• Home

  • Technology

  • Laboratorio de Análisis de Malware [GuadalajaraCON 2012]
29
Laboratorio de Análisis de Malware @hugo_glez This work is licensed under the Creative Commons Attribution-NonCommercial-ShareAlike 3.0 Unported License. To view a copy of this license, visit http://creativecommons.org/licenses/by-nc-sa/3.0/

Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Embed Size (px)

DESCRIPTION

En esta plática se explicará como montar un laboratorio de análisis de malware. Incluyendo todo el proceso, desde la captura hasta el análisis. Se capturará el malware “in the wild” utilizando Dionaea, posteriormente se mostrará el proceso para analizar dinamicamente el malware utilizando Cuckoo Sandbox en una “Internet controlada”. No pertenezco a ninguna casa antivirus, así que los reportes se quedan en privado para cuestiones académicas. Y cuando el virus lo amerita, pues le hacemos algo de “reversing” para conocer más sobre él. La idea es integrar las herramientas para generar análisis semi-automáticos de los virus que caen en el sensor. Se publicará la nueva versión de la herramienta Arania. Arania nos sirve para detectar ataques de RFI (Remote File Inclusion) buscando en los logs del servidor, en este caso si descarga la herramienta y busca una “segunda inclusión”, para obtener el código completo. GUADALAJARACON 2012 http://www.guadalajaracon.org Guadalajara, Jalisco, México - 20 y 21 de abril del 2012

Citation preview

Page 1: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Laboratorio de Análisis de Malware

@hugo_glez

This work is licensed under the Creative CommonsAttribution-NonCommercial-ShareAlike 3.0 Unported License.

To view a copy of this license, visit http://creativecommons.org/licenses/by-nc-sa/3.0/

Page 2: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Acerca de:

http://atit.upslp.edu.mx/~hugo/

Page 3: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

● No hago análisis de malware por motivos económicos/profesionales, tiene que ver más con investigación y cuestiones académicas.

● El público objetivo es básico a intermedio, habrá sesiones de análisis avanzado.

Page 4: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

¿ Para qué analizar malware ?¿ Para qué analizar malware ?

Page 5: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Mi punto es:

● Conocer sobre el malware y su comportamiento.

● Ayudar en la automatización del análisis de malware.

● Contribuir a la seguridad en Internet.● Resolver problemas del estado de la práctica y

del estado del arte. (cripto)

Page 6: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Mi punto es:

● Conocer sobre el malware y su comportamiento.

● Ayudar en la automatización del análisis de malware.

● Contribuir a la seguridad en Internet.● Resolver problemas del estado de la práctica y

del estado del arte. (cripto)● ¡Conseguir trabajo en un laboratorio de

antivirus!

Page 7: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Laboratorio

● El laboratorio es un lugar dotado de los medios necesarios para realizar investigaciones, experimentos, prácticas y trabajos de carácter científico, tecnológico o técnico; está equipado con instrumentos de medida o equipos con que se realizan experimentos, investigaciones o prácticas diversas, según la rama de la ciencia a la que se dedique.

– Se puede asegurar que no se producen influencias extrañas (a las conocidas o previstas) que alteren el resultado del experimento o medición: control.

– Se garantiza que el experimento o medición es repetible, es decir, cualquier otro laboratorio podría repetir el proceso y obtener el mismo resultado: normalización.

● http://es.wikipedia.org/wiki/Laboratorio

Page 8: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Laboratorio de análisis de malware

Con software libre !!

Page 9: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

● Observación● Inducción● Hipótesis● Experimentación● Demostración● Tesis o Teoría

(Conclusiones)

Método científico

Page 10: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Objetivo:

Aprender más sobre el malwarePublicar ...

Page 11: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

● Recolección de malware● Análisis

● Estático● Dinámico● De comportamiento

● Resultados

Page 12: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Arquitectura genérica

Captura:Captura: Análisis:Análisis: Resultados:Resultados:

Page 13: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Arquitectura genérica

Captura:Captura:

Nepenthes

Dionaea

Spampot

ContagioDUMP

USB en el ciber

Listas

Otras fuentes.

Page 14: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Dionaeahttp://dionaea.carnivore.ithttp://dionaea.carnivore.it

Page 15: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Video

Page 16: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Arquitectura genérica

Análisis:Análisis:

EstáticoStrings

DecompilarDesensamblar

DinámicoDepurar (Ollydbg, IDA)

ComportamientoEjecutarlo

Máquina VirtualMáquina Real

Otros ?

Page 17: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Cuckoo

Page 18: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Video

Page 19: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Arquitectura genérica

Resultados:Resultados:

Más análisis

Reporte

Clasificación

Comparación

Método de limpieza

Firma para AV

Conocimiento !!

Page 20: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Ponga aquí lo que le agrade

Page 21: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Arquitectura genérica

Captura:Captura:

Nepenthes

Dionaea

Spampot

ContagioDUMP

USB en el ciber

Listas

Otras fuentes.

Análisis:Análisis:

EstáticoStrings

DecompilarDesensamblar

DinámicoDepurar (Ollydbg, IDA)

ComportamientoEjecutarlo

Máquina VirtualMáquina Real

Otros ?

Resultados:Resultados:

Más análisis

Reporte

Clasificación

Comparación

Método de limpieza

Firma para AV

Conocimiento !!

Page 22: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Spampot

Page 23: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Casos

● InetSim

http://www.inetsim.org/index.html

Page 24: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Android malware

Page 25: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]
Page 26: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Ejemplos

● Dionaea + cuckoo = reportes● Dionaea + Vbox (capture tcpdumps) = cluster● Contagiodump + vbox (MacOS)

Page 27: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Conclusiones

● Estudiar malware por diversión !● Existen muchas herramientas que ayudan, pero

todavía falta mejorar la automatización, la interacción entre ellas.

● El malware actual es ingeniería aplicada! Criptografía, canales de comunicaciones, anti-depuración, anti-virtualización, nuevas protecciones.

● Wadalec, Duqu / Stuxnet.● Android malware.

Page 28: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

¿ Preguntas ?¿ Preguntas ?@hugo_glez

Page 29: Laboratorio de Análisis de Malware [GuadalajaraCON 2012]

Reto de analisis forense para android en:

http://atit.upslp.edu.mx/~hugo/guadalajaracon/


Chapter 8 Malware - FTMS · – Boot virus – Logic Bomb virus – Directory virus – Resident virus. CSCA0101 Computing Basics 8 Malware Types of Malware ... Malware Types of Malware

Chapter 8 Malware - FTMS · – Boot virus – Logic Bomb virus – Directory virus – Resident virus. CSCA0101 Computing Basics 8 Malware Types of Malware ... Malware Types of Malware

Documents
Laboratorio de Análisis de Malwareatit.upslp.edu.mx/~hugo/presentaciones/2012--lab_analisis_malware... · Conocer sobre el malware y su comportamiento. Ayudar en la automatización

Laboratorio de Análisis de Malwareatit.upslp.edu.mx/~hugo/presentaciones/2012--lab_analisis_malware... · Conocer sobre el malware y su comportamiento. Ayudar en la automatización

Documents
Tráfico de bases de datos en el mercado negro digital [GuadalajaraCON 2013]

Tráfico de bases de datos en el mercado negro digital [GuadalajaraCON 2013]

Documents
Criptografía vs esteganografía [GuadalajaraCON 2012]

Criptografía vs esteganografía [GuadalajaraCON 2012]

Technology
Desarrollo de exploit para infraestructura crítica [GuadalajaraCON 2013]

Desarrollo de exploit para infraestructura crítica [GuadalajaraCON 2013]

Technology
Computer Virology and Mobile Malware Detection · 2019-03-14 · Outline •Introduction •Computer Virology • Malware taxonomy • Encrypted malware •Malware Detection •Mobile

Computer Virology and Mobile Malware Detection · 2019-03-14 · Outline •Introduction •Computer Virology • Malware taxonomy • Encrypted malware •Malware Detection •Mobile

Documents
Android Malware Exposed-Evolution of Android Malware

Android Malware Exposed-Evolution of Android Malware

Documents
Metamorphic Malware 1 Metamorphic Malware Research

Metamorphic Malware 1 Metamorphic Malware Research

Documents
Malware Analysis and Antivirus Technologies: Kernel Malware & A Look at Malware … · 2011-08-16 · Malware Analysis and Antivirus Technologies: Kernel Malware & A Look at Malware

Malware Analysis and Antivirus Technologies: Kernel Malware & A Look at Malware … · 2011-08-16 · Malware Analysis and Antivirus Technologies: Kernel Malware & A Look at Malware

Documents
Malware Analysis Analysis.pdf · Definisi Malware Analysis • What is a malware? • Malware (malicious software) ... Malware Sinkronisasi Token • Pelaku: Zeus Banking Trojan •

Malware Analysis Analysis.pdf · Definisi Malware Analysis • What is a malware? • Malware (malicious software) ... Malware Sinkronisasi Token • Pelaku: Zeus Banking Trojan •

Documents
Pentesting en la era POST-PC [GuadalajaraCON 2013]

Pentesting en la era POST-PC [GuadalajaraCON 2013]

Technology
Cazando Predadores en Internet [GuadalajaraCON 2012]

Cazando Predadores en Internet [GuadalajaraCON 2012]

Technology
Windows Malware Firewall: Remove Windows Malware Firewall

Windows Malware Firewall: Remove Windows Malware Firewall

Technology
Intrusion Detection and Malware Analysis - Malware collection

Intrusion Detection and Malware Analysis - Malware collection

Documents
Introduction to Mobile Malware. Outline ➢ Introduction ➢ Types of Malware ➢ Malware examples ➢ How Malware Spreads ➢ Prevention ➢ AndroRAT Hands-on Lab

Introduction to Mobile Malware. Outline ➢ Introduction ➢ Types of Malware ➢ Malware examples ➢ How Malware Spreads ➢ Prevention ➢ AndroRAT Hands-on Lab

Documents
Malware & Anti-Malware

Malware & Anti-Malware

Engineering
Vulnerabilidades en tecnologías NFC y RFID [GuadalajaraCON 2013]

Vulnerabilidades en tecnologías NFC y RFID [GuadalajaraCON 2013]

Technology
Analisis dan Deteksi Malware Menggunakan Metode Malware

Analisis dan Deteksi Malware Menggunakan Metode Malware

Documents
MALWARES MALWARE REVIEWED ISE DE Malware Reviewed · MALWARES There are public reports about spreading of malware named as ServHelper malware. It is a backdoor malware used by attacker

MALWARES MALWARE REVIEWED ISE DE Malware Reviewed · MALWARES There are public reports about spreading of malware named as ServHelper malware. It is a backdoor malware used by attacker

Documents
Malware, Malware y más Malware ¿Cómo me puedo proteger? “Dijo el cliente web”

Malware, Malware y más Malware ¿Cómo me puedo proteger? “Dijo el cliente web”

Documents
Malware Nilgün Kablan. Malware …………………………………….…….……………………………………………… Geschichte der Malware ……………….…………………………………………………

Malware Nilgün Kablan. Malware …………………………………….…….……………………………………………… Geschichte der Malware ……………….…………………………………………………

Documents
Nuevas técnicas de optimización y ofuscación [GuadalajaraCON 2013]

Nuevas técnicas de optimización y ofuscación [GuadalajaraCON 2013]

Documents
Ch 12: Covert Malware Launching - samsclass.info · Practical Malware Analysis Ch 12: Covert Malware Launching Last revised: 4-10-17. Hiding Malware • Malware used to be visible

Ch 12: Covert Malware Launching - samsclass.info · Practical Malware Analysis Ch 12: Covert Malware Launching Last revised: 4-10-17. Hiding Malware • Malware used to be visible

Documents
RouterPWN 1.5.146 [GuadalajaraCON 2012]

RouterPWN 1.5.146 [GuadalajaraCON 2012]

Documents
An Introduction To Keyloggers, RATS And Malware€¦ · Malware Malware has been a problem for ages, Malware is short form of malicious software. A Malware is basically a program

An Introduction To Keyloggers, RATS And Malware€¦ · Malware Malware has been a problem for ages, Malware is short form of malicious software. A Malware is basically a program

Documents
APT’s en profundidad: Disectando y analizando ataques persistentes [GuadalajaraCON 2013]

APT’s en profundidad: Disectando y analizando ataques persistentes [GuadalajaraCON 2013]

Technology
Malware and anti-malware (fun with Trojans) - Z. …z.cliffe.schreuders.org/edu/FS/Malware and anti-malware... · 2014-04-02 · Malware and anti-malware (fun with Trojans) ... with

Malware and anti-malware (fun with Trojans) - Z. …z.cliffe.schreuders.org/edu/FS/Malware and anti-malware... · 2014-04-02 · Malware and anti-malware (fun with Trojans) ... with

Documents
Echidna, sistema de respuesta a incidentes open source [GuadalajaraCON 2013]

Echidna, sistema de respuesta a incidentes open source [GuadalajaraCON 2013]

Technology
Búsqueda de vulnerabilidades en aplicaciones de Android [GuadalajaraCON 2013]

Búsqueda de vulnerabilidades en aplicaciones de Android [GuadalajaraCON 2013]

Technology
Reversing malware analysis trainingpart9 advanced malware analysis

Reversing malware analysis trainingpart9 advanced malware analysis

Technology