MicroSCOPE

Цель проекта

Microscope - это программа, разработанная через язык программирования GO, которая позволяет обнаружить точную категорию вредоносного программного обеспечения. Программа разработана специально для класса вредоносных программ под названием Ransomware, чья операция состоит из шифрования данных и спроса на выкуп, чтобы снова получить доступ к контенту.

В частности, микроскоп был разработан, чтобы иметь возможность поддерживать два в основном используемые форматы: формат PE ( портативный исполняемый файл ) для платформ Windows и ELF ( исполняемый файл и ссылка ) для платформ на основе UNIX. Благодаря применению определенной эвристики микроскоп может назначить оценку, которая соответствует уровню опасности анализируемого файла. Чем выше оценка, тем более похожие характеристики, которые программное обеспечение будет демонстрировать для вымогателей, которые уже изучались. Эвристика была экстраполирована из многочисленных тематических исследований и со временем будет улучшена.

Структура репозитория

• analysis : папка, связанная со статическим анализом двоичных файлов (включая различные фазы микроскопа)
• docs : папка, содержащая документацию проекта микроскопа.
• formats : папка, связанная с бинарными форматами файлов (ELF и PE), включая константы, проверки и анализ двоичного файла;
• heuristics : фактическая эвристика.
• utils : Общие коммунальные услуги

Как это работает

Анализ, выполненный микроскопом, имеет три основных шага:

• МАНПАРИЧИК ДАННЫХ : углубленный анализ двоичного файла на основе его типа расширения (например: файл PE или ELF), экстраполирующие строки, функции, которые он использует, и любую другую информацию, потенциально полезную для прогнозирования выполнения программы;
• Применение эвристики : на основе информации, экстраполированной на первом этапе, применяется эвристика, чтобы выяснить, как будет вести себя программа при выполнении. На этом этапе рассчитывается оценка (суммирование различных баллов эвристики);
• Определение результата : на основе оценки и выше определенного значения (называемое пороговым значением - пользовательский), микроскоп будет связывать определенную оценку со злонамеренным поведением;

Как его использовать

Загрузите последний релиз, а затем запустите его с помощью флаг -f , чтобы указать входной файл (должен быть действительный исполняемый файл PE или ELF).

 ./microscope -f my_executable_ransomware