Skadlig kod är ett allt viktigare problem som hotar datasystemens säkerhet. Den traditionella raden av försvar mot skadlig kod består av malware detektorer såsom virus och spionprogram scanners. Tyvärr har både forskare och malware författare visat att dessa scanners, som använder mönster matchning för att identifiera skadlig kod, lätt kan kringgås av enkla kod transformationer. För att ta itu med denna brist, mer kraftfulla malware detektorer har föreslagits. Dessa verktyg förlitar sig på semantiska signaturer och använder statiska analystekniker såsom modellkontroll och teorem som visar sig utföra detektion. Även om det har visat sig att dessa system är mycket effektiva för att identifiera nuvarande malware, är det mindre tydligt hur framgångsrika de skulle vara mot motståndare som tar hänsyn till de nya detektionsmekanismer. Målet med detta dokument är att utforska gränserna för statisk analys för upptäckt av skadlig kod. I detta syfte presenterar vi ett binärt obfuscation system som bygger på idén om ogenomskinliga konstanter, som är primitiva som tillåter oss att ladda en konstant i ett register så att ett analysverktyg inte kan bestämma dess värde. Baserat på ogenomskinliga konstanter bygger vi obfuscation transformationer som obskyr programkontrollflöde, dölja tillgång till lokala och globala variabler, och avbryta spårning av värden som hålls i processorregister. Med hjälp av vår föreslagna obfuscation metod, kunde vi visa att avancerade semantik-baserade malware detektorer kan undvikas. Dessutom kan vår ogenomskinliga konstanta primitiva tillämpas på ett sätt som är bevisligen svårt att analysera för någon statisk kodanalysator. Detta visar att statisk analys tekniker ensam kanske inte längre räcker för att identifiera skadlig kod.
Dessa tekniker kan lätt undvikas av skadlig kod i polymorf form REF.
Limits of Static Analysis for Malware Detection
{'venue': 'Twenty-Third Annual Computer Security Applications Conference (ACSAC 2007)', 'journal': 'Twenty-Third Annual Computer Security Applications Conference (ACSAC 2007)', 'mag_field_of_study': ['Computer Science']}