MicroSCOPE

Meta de proyecto

Microscope es un programa de software desarrollado a través del lenguaje de programación GO que permite la detección de una categoría precisa de software malicioso. El programa está diseñado específicamente para una clase de programas maliciosos llamados ransomware cuya operación consiste en cifrado de datos y demanda de rescate para obtener acceso al contenido nuevamente.

En particular, el microscopio se desarrolló para poder admitir dos de los formatos principalmente utilizados: el formato PE ( ejecutable portátil ) para plataformas de Windows y ELF ( formato ejecutable y de enlace ) para plataformas basadas en UNIX. A través de la aplicación de ciertas heurísticas, el microscopio puede asignar una puntuación que corresponde al nivel de peligrosidad del archivo que se analiza. Cuanto mayor sea la puntuación, más características similares el software exhibirá al ransomware que ya se ha estudiado. La heurística se ha extrapolado de numerosos estudios de casos y mejorará con el tiempo.

Estructura de repositorio

• analysis : Carpeta relacionada con el análisis estático de los binarios (incluidas las diversas fases del microscopio)
• docs : carpeta que contiene documentación del proyecto de microscopio.
• formats : carpeta relacionada con los formatos de archivo binario (ELF y PE) que incluyen constantes, cheques y análisis del binario;
• heuristics : la heurística real.
• utils : servicios públicos generales

Cómo funciona

El análisis realizado por el microscopio tiene tres pasos principales:

• Minería de datos : análisis en profundidad del archivo binario basado en su tipo de extensión (por ejemplo: si el archivo PE o ELF), las cadenas de extrapolar, las funciones que utiliza y cualquier otra información potencialmente útil para predecir la ejecución del programa;
• Aplicación de la heurística : según la información extrapolada desde la primera etapa, las heurísticas se aplican para determinar cómo se comportará el programa cuando se ejecute. En esta etapa, se calcula una puntuación (suma de las diversas puntuaciones de la heurística);
• Determinación del resultado : según la puntuación y por encima de cierto valor (llamado valor umbral - definido por el usuario), el microscopio asociará una cierta puntuación con comportamiento malicioso;

Cómo usarlo

Descargue la última versión y luego ejecutarla con el flag -f para especificar el archivo de entrada (debe ser un ejecutable de PE o ELF válido).

 ./microscope -f my_executable_ransomware