Medusa

Methoden zur Erkennung und Prävention von Malware werden zunehmend notwendig für Computersysteme, die mit dem Internet verbunden sind. Die traditionelle signaturbasierte Erkennung von Malware versagt bei metamorpher Malware, die ihren Code strukturell ändert, während die Funktionalität zum Zeitpunkt der Verbreitung erhalten bleibt. Diese Kategorie von Malware wird als metamorphe Malware bezeichnet. In diesem Papier analysieren wir dynamisch die ausführbaren Dateien, die von verschiedenen metamorphen Generatoren über einen Emulator erzeugt werden, indem wir API-Aufrufe nachverfolgen. Eine Signatur wird für eine gesamte Malware-Klasse generiert (jede Klasse repräsentiert eine Familie von Viren, die von einem metamorphen Generator erzeugt wurden), anstatt für einzelne Malware-Proben. Wir zeigen, dass die meisten der metamorpheren Viren derselben Familie durch dieselbe Basis-Signatur erkannt werden. Sobald eine Basis-Signatur für einen bestimmten metamorphen Generator erstellt ist, werden alle metamorphenen Viren, die aus diesem Werkzeug erstellt wurden, leicht durch die vorgeschlagene Methode erkannt. Ein Nähe-Index zwischen den verschiedenen metamorphen Generatoren wurde vorgeschlagen, um zu bestimmen, wie ähnlich zwei oder mehr Generatoren sind.