Statistical Analysis of Malware Defence Methods

Abstract

The purpose of this thesis was to investigate effectiveness of selected malware defence techniques. The goal of the research was to come up with tooling and instructions for system administrators and security officers to protect against previously unknown malware.

This thesis is a compilation of two conference papers, each of which focuses on a particular aspect of advanced malware defence, and a journal paper on using SSDEEP fuzzy hash algorithm for whitelisting.

The first conference paper was named “Statistically effective protection against APT attacks” and was published in a VirusBulletin 2013 conference and focuses on malware protection methods that protect against document-based exploits. The aim of the research was to identify methods that are effective in preventing attackers from establishing a beachhead in a target organization. The first paper is listed as Appendix A of this presentation.

The second conference paper was named “Improving whitelisting by using local system analysis” and will be published in a law enforcement conference in 2015. This paper focuses on using whitelisting and local system analysis methods to detect unknown executable binaries that do not look like part of any software installation.

The third paper was named “Evaluating the usefulness of the ssdeep fuzzy hash algorithm for whitelisting purposes” and will be submitted to a digital forensics journal. The paper focuses on evaluating whether the SSDEEP hash algorithm can be reliably used for white listing when doing forensic investigation.

Opinnäytetyö koostuu kolmesta julkaisusta. ”Statistically effective protection against APT attacks” ja ”Improving whitelisting by using local system analysis” ovat kaksi alan tutkimuskonferensseissa julkaistua tutkimusta, ja “Evaluating the usefulness of the ssdeep fuzzy hash algorithm for whitelisting purposes” on tutkimusjulkaisu.

“Statistically effective protection against APT attacks” julkaistiin Virus Bulletin 2013 konferenssissa. Tutkimus käsittelee dokumenttitiedostoissa olevien haavoittuvuuksien hyödyntävien hyökkäysten torjumista. Tutkimuksen tavoitteena oli löytää ja mitata menetelmiä, jotka ovat tehokkaita torjumaan dokumenttihyökkäyksiä ja siten estämään hyökkääjää saamasta sillanpääasemaa kohdeorganisaatioon.

“Improving whitelisting by using local system analysis” julkaistaan lainvalvontakonferenssissa vuoden 2015 aikana. Tutkimuksen luonteesta johtuen (TLP AMBER) konferenssin tarkkaa nimeä ei määritetä. Tutkimus käsittelee paikallisen analyysin hyödyntämistä luotettujen tiedostojen listan jatkamiseen niin, että järjestelmään kuulumattomat tiedostot voidaan havaita helpommin.

“Evaluating the usefulness of the ssdeep fuzzy hash algorithm for whitelisting purposes” lähetetään digitaalisen forensiikan journaliin. Tutkimus käsittelee SSDEEP sumean tiivistefunktion käyttökelpoisuutta tunnettujen puhtaiden tiedostojen tunnistamisessa forensisen analyysin nopeuttamiseksi.