitted by Fernanda Percia França (fernandafranca@bce.unb.br) on 2017-03-03T15:17:54Z No. of bitstreams: 1 2016_DanielMendesCaldas.pdf: 1619130 bytes, checksum: e84e0f38f31262e273d74ef772c95c79 (MD5) / Approved for entry into archive by Ruthléa Nascimento(ruthleanascimento@bce.unb.br) on 2017-03-28T13:45:07Z (GMT) No. of bitstreams: 1 2016_DanielMendesCaldas.pdf: 1619130 bytes, checksum: e84e0f38f31262e273d74ef772c95c79 (MD5) / Made available in DSpace on 2017-03-28T13:45:07Z (GMT). No. of bitstreams: 1 2016_DanielMendesCaldas.pdf: 1619130 bytes, checksum: e84e0f38f31262e273d74ef772c95c79 (MD5) / Grande parte das ações criminosas na rede são praticadas com uso de softwares maliciosos, comumente denominados malwares. Malwares são programas desenvolvidos com o intuito de se infiltrar em um sistema de computador alheio de forma ilícita, para causar danos, alterações ou roubo de informações (confidenciais ou não). Uma resposta eficiente do Estado para um crime cibernético requer o entendimento do meio utilizado para o cometimento da ação criminosa. No ambiente jurídico, a análise de malware deve prover evidências necessárias para a materialização do fato e a determinação da autoria, visando a condenação do agente malicioso, e a fornecer meios para inocentar os erroneamente acusados. Existem duas abordagens fundamentais para o problema da análise de malware, a análise estática, que envolve examinar o malware sem executá-lo observando suas características estruturais, e a análise dinâmica, que envolve analisar o malware durante sua execução, observando suas características comportamentais. A maior parte da pesquisa feita hoje na área de análise de malware tem seu foco na detecção, como forma de prevenção e de evitar ataques. A pesquisa na área de classificação de malware ainda se encontra em estágios iniciais, e as técnicas desenvolvidas até então demonstram serventia limitada no dia a dia do investigador forense. O objetivo deste trabalho é realizar uma contribuição na área de classificação de malware. Tal contribuição é feita na forma de um estudo do panorama atual da área, na indústria de antivírus e na literatura. O estudo apresenta as principais classificações existentes até então, e suas limitações. É apresentada uma nova proposta de classificação, definida como profiling de malware, baseada no profiling criminal. Além da definição de perfis, este trabalho sugere características, comportamentais e estruturais, que podem representar comportamentos que reflitam os perfis, e apresenta uma estratégia eficiente para extração das características, utilizando a ferramenta Cuckoo Sandbox. Por fim faz-se uma análise das características extraídas, que revela que sete das onze características extraídas se mostraram promissoras para o profiling de malware. / Most of the criminal actions in the network are practiced with the use of malicious software, commonly denominated malwares. Malwares are programs designed to infiltrate a computer system unlawfully, to cause damage, alteration or theft of information (confidential or not). An efficient response of the state to a cyber crime requires understanding the means used to commit the criminal action. In the legal environment, malware analysis should provide evidence necessary for the materialization of the fact and the determination of authorship, aiming at condemning the malicious agent, and providing means to clear the wrongly accused. There are two fundamental approaches to the problem of malware analysis, the static analysis, that involves examining the malware without executing it, observing its structural features, and the dynamic analysis, that involves analyzing the malware during its execution, observing its behavioral features. Most of the research done today in the area of malware analysis has its focus on malware detection, as a way of preventing attacks. The research in the area of malware classification is still in the early stages, and the techniques developed until then show limited use in the day-to-day of the forensic investigator. The goal of this work is to make a contribution in the area of malware classification. This contribution is made with a study of the current panorama of malware classification, in the antivirus industry and in the literature. The study presents the main classes definitions until now, and their limitations. A new classification strategy based on criminal profiling is presented, named as malware profiling. In addition to the definition of profiles, this work suggests features, behavioral and structural, that represent behaviors of the profiles, and presents an efficient strategy to extract these features from malware samples, using the Cuckoo Sandbox tool. Finally, an analysis of the extracted features is performed, which reveals that seven of the eleven extracted features have shown promise for malware profiling.

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. / Submitted by Fernanda Percia França (fernandafranca@bce.unb.br) on 2016-08-24T15:40:33Z No. of bitstreams: 1 2016_LeandroSilvadosSantos.pdf: 1164074 bytes, checksum: 9322776457712d86b959e6a3b7d0e26e (MD5) / Approved for entry into archive by Raquel Viana(raquelviana@bce.unb.br) on 2016-10-11T20:44:07Z (GMT) No. of bitstreams: 1 2016_LeandroSilvadosSantos.pdf: 1164074 bytes, checksum: 9322776457712d86b959e6a3b7d0e26e (MD5) / Made available in DSpace on 2016-10-11T20:44:07Z (GMT). No. of bitstreams: 1 2016_LeandroSilvadosSantos.pdf: 1164074 bytes, checksum: 9322776457712d86b959e6a3b7d0e26e (MD5) / O cenário de ataques cibernéticos, acompanhando a modernização das ferramentas de detecção e remoção, tem se tornando cada vez mais complexo de ser detectado e mitigado. Com isso as ferramentas tradicionais de detecção e remoção de ameaças estão cada vez menos eficiente, principalmente por aquele seguimento que utiliza uma abordagem de detecção baseada em assinatura. Este trabalho propõe uma metodologia automatizável de detecção de malwares desconhecidos, ou seja, aqueles que não foram detectados pelas ferramentas tradicionais. A metodologia apresentada neste trabalho, denominada aqui por Maldetect, coleta e correlaciona características comportamentais típicas de códigos maliciosos, que estão presente no dump memória volátil, com o objetivo de identificar os artefatos que mais realizam atividades típicas de malware. Além disso, foi construída uma ferramenta usando as linguagens de programação PHP e Python, denominada Maldetect Tool, a qual automatiza a metodologia proposta. Esta ferramenta analisou \textit{dumps} da memória volátil infectados com códigos maliciosos e gerou um relatório contendo os artefatos que mais realizaram atividades típicas de malwares. ________________________________________________________________________________________________ ABSTRACT / The scenario of cyber attacks, following the modernization of detection and removal tools is becoming increasingly complex to be detected and mitigated. Thus the traditional tools of detection and removal of threats are becoming less efficient, especially by those that use a signature-based detection approach. This paper proposes an automatable method of detecting unknown malware, ie those that were not detected by traditional tools. The methodology presented in this work, called here by Maldetect, collects and correlates typical behavioral characteristics of malicious code, which are present in the volatile memory dump , in order to identify artifacts that most perform typical activities of malware. Moreover, it was built a tool using the languages of PHP and Python, called Maldetect Tool, which automates the proposed methodology. This tool analyzed the volatile memory dumps infected with malicious code and generated a report containing the artifacts held more typical activities of malware.

Dissertação (mestrado)—Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2016. / Submitted by Fernanda Percia França (fernandafranca@bce.unb.br) on 2017-03-07T17:05:45Z No. of bitstreams: 1 2016_LindebergPessoaLeite.pdf: 1876384 bytes, checksum: ebc1a91384451f2c55d1ca1c44894d45 (MD5) / Approved for entry into archive by Raquel Viana(raquelviana@bce.unb.br) on 2017-03-28T16:58:06Z (GMT) No. of bitstreams: 1 2016_LindebergPessoaLeite.pdf: 1876384 bytes, checksum: ebc1a91384451f2c55d1ca1c44894d45 (MD5) / Made available in DSpace on 2017-03-28T16:58:06Z (GMT). No. of bitstreams: 1 2016_LindebergPessoaLeite.pdf: 1876384 bytes, checksum: ebc1a91384451f2c55d1ca1c44894d45 (MD5) / A ameaça de variantes de malware aumenta continuamente. Várias abordagens para agrupamento de malware já foram aplicadas para entender melhor como caracterizar suas famílias. Destas, a análise comportamental pode usar tanto métodos de aprendizado supervisionado como não supervisionado. Nesse último caso, a análise é comumente baseada em lógica convencional, em que um dado exemplar deve pertencer a apenas uma família. Neste trabalho, propõe-se uma abordagem de agrupamento comportamental por lógica fuzzy, que atribui um grau de relevância à cada exemplar e permite que este pertença a mais de uma família. Essa abordagem possibilita verificar outros comportamentos das amostras, não visualizados na lógica convencional. Compara-se o algoritmo escolhido — Fuzzy C-Means (FCM) — com o algoritmo K-Means para analisar similaridades e mostrar os benefícios do FCM na análise comportamental de malware. Nos resultados obtidos, verificou-se, nos casos em que há clusters sem rótulos, que o FCM apresentou vantagens na atribuição de um nome ao grupo devido à sua matriz de pertinência. Enquanto que no K-Means quatro clusters permaneceram sem rótulo, no caso do FCM, repetindo o processo, conseguiu-se atribuir rótulos a todos os clusters. Ademais, verificaram-se as semelhanças e divergências na aplicação de ambos os métodos e mensurou-se o tempo de execução dos experimentos. Por fim, conclui-se que outro benefício da aplicação de lógica fuzzy em relação ao método de lógica crisp reside no fato de que os programas maliciosos não se limitam apenas a um comportamento específico de uma dada família, ou seja, podem pertencer a várias delas ao mesmo tempo. Desse modo, a lógica fuzzy modela, de forma mais fidedigna, o real comportamento malicioso exibido durante uma infecção. / The threat of malware variants continuously increases. Several approaches have been applied to malware clustering for a better understanding on how to characterize families. Among them, behavioral analysis is one that can use supervised or unsupervised learning methods. This type of analysis is mainly based on conventional (crisp) logic, in which a particular sample must belong only to one malware family. In this work, we propose a behavioral clustering approach using fuzzy logic, which assigns a relevance degree to each sample and consequently enables it to be part of more than one family. This approach enables to check other behaviors of the samples, not visualized in conventional logic. We compare the chosen fuzzy logic algorithm — Fuzzy C-Means (FCM) — with K-Means so as to analyze their similarities and show the advantages of FCM for malware behavioral analysis. In the results, which there are clusters without labels, the FCM presented advantages in assigning a name to the group due to its relevance degree. While in the K-Means four clusters remained unlabeled, in the case of FCM, repeating the process, it was possible to assign labels to all clusters. In addition, the similarities and divergences of the methods were examined and their execution time of experiments were measured. Finally, it is concluded that another benefit of the application of fuzzy logic in relation to crisp logic method lies in the fact that malicious programs are not limited to a specific behavior of a given family, i.e, may be part of more than one family at the same time. Thus, fuzzy logic presents more reliably the actual malicious behavior reveal during an infection.

La thèse contient deux parties principales: la première partie est consacrée à l’extraction du format des messages, la deuxième partie est consacrée à l’obfuscation des comportements des malwares et la détection. Pour la première partie, nous considérons deux problèmes: "la couverture des codes" et "l’extraction du format des messages". Pour la couverture des codes, nous proposons une nouvelle méthode basée sur le "tainting intelligent" et sur l’exécution inversée. Pour l’extraction du format des messages, nous proposons une nouvelle méthode basée sur la classification de messages en utilisant des traces d’exécution. Pour la deuxième partie, les comportements des codes malveillants sont formalisés par un modèle abstrait pour la communication entre le programme et le système d’exploitation. Dans ce modèle, les comportements du programme sont des appels systèmes. Étant donné les comportements d’un programme bénin, nous montrons de façon constructive qu’il existe plusieurs programmes malveillants ayant également ces comportements. En conséquence, aucun détecteur comportemental n’est capable de détecter ces programmes malveillants / The thesis consists in two principal parts: the first one discusses the message for- mat extraction and the second one discusses the behavioral obfuscation of malwares and the detection. In the first part, we study the problem of “binary code coverage” and “input message format extraction”. For the first problem, we propose a new technique based on “smart” dynamic tainting analysis and reverse execution. For the second one, we propose a new method using an idea of classifying input message values by the corresponding execution traces received by executing the program with these input values. In the second part, we propose an abstract model for system calls interactions between malwares and the operating system at a host. We show that, in many cases, the behaviors of a malicious program can imitate ones of a benign program, and in these cases a behavioral detector cannot distinguish between the two programs

Submitted by João Arthur Martins (joao.arthur@ufpe.br) on 2015-03-12T16:55:51Z No. of bitstreams: 2 Dissertaçao Silvio de Oliveira.pdf: 604569 bytes, checksum: 5837923262c0c58827bf0437204a80c7 (MD5) license_rdf: 1232 bytes, checksum: 66e71c371cc565284e70f40736c94386 (MD5) / Approved for entry into archive by Daniella Sodre (daniella.sodre@ufpe.br) on 2015-03-13T13:15:24Z (GMT) No. of bitstreams: 2 Dissertaçao Silvio de Oliveira.pdf: 604569 bytes, checksum: 5837923262c0c58827bf0437204a80c7 (MD5) license_rdf: 1232 bytes, checksum: 66e71c371cc565284e70f40736c94386 (MD5) / Made available in DSpace on 2015-03-13T13:15:24Z (GMT). No. of bitstreams: 2 Dissertaçao Silvio de Oliveira.pdf: 604569 bytes, checksum: 5837923262c0c58827bf0437204a80c7 (MD5) license_rdf: 1232 bytes, checksum: 66e71c371cc565284e70f40736c94386 (MD5) Previous issue date: 2013-08-08 / Programas maliciosos tornaram-se uma crescente ameaça para a sensibilidade e a disponibilidade dos dados em serviços críticos. Com a grande conectividade dos dias atuais, sistemas tornaram-se onipresentes e extremamente integrados e esta integração e onipresença facilita atividades tais como, ciberterrorismo e fraudes financeiras. O surgimento dos malwares não é algo novo, ele data de muitos anos atrás, concomitantemente com o surgimento destes códigos, também surgiram pesquisadores que não eram somente fascinados por algoritmos de computadores, mais também pela natureza matemática e a aproximação biológica encontrada nestes códigos. No começo era relativamente fácil categorizar estes tipos de códigos, mas atualmente existe uma variedade imensa, onde suas características por muitas vezes se sobrepõem, ficando assim, difícil de identificar com exatidão a que categoria o malware pertence. O espectro dos malwares cobre uma ampla variedade de ameaças específicas incluindo vírus, worms, trojan horses e spyware. Para combater estas pragas eletrônicas, precisamos antes de tudo analisar o seu código e seu comportamento, existem duas grandes vertentes no ramo da análise de malwares, a análise de código de estática, ou seja, sem executar o programa, e a análise dinâmica, existindo a necessidade da execução. Para ambos os processos de análises foram criadas inúmeras ferramentas e metodologias no intuito de facilitar suas atividades e fazer com que usuários com certo grau de conhecimento fosse capaz de identificar e classificar um código de natureza maliciosa. Mas como existe sempre dois lados da moeda, os escritores de malwares estão sempre aperfeiçoando suas técnicas para dificultar a exploração de seus códigos, dentre estas técnicas incluímos códigos polimórficos, oligomórficos, metamórficos e vários tipos de ofuscação e empacotamento de código. Neste sentido, esta dissertação visa explorar de maneira clara e objetiva os conceitos inerentes à análise de um código malicioso, mostrando suas técnicas e seus desafios. Também é objeto deste estudo, a criação de uma ferramenta que atuará no estágio inicial de uma análise estática, examinando os arquivos PE doWindows, extraindo informações do seu formato assim como a detecção de técnicas de empacotamento e anti-debugging.

Large scale datasets collected using non-expert labelers are prone to labeling errors. Errors in the given labels or label noise affect the classifier performance, classifier complexity, class proportions, etc. It may be that a relatively small, but important class needs to have all its examples identified. Typical solutions to the label noise problem involve creating classifiers that are robust or tolerant to errors in the labels, or removing the suspected examples using machine learning algorithms. Finding the label noise examples through a manual review process is largely unexplored due to the cost and time factors involved. Nevertheless, we believe it is the only way to create a label noise free dataset. This dissertation proposes a solution exploiting the characteristics of the Support Vector Machine (SVM) classifier and the sparsity of its solution representation to identify uniform random label noise examples in a dataset. Application of this method is illustrated with problems involving two real-world large scale datasets. This dissertation also presents results for datasets that contain adversarial label noise. A simple extension of this method to a semi-supervised learning approach is also presented. The results show that most mislabels are quickly and effectively identified by the approaches developed in this dissertation.

Cette thèse porte en premier lieu sur l'analyse et le désassemblage de programmes malveillants utilisant certaines techniques d'obscurcissement telles que l'auto-modification et le chevauchement de code. Les programmes malveillants trouvés dans la pratique utilisent massivement l'auto-modification pour cacher leur code utile à un analyste. Nous proposons une technique d'analyse hybride qui utilise une trace d'exécution déterminée par analyse dynamique. Cette analyse découpe le programme auto-modifiant en plusieurs sous-parties non auto-modifiantes que nous pouvons alors étudier par analyse statique en utilisant la trace comme guide. Cette seconde analyse contourne d'autres techniques de protection comme le chevauchement de code afin de reconstruire le graphe de flot de contrôle du binaire analysé. Nous étudions également un détecteur de programmes malveillants, fonctionnant par analyse morphologique : il compare les graphes de flot de contrôle d'un programme à analyser à ceux de programmes connus comme malveillants. Nous proposons une formalisation de ce problème de comparaison de graphes, des algorithmes permettant de le résoudre efficacement et détaillons des cas concrets d'application à la détection de similarités logicielles / This dissertation explores tactics for analysis and disassembly of malwares using some obfuscation techniques such as self-modification and code overlapping. Most malwares found in the wild use self-modification in order to hide their payload from an analyst. We propose an hybrid analysis which uses an execution trace derived from a dynamic analysis. This analysis cuts the self-modifying binary into several non self-modifying parts that we can examine through a static analysis using the trace as a guide. This second analysis circumvents more protection techniques such as code overlapping in order to recover the control flow graph of the studied binary. Moreover we review a morphological malware detector which compares the control flow graph of the studied binary against those of known malwares. We provide a formalization of this graph comparison problem along with efficient algorithms that solve it and a use case in the software similarity field

Le but de cette thèse est de trouver des modèles de haut niveau dans lesquelles l'auto-modification s'exprime facilement. Une donnée est lisible et modifiable, alors qu'un programme est exécutable. On décrit une machine abstraite où cette dualité est structurellement mise en valeur. D'une part une zone de programmes contient tous les registres exécutables, et d'autre part une zone de données contient les registres lisibles et exécutables. L'auto-modification est permise par le passage d'un registre d'une zone à l'autre. Dans ce cadre, on donne une abstraction de l'exécution de la machine qui extrait seulement les informations d'auto-modification. Logiquement, on essaye de trouver une correspondance de Curry-Howard entre un langage avec auto-modification et un système logique. Dans ce but on construit une extension de lambda-calcul avec termes gelés, c'est à dire des termes qui ne peuvent se réduire. Ces termes sont alors considérés comme des données, et les autres sont les programmes. Notre langage a les propriétés usuelles du lambda-calcul (confluence). D'autre part, on donne un système de types dans lequel un sous ensemble des termes du langage peuvent s'exprimer. Ce système est inspiré de la Logique Linéaire, sans gestion des ressources. On prouve que ce système de types a de bonnes propriétés, comme celle de la réduction du sujet. Finalement, on étend le système avec les continuations et la double négation, dans un style à la Krivine / The goal of my Ph.D. is to finds high level models in which self-modification can be expressed. What is readable and changeable is a data, and a program is executable. We propose an abstract machine where this duality is structurally emphasized. On one hand the program zone beholds registers which can be executed, and on the other hand data zone contains readable and changeable registers. Self-modification is enabled by passing a data register into program zone, or a program register into data zone. In this case, we give an abstraction of executions which only extracts information about self-modifications: execution is cut into paths without self-modification. For the logical part, we tried to find a Curry-Howard correspondence between a language with self-modifications and logical world. For that we built an extension of lambda-calculus with frozen terms, noted <t>, that is, terms which cannot reduce. This terms are considered as data. Other terms are programs. We first prove that this language as expected properties like confluence. On the other hand, we found a type system where a subset of terms of this language can be expressed. Our type system is inspired by Linear Logic, without resources management. We prove that this system has good properties like subject reduction. We finally have extended the system with continuation and double negation. This extension can be expressed in a krivine style, using a machine inspired by krivine machine

Submitted by Johnny Rodrigues (johnnyrodrigues@ufcg.edu.br) on 2018-08-06T17:39:41Z No. of bitstreams: 1 TALES RIBEIRO MORAIS GURJÃO - DISSERTAÇÃO PPGCC 2016..pdf: 12989849 bytes, checksum: b3c43aa02fd4c9c5320e84063d3c8d34 (MD5) / Made available in DSpace on 2018-08-06T17:39:41Z (GMT). No. of bitstreams: 1 TALES RIBEIRO MORAIS GURJÃO - DISSERTAÇÃO PPGCC 2016..pdf: 12989849 bytes, checksum: b3c43aa02fd4c9c5320e84063d3c8d34 (MD5) Previous issue date: 2016-09-01 / Capes / Ataques a sistemas informatizados sempre foram um problema e evoluíram de simples investidas contra instalações físicas nos anos de 1970 a ataques coordenados usando milhares de computadores espalhados ao redor do mundo. Essas ofensivas têm como principal vetor códigos maliciosos, também conhecidos como malwares, que por vezes se passam por benignos mas se instalam no sistema e agem de forma maligna. Técnicas de isolamento de ambiente de execução e detecção de comportamento são empregadas para mitigar o risco ao executar um código desconhecido e potencialmente perigoso. Porém, muitas alternativas são custosas e, por vezes, dependem de ferramentas externas. Neste trabalho, propõe-se um modelo independente de plataforma para prover segurança na execução de códigos não confiáveis, sem efeitos colaterais para o hospedeiro e para terceiros. O modelo de segurança desenvolvido é constituído de dois módulos principais, analisador e executor, os quais (a) extraem metadados referentes ao programa e os utiliza para realizar uma análise prévia do código e (b) realizam checagens em tempo de execução que objetivam a preservação da integridade do sistema e dos recursos associados. A validação da abordagem foi realizada através de estudo de caso de aplicação em computação voluntária. / Attacks on computer systems have always been a problem and have evolved from simple attacks against physical facilities in the 1970s to coordinated attacks using thousands of computers spread around the world. The main vector of these offensives are softwares that sometimes pass by benign programs but when are installed in a system act in a malicious manner. Environment isolation and behavior detection techniques are used to mitigate the risk of running an unknown and potentially dangerous code. However, many alternatives are expensive and sometimes requires external tools. In this paper, we propose a platformindependent model to provide security to execute untrusted code with no side effects to the host and to third parties. The model consists of two main modules, analyzer and executor, which (a) extracts metadata related to the program and uses them to conduct a preliminary analysis of the code and (b) carry out checks at runtime aimed to preserve the integrity of the system and its associated resources. The validation of the approach was performed by a case study on a volunteer computing application

No description available.