PHƯƠNG PHÁP PHÁT HIỆN MÃ ĐỘC

Sự xuất hiện của ngày càng nhiều biến thể và kỹ thuật che giấu tinh vi của mã độc đã đặt ra thách thức lớn cho các hệ thống phát hiện. Có hai phương pháp phát hiện mã độc thường sử dụng: phương pháp dựa trên dấu hiệu và phương pháp dựa trên hành vi. Phương pháp dựa trên dấu hiệu cho tốc độ và hiệu quả cao nhưng dễ bị né tránh. Trong khi đó, phương pháp dựa trên hành vi có khả năng phát hiện tốt hơn nhưng thường tốn thời gian hơn.

Gần đây, công nghệ học máy và học sâu đã được áp dụng để cải thiện khả năng phát hiện mã độc mới và phức tạp. Trong đó, quy trình trích xuất thuộc tính đóng vai trò quan trọng trong việc xây dựng các mô hình học máy hiệu quả. Cả mẫu lành tính và mẫu độc hại đều được phân tích bằng các kỹ thuật tĩnh và động, từ đó, các thuộc tính riêng biệt được trích xuất để xác định các tệp độc hại khỏi các tệp lành tính. Phân tích tĩnh bao gồm việc xem xét kỹ lưỡng mã và cấu trúc của mã độc mà không cần thực thi, trong khi các kỹ thuật phân tích động thường đòi hỏi phải thực thi mã độc hại trong môi trường ảo hóa để trích xuất thông tin như API được gọi, hành vi được thể hiện, tệp mới tạo và giá trị Registry đã thay đổi.

Tuy nhiên, sự phát triển của mã độc với nhiều kỹ thuật che giấu để tránh bị phát hiện đã khiến các phương pháp phân tích trở nên kém hiệu quả. Bài viết giới thiệu một phương pháp mới giúp vượt qua các cơ chế chống mô phỏng, buộc phần mềm độc hại thực hiện hành vi thực tế trong bộ nhớ, từ đó nâng cao khả năng trích xuất thuộc tính có giá trị.

GIẢI PHÁP VƯỢT QUA CÁC CƠ CHẾ CHỐNG MÔ PHỎNG TRONG PHÁT HIỆN MÃ ĐỘC

Xây dựng mô hình

Phương pháp phát hiện mã độc dựa trên việc vượt qua các cơ chế chống mô phỏng BAE-MD được đề xuất trong [1]. Như minh họa trong Hình 1, BAE đóng vai trò chính trong nền tảng BAE-MD, được thiết kế để vượt qua cơ chế chống mô phỏng củamã độc, bao gồm giám sát các lệnh gọi API và xác định thời gian thực thi để xác định các đặc điểm của môi trường mô phỏng. Khi mã độc thực thi hành vi thực tế trong bộ nhớ, các thuộc tính có giá trị sẽ có thể được trích xuất. Thành phần thứ hai trong framework là bộ trích xuất thuộc tính (Feature Extractor) sử dụng kỹ thuật phân tích tĩnh với các tập luật Yara để trích xuất các thuộc tính từ các tệp bộ nhớ. Cuối cùng, một mô-đun phát hiện dựa trên học máy để phát hiện mã độc.

Hình 1. Nền tảng BAE-MD

Vượt qua cơ chế chống mô phỏng

Framework Qiling [2], một nền tảng mô phỏng tệp nhị phân được xây dựng dựa trên Unicorn Engine [3], được lựa chọn làm công cụ mô phỏng để phân tích. Qiling đóng vai trò là một nền tảng cấp cao tận dụng Unicorn để mô phỏng các lệnh CPU đồng thời quản lý các tương tác của hệ điều hành, cho phép thực thi các tệp nhị phân mà không phụ thuộc vào hệ điều hành gốc của chúng. Qiling hỗ trợ nhiều định dạng thực thi khác nhau bao gồm PE, Mach-O, ELF và kết hợp các trình liên kết động để tải và thiết lập lại vị trí các thư viện dùng chung, cũng như trình xử lý syscall và I/O. Unicorn cung cấp trình mô phỏng CPU có thể lập trình và khi một chương trình thực hiện lệnh gọi hệ thống, Qiling sẽ cố gắng sao chép hành vi tương ứng của hệ điều hành máy chủ (như Windows hoặc Linux). Phương pháp BAE bao gồm ba bước như sau:

Bước 1. Thực thi chương trình. BAE bắt đầu bằng cách gửi các mẫu nhị phân đến nền tảng Qiling để thực thi. Sau đó, Qiling sử dụng các khả năng của Unicorn Engine để mô phỏng quá trình thực thi các mẫu nhị phân này. Qiling quản lý quá trình thực thi và tương tác với Unicorn Engine để biên dịch các lệnh nhị phân. Quá trình này bao gồm việc phân tích và thực thi lần lượt từng dòng lệnh, từ đó cung cấp khả năng can thiệp vào các bước này để vượt qua các cơ chế chống mô phỏng được phần mềm độc hại sử dụng.

Bước 2. Vượt qua. Đây là bước quan trọng trong phương pháp BAE. Các nhà phát triển phần mềm độc hại thường triển khai nhiều kỹ thuật khác nhau để xác định thời điểm mã độc được thực thi trong môi trường mô phỏng. Khi tìm thấy môi trường, phần mềm độc hại sẽ che giấu hành vi thực tế dẫn đến kết quả phân tích sai. Bước này mục đích vượt qua hai kỹ thuật điển hình mà mã độc sử dụng để xác định môi trường mô phỏng, cụ thể là giám sát các lệnh gọi API và đo thời gian thực thi.

- Vượt qua các lệnh gọi API: Việc phần mềm độc hại sử dụng các lệnh gọi API đến các hàm cụ thể như GetWindowContextHelpId(), ImageListAdd(), CoReleaseMarshalData(), CreateEventA(), SetClassLongA() và wgetmainargs() để nhận biết đặc điểm của môi trường mô phỏng. Để tránh các API này, các kỹ thuật API hooking được sử dụng để chặn và sửa đổi các lệnh gọi API do mã độc thực hiện. Vì hành vi của một số hàm nhất định đã bị thay đổi, nên mã độc sẽ bị lừa tin rằng đang tương tác với một hệ thống thực. Như đoạn mã dưới, API GetWindowContextHelpId() đã được thực hiện hooking.

- Vượt qua việc đo thời gian thực thi: Các trình mô phỏng và ảo hóa thường có thời gian thực thi mã chậm hơn so với khi thực thi trong môi trường thực. Do đó, mã độc có thể sử dụng các kỹ thuật dựa trên thời gian để đo thời gian thực thi của một số hoạt động nhất định để xác định xem có đang chạy trong môi trường bị kiểm soát hay không. Để vượt qua kỹ thuật này với Qiling, đoạn mã dưới thực hiện sửa đổi mã lệnh thực thi của chương trình.

Bước 3. Dump tiến trình. Khi mã độc thực sự được thực thi trên bộ nhớ trong môi trường được kiểm soát, tiến trình bộ nhớ sẽ được dump để trích xuất thuộc tính (ghi lại nội dung của không gian bộ nhớ của một tiến trình tại một thời điểm cụ thể). Việc dump bộ nhớ có thể cung cấp thông tin chi tiết về hành vi của một chương trình đang chạy.

Bộ trích xuất thuộc tính

Tệp bộ nhớ sau khi được dump từ bộ nhớ sẽ được sử dụng để trích xuất thuộc tính bằng kỹ thuật phân tích tĩnh. Trong nghiên cứu này, các tập luật Yara [4] được sử dụng để trích xuất các đặc trưng của mã độc. Tập lệnh bên dưới là một ví dụ về một luật của Yara (có 62 luật tương ứng với 62 thuộc tính sẽ được trính xuất với giá trị là 0 hoặc 1).

Mô-đun phát hiện dựa trên học máy

Các thuộc tính sau khi được trích xuất sẽ được sử dụng cho mô hình học máy để phân loại mã độc hay lành tính. Ba mô hình học máy khác nhau được sử dụng bao gồm XGBoost, Random Forest và KNN.

Bảng 1. Hiệu suất của BAE khi so sánh với SAP và DAC

Nền tảng BAE-MD là giải pháp đầu cuối được thiết kế để tự động xác định mã độc. Giải pháp này có thể được tích hợp liền mạch vào các hệ thống phát hiện mã độc, giúp tăng cường khả năng phát hiện của hệ thống, đặc biệt là đối với mã độc sử dụng các kỹ thuật che giấu.

THỬ NGHIỆM GIẢI PHÁP

Để kiểm nghiệm giải pháp, nhóm tác giả đã đánh giá giải pháp phát hiện mã độc dựa trên BAE-MD, dựa trên một tập dữ liệu phần mềm độc hại. Hiệu suất của BAE-MD được so sánh với các nền tảng phát hiện mã độc khác sử dụng phân tích tĩnh trên các tệp PE (Static Analysis on PE - SAP) và phân tích động trên Cuckoo Sandbox (Dynamic Analysis on Cuckoo Sandbox - DAC) với cùng một bộ dữ liệu mã độc và mô hình học máy bằng thuật toán Random Forest. Sau đó, BAE sẽ được đánh giá trên ba mô hình học máy khác nhau là Random Forest, XGBoost và KNN.

Kết quả trên cho thấy phương pháp BAE cho kết quả tốt hơn hai phương pháp còn lại khi sử dụng thuật toán Random Forest trên tất cả các thông số. Đồng thời, cũng cho thấy việc phân tích mã độc trong quá trình thực thi trong môi trường động, như DAC và Qiling với BAE có thể khám phá nhiều đặc điểm hơn là chỉ sử dụng các tệp PE. Phương pháp BAE với chức năng vượt qua các lệnh gọi API giám sát và vượt qua việc đo thời gian thực thi buộc mã độc thực thi thực sự trong môi trường được kiểm soát đã cho thấy tính khả thi và hiệu quả cao.

Bảng 2. Hiệu suất của BAE với ba thuật toán học máy khác nhau

Ngoài ra, Bảng 2 cũng đã cho thấy tính hiệu quả của phương pháp BAE trên các mô hình học máy khác nhau.

KẾT LUẬN

Bài viết này đã giới thiệu về giải pháp phát hiện mã độc dựa trên phương pháp vượt qua cơ chế chống mô phỏng BAE-MD hiệu quả trong việc phát hiện mã độc bị che giấu. Bằng cách tránh các cơ chế chống mô phỏng của mã độc trong môi trường động, BAE-MD cho phép giải mã và giải nén mã độc trực tiếp vào bộ nhớ. Điều này có thể tạo điều kiện thuận lợi để có được các thuộc tính có giá trị cho các phương pháp phát hiện mã độc dựa trên học máy. Các thí nghiệm đã chứng minh rằng BAE-MD vượt trội hơn các phương pháp hiện có về độ chính xác và tính hiệu quả.