MicroSCOPE

Projektziel

Microscope ist ein Softwareprogramm, das über die Go -Programmiersprache entwickelt wurde, die die Erkennung einer präzisen Kategorie von böswilliger Software ermöglicht. Das Programm wurde speziell für eine Klasse von böswilligen Programmen entwickelt, die Ransomware namens Ransomware , deren Betrieb aus Datenverschlüsselung und Lösegeldbedarf besteht, um wieder Zugriff auf den Inhalt zu erhalten.

Insbesondere wurde ein Mikroskop entwickelt, um zwei der hauptsächlich verwendeten Formate zu unterstützen: das PE-Format ( tragbare ausführbare ) Format für Windows-Plattformen und ELF ( ausführbares und Verknüpfungsformat ) für UNIX-basierte Plattformen. Durch die Anwendung bestimmter Heuristiken kann das Mikroskop eine Punktzahl zuweisen, die dem Grad der Gefährlichkeit der analysierten Datei entspricht. Je höher die Punktzahl ist, desto ähnliche Eigenschaften, die die bereits untersuchte Ransomware ausstellen wird. Die Heuristiken wurden aus zahlreichen Fallstudien extrapoliert und werden im Laufe der Zeit verbessert.

Repository -Struktur

• analysis : Ordner in Bezug auf die statische Analyse der Binärdateien (einschließlich der verschiedenen Mikroskopphasen)
• docs : Ordner mit Dokumentation des Mikroskopprojekts.
• formats : Ordner im Zusammenhang mit den Binärdateiformaten (ELF und PE) einschließlich Konstanten, Überprüfungen und Parsen des Binarischen;
• heuristics : Die tatsächliche Heuristik.
• utils : Allgemeine Versorgungsunternehmen

Wie es funktioniert

Die durch Mikroskop durchgeführte Analyse hat drei Hauptschritte:

• Data Mining : Eingehende Analyse der Binärdatei basierend auf ihrem Erweiterungstyp (z.
• Anwendung der Heuristik : Basierend auf den von der ersten Stufe extrapolierten Informationen werden Heuristiken angewendet, um herauszufinden, wie sich das Programm bei der Ausführung verhalten wird. In diesem Stadium wird eine Punktzahl (Summe der verschiedenen Bewertungen der Heuristik) berechnet;
• Ergebnisbestimmung : Basierend auf der Punktzahl und über einem bestimmten Wert (als Schwellenwert bezeichnet - benutzerdefiniert) verbindet das Mikroskop eine bestimmte Punktzahl mit böswilligem Verhalten.

Wie man es benutzt

Laden Sie die neueste Version herunter und führen Sie sie dann mit dem Flag -f aus, um die Eingabedatei anzugeben (muss eine gültige PE- oder ELF -ausführbare Datei sein).

 ./microscope -f my_executable_ransomware