Detecting packed and encrypted malware samples using STAtic Malware-as-Image Network Analysis (STAMINA)

Vi ser daglig over 350,000 [1] skadevarer eller såkalte potensielt uønskede applikasjoner. Omfanget er så stort at det ikke er mulig for analytikere å prosessere og analysere alle disse filene. I tillegg så har vi flere vellykkede angrepet det siste åre med for eksempel den norske aluminiums og fornybare energi bedriften Norsk Hydro, som ble angrepet 1. mars 2019 med løspengeviruset “LockerGoga” [4], det norske parlamentet Stortinget som meddelte at de hadde blitt utsatt for ett dataangrep 1. september 2020, og det europeiske teknologiselskapet Sopra Steria som hadde ett datainnbrudd, inkludert deres norske avdeling i Stavanger den 22. oktober 2020. Det er derfor nødvendig å enten øke hastigheten på eksisterende metoder eller å utvikle nye, siden det hjelper ikke om du har vært utsatt for angrep tidligere, da det fremdeles kan skje igjen. Ett eksempel her er det norske parlamentet Stortinget, som igjen var angrepet i begynnelsen av mars, på grunn av en sårbarhet i Microsoft Exchanged CVE-2021-26857, som medførte ett datainnbrudd. De var ikke de eneste som ble angrepet denne gangen, det var flere selskaper i Norge som kollektivselskapet AtB og Andøy kommune, i tillegg til andre over hele verden [3]. Det er derfor nødvendig å finne teknikker som kan hjelpe analytikerne med å prosessere skadevare filer, for at de skal kunne fokusere på de filene som utgjør den største trusselen, som de beskrevet i eksemplene over. En løsning på dette problemet kan være å la datamaskiner ta seg av jobben, ved å ta i bruk maskin læring. I denne masteroppgaven vil vi derfor se nærmere på metoden som heter STAtic Malware-as-Image Network Analysis (STAMINA). Denne metoden gjør om skadevare og vanlige filer til gråskala bilder, for deretter å bruke en maskin lærings algoritme som er trent til å gjenkjenne objekter som katter, hunder, hus, biler osv. Deretter trenes denne algoritmen til å detektere vanlige filer og skadevare som bilder