Cet article présente des techniques de clusterisation (classification automatique) de malwares pour se faciliter la vie dans l’écriture de règles Yara. Cela permet de diminuer fortement le taux de faux positifs. On commence par clusteriser notre ensemble de malwares, et, pour chaque cluster nous utilisons un générateur automatique de règles Yara. Nous donnons des exemples avec le jeu de données « theZoo ».
Le Machine Learning est une expression utilisée à tort et à travers dans beaucoup de domaines et l’analyse de malwares n’est pas épargnée. Mais correctement utilisés, les algorithmes du Machine Learning peuvent générer un gain de temps non négligeable, par exemple pour les analystes de malwares, pour comprendre une grande masse de données, sélectionner des fichiers ayant un profil particulier, et surtout : calculer des ensembles/clusters de fichiers ayant les mêmes propriétés. Pourquoi clusteriser un ensemble de malwares ? Par exemple, c’est ce que nous allons montrer dans cet article, pour générer des règles Yara sur ces familles ! Cela va permettre de faire du huntingen réponse sur incident, mais aussi en source ouverte pour découvrir de nouvelles souches d’une même famille. Dans cet article, nous présentons les différentes étapes pour générer des règles Yara sur des malwares, tous des exécutables Windows faisant partie du jeu de données...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
[Corkami] https://github.com/corkami/pics/blob/master/binary/pe101/pe101.svg
[Pefile] https://github.com/erocarrera/pefile
[LIEF] https://github.com/lief-project/LIEF
[ssdeep] https://ssdeep-project.github.io/ssdeep/index.html
[pehash] https://www.usenix.org/legacy/events/leet09/tech/full_papers/wicherski/wicherski_html/index.html
[imphash] https://www.fireeye.com/blog/threat-research/2014/01/tracking-malware-import-hashing.html
[tinynuke] https://github.com/rossja/TinyNuke
[impfuzzy] https://blog.jpcert.or.jp/2016/05/classifying-mal-a988.html
[impfuzzy_clust] https://blog.jpcert.or.jp/2017/03/malware-clustering-using-impfuzzy-and-network-analysis---impfuzzy-for-neo4j-.html
[polichombr] https://github.com/ANSSI-FR/polichombr
[machoke] https://github.com/conix-security/machoke
[Scikit] http://scikit-learn.org/stable/
[theZoo] https://github.com/ytisf/theZoo