Haittaohjelmien analyysi

Abstract

Opinnäytetyössä kerättiin tietoa haittaohjelmista, haittaohjelma-analyysista ja erityisesti muistianalyysista, sekä suoritettiin haittaohjelma-analyysia virtuaalisessa laboratorioympäristössä oikeilla haittaohjelmanäytteillä.

Opinnäyteyön teoreettinen osuus käsittelee haittaohjelmia, niiden toimintaa ja lyhyesti niiden vaikutusta yritystoimintaan ja yhteiskuntaan tänä päivänä. Enimmäkseen opinnäytetyössä keskitytään haittaohjelmien analyysin teoriaan ja eri analyysimetodeihin sekä tapoihin, joilla haittaohjelmien kirjoittajat yrittävät välttää haitallisten ohjelmien manuaalisia- ja automaattisia havainnointimetodeja.

Työn empiirisessä osiossa rakennettiin virtuaalinen analyysiympäristö kahdella keskenään verkostoiduilla virtuaalikoneella käyttäen Virtualbox-ohjelmaa. Toista virtuaalikonetta käytettiin simuloimaan tiettyjä verkkopalveluita ja tarkastelemaan verkkoliikennettä sekä muistianalyysin suorittamiseen Volatility-ohjelmalla. Toista virtuaalikonetta käytettiin perinteisten, staattisten ja dynaamisten analyysimetodien suorittamiseen. Virtuaalikoneet käyttivät Linux- ja Windows 10 -käyttöjärjestelmiä vastaavasti.

Opinnäytetyön tuloksena on kokoelma tietoa haittaohjelmista ja haittaohjelma-analyysistä, jonka tulisi antaa lukijalle yleisymmärrys haittaohjelmista ja eri metodeista, joilla niitä analysoidaan. Opinnäyteyön sisältämä tieto kerättiin enimmäkseen aiheeseen liittyvästä kirjallisuudesta.

The purpose of this thesis was to gather information on malware, malware analysis, and in particular, malware analysis by means of memory forensics. In addition, the goal was to conduct said analysis in a virtual environment on actual samples of real-life malware.

The theoretical section of this thesis contains information about malware in general, its functionality, and in brief, the effects of its use on business and society today, focusing mostly on malware analysis and the methods malware authors use to avoid manual and automatic detection.

A virtual malware analysis lab was built with Virtualbox, using two networked virtual machines. One of the virtual machines was used to simulate certain network services, and to capture network traffic, while the other was used to analyse the malware using traditional static and dynamic methods. The virtual machines used Linux and Windows 10 operating systems respectively. The memory analysis was conducted with Volatility using the Linux virtual machine.

The result of this thesis is a collection of information about malware and malware analysis that should give the reader a general understanding of malware and the different methods used to analyse it. The theoretical information in this thesis was mostly gathered from literature on the subject.