Sandnet

El análisis dinámico de malware se utiliza ampliamente para obtener una mejor comprensión del software desconocido. Mientras que los sistemas existentes se centran principalmente en las actividades a nivel de host del malware y limitan el período de análisis a unos pocos minutos, nosotros nos concentramos en el comportamiento de red del malware durante períodos más largos. Proporcionamos una visión general completa del comportamiento típico de red de malware discutiendo los resultados que obtuvimos durante el análisis de más de 100,000 muestras de malware. El comportamiento de red resultante fue disecado en nuestro nuevo entorno de análisis llamado Sandnet, que complementa los sistemas existentes al centrarse en el análisis del tráfico de red. Nuestro análisis en profundidad de los dos protocolos que son más populares entre los autores de malware, DNS y HTTP, ayuda a entender y caracterizar el uso de estos protocolos prevalentes.