Resumen

Para realizar un análisis de malware basado en el comportamiento, la captura de comportamientos es un requisito previo importante. En este artículo presentamos el sistema Osiris, una herramienta para capturar comportamientos de archivos ejecutables en sistemas Windows. Recoge las llamadas a la API invocadas no sólo por el proceso principal del archivo de análisis, sino también las llamadas a la API invocadas por los procesos hijo creados por el proceso principal, los procesos inyectados si se produce una inyección de procesos, y los procesos de servicio si el proceso principal crea servicios. Modificando el código fuente de Qemu, Osiris se implementa en la capa de monitorización de la máquina virtual y tiene las siguientes ventajas. En primer lugar, no reescribe el código binario del fichero de análisis ni interfiere en su ejecución normal, por lo que los datos de comportamiento se obtienen de forma más sigilosa y transparente. En segundo lugar, emplea un marco de múltiples máquinas virtuales para simular el entorno de red para el análisis de malware, de modo que los comportamientos de red de un malware se estimulan en gran medida. En tercer lugar, además del entorno de red, también simula los eventos de host más comunes para estimular posibles comportamientos maliciosos de un malware. Los resultados experimentales muestran que Osiris automatiza el proceso de análisis de malware y proporciona buenos datos de comportamiento para el siguiente algoritmo de detección.

• Materias:Análisis Matemático Álgebra Ingeniería Matemática aplicada Lógica matemática
• Subjects:Mathematical Analysis Algebra Engineering Applied Mathematics Mathematical logic
• Palabras claves:proceso principal, llamadas api, archivo de análisis, análisis de malware, entorno de red, capa de monitorización de máquinas virtuales, eventos comunes de host, datos de buen comportamiento, proceso de análisis de malware, posibles comportamientos maliciosos
• Keywords:main process, api calls, analysis file, malware analysis, network environment, virtual machine monitor layer, common host events, good behavior data, malware analysis process, potential malicious behaviors