MicroSCOPE

Meta do projeto

O Microscope é um programa de software desenvolvido através da linguagem de programação G que permite a detecção de uma categoria precisa de software malicioso. O programa foi projetado especificamente para uma classe de programas maliciosos chamado ransomware cuja operação consiste em criptografia de dados e demanda de resgate para obter acesso ao conteúdo novamente.

Em particular, o microscópio foi desenvolvido para poder suportar dois dos formatos principalmente usados: o formato PE ( executável portátil ) para plataformas Windows e ELF ( formato executável e vinculando ) para plataformas baseadas em UNIX. Através da aplicação de certas heurísticas, o microscópio é capaz de atribuir uma pontuação que corresponda ao nível de perigosidade do arquivo que está sendo analisado. Quanto maior a pontuação, maiores características do software exibirão o ransomware que já foi estudado. As heurísticas foram extrapoladas de vários estudos de caso e serão melhoradas ao longo do tempo.

Estrutura do repositório

• analysis : Pasta relacionada à análise estática dos binários (incluindo as várias fases do microscópio)
• docs : pasta que contém documentação do projeto do microscópio.
• formats : pasta relacionada aos formatos de arquivo binário (ELF e PE), incluindo constantes, verificações e análise do binário;
• heuristics : as heurísticas reais.
• utils : Utilitários gerais

Como funciona

A análise realizada pelo microscópio tem três etapas principais:

• Mineração de dados : análise aprofundada do arquivo binário com base em seu tipo de extensão (por exemplo: se o arquivo PE ou ELF), extrapolando strings, funções que ele usa e qualquer outra informação potencialmente útil para prever a execução do programa;
• Aplicação de heurísticas : Com base nas informações extrapoladas desde o primeiro estágio, as heurísticas são aplicadas para descobrir como o programa se comportará quando executado. Nesta fase, é calculada uma pontuação (soma das várias pontuações das heurísticas);
• Determinação do resultado : com base na pontuação e acima de um determinado valor (chamado de valor limite - definido pelo usuário), o microscópio associará uma certa pontuação ao comportamento malicioso;

Como usá -lo

Faça o download da versão mais recente e execute -a com o sinalizador -f para especificar o arquivo de entrada (deve ser um executável de PE ou ELF válido).

 ./microscope -f my_executable_ransomware