MicroSCOPE

Objectif du projet

Microscope est un logiciel développé via le langage de programmation Go qui permet la détection d'une catégorie précise de logiciels malveillants. Le programme est conçu spécifiquement pour une classe de programmes malveillants appelés ransomwares dont le fonctionnement se compose de chiffrement des données et de demande de rançon afin d'accéder à nouveau au contenu.

En particulier, Microscope a été développé pour pouvoir prendre en charge deux des formats principalement utilisés: le format PE ( exécutable portable ) pour les plates-formes Windows et ELF ( format exécutable et de liaison ) pour les plates-formes basées sur UNIX. Grâce à l'application d'une certaine heuristique, le microscope est en mesure d'attribuer un score qui correspond au niveau de dangereux du fichier analysé. Plus la partition est élevée, plus les caractéristiques sont similaires que les logiciels présenteront des ransomwares qui ont déjà été étudiés. Les heuristiques ont été extrapolées à partir de nombreuses études de cas et seront améliorées au fil du temps.

Structure de référentiel

• analysis : dossier lié à l'analyse statique des binaires (y compris les différentes phases du microscope)
• docs : dossier contenant la documentation du projet de microscope.
• formats : dossier lié aux formats de fichiers binaires (ELF et PE), y compris les constantes, les chèques et l'analyse du binaire;
• heuristics : l'heuristique réelle.
• utils : services publics généraux

Comment ça marche

L'analyse effectuée par microscope a trois étapes principales:

• Exploration de données : analyse approfondie du fichier binaire en fonction de son type d'extension (par exemple: que ce soit un fichier PE ou ELF), des chaînes d'extrapolation, des fonctions qu'il utilise et toute autre information potentiellement utile pour prédire l'exécution du programme;
• Application de l'heuristique : Sur la base des informations extrapolées à partir de la première étape, l'heuristique est appliquée pour déterminer comment le programme se comportera lorsqu'il est exécuté. À ce stade, un score (sommation des différents scores de l'heuristique) est calculé;
• Détermination des résultats : en fonction du score et supérieur à une certaine valeur (appelée valeur seuil - définie par l'utilisateur), le microscope associera un certain score à un comportement malveillant;

Comment l'utiliser

Téléchargez la dernière version, puis exécutez-la avec l'indicateur -f pour spécifier le fichier d'entrée (doit être un exécutable PE ou ELF valide).

 ./microscope -f my_executable_ransomware