Comprendre la prévalence et l'utilisation des plans alternatifs dans les logiciels malveillants avec des jeux en réseau

Dans cet article, nous décrivons et évaluons une technique pour améliorer la quantité d'informations obtenues à partir de systèmes d'analyse dynamique de logiciels malveillants. En jouant à des jeux en réseau pendant l'analyse, nous explorons le comportement des logiciels malveillants lorsqu'ils croient que leurs ressources réseau sont défaillantes. Cela force le logiciel malveillant à révéler son plan alternatif au système d'analyse, ce qui permet une compréhension plus complète du comportement des logiciels malveillants. Les jeux en réseau sont similaires aux techniques d'exploration multipath, mais sont résistants à l'obfuscation de code conditionnel. Nos résultats expérimentaux montrent que les jeux en réseau découvrent des informations réseau très utiles provenant de logiciels malveillants. Sur 161 000 noms de domaine et plus de trois millions d'adresses IP extraites de logiciels malveillants pendant trois semaines, plus de 95 % n'ont jamais figuré sur des listes noires publiques. Nous montrons que ces informations sont à la fois susceptibles d'être malveillantes et peuvent être utilisées pour améliorer les systèmes de réputation existants pour les noms de domaine et les adresses IP, les listes noires et les systèmes de clustering de logiciels malveillants basés sur le réseau.