Montagem de um ambiente de análise de malware em sistemas windows

• Autor(a) principal: Gusmão Neto, Augusto Parisot de
• Data de Publicação: 2023
• Tipo de documento: Trabalho de conclusão de curso
• Idioma: por
• Título da fonte: Repositório Institucional da Universidade Federal Fluminense (RIUFF)
• Texto Completo: http://app.uff.br/riuff/handle/1/31528
• topic: Segurança da informação; Ciberespaço; Análise de malware; Ransomware; Cuckoo sandbox; Hybrid analysis; Malware detection

“Toda lei tem uma brecha”, diz um velho provérbio, significando que uma vez que uma regra é conhecida, também se sabe como evitá-la. Esta máxima pode ser aplicada em diversas situações da área de segurança da informação, em que sabendo-se como um sistema funciona, os criadores de malware utilizam as brechas para utilizarem em suas criações e, sabendo como o malware funciona, pode-se projetar defesas mais eficazes. O primeiro passo na tentativa de quebra desse ciclo é estudar o malware, entender como funciona, quais artefatos utiliza, como se comporta em determinados ambientes e os motivos pelos quais foi criado. Para isso é importante que tenhamos ferramentas e técnicas que nos permitam extrair informações do malware e a partir desse conhecimento, criar sistemas mais inteligentes, aplicando novas técnicas ou melhorando as técnicas já existentes. Na literatura existem algumas técnicas básicas de detecção de malware: assinaturas e heurísticas (que são mais usadas em sistemas antivírus), temos também métodos de análise: Análise Estática e Análise Dinâmica. Estas abordagens podem ser utilizadas em conjunto para analisar um malware e determinar seu comportamento e artefatos. Em paralelo, as ferramentas de virtualização tiveram grande avanço, evoluindo ao ponto de adicionarem muito pouco overhead às máquinas virtuais, popularizando esse tipo de ferramenta para utilização em muitas aplicações. Muitos serviços em nuvem são realizados sob virtualização, como por exemplo hospedagem de sites, Servidores Privados Virtuais e Servidores de Armazenamento. Esse avanço também permitiu que os analistas de malware pudessem criar ambientes seguros e similares aos reais para executar amostras maliciosas sem comprometer seus sistemas. Nosso objetivo é montar um sistema capaz de receber amostras de malware, executar essas amostras e monitorar seu funcionamento em um ambiente seguro e ao mesmo tempo imperceptível para os malwares analisados. Para esse fim, utilizamos as ferramentas VirtualBox como Hypervisor e o Cuckoo Sandbox em um Sistema Operacional Windows 7. Adicionalmente utilizamos outras ferramentas como INETSIM e Paranoid Fish para fornecer serviços de rede e verificação dos indicadores de virtualização. Os resultados obtidos foram condizentes com os resultados esperados, no sentido de que os ransomwares analisados funcionaram na máquina de análise como se estivessem em ambientes reais, possibilitando análise automática das amostras selecionadas