Abstract-HTTP är en populär kanal för malware för att kommunicera med skadliga servrar (t.ex., Command & Control, drive-by download, drop-zone), samt för att attackera välvilliga servrar. Genom att använda HTTP-förfrågningar döljer sig malware lätt under en stor mängd godartad HTTP-trafik. Det är därför svårt att identifiera skadliga HTTP-aktiviteter. Vi utnyttjar en insikt om att cyberbrottslingar i allt högre grad använder dynamiska skadliga infrastrukturer med flera servrar för att vara effektiva och anonyma i (i) malware-distribution (med hjälp av omdirigerare och utnyttja servrar), (ii) kontroll (med hjälp av C&C-servrar) och (iii) monetarisering (med hjälp av betalningsservrar) och (iv) är robusta mot serveruttag (med flera säkerhetskopieringar för varje typ av servrar). Istället för att fokusera på att upptäcka enskilda skadliga domäner, föreslår vi en kompletterande strategi för att identifiera en grupp av nära relaterade servrar som är potentiellt involverade i samma malware kampanj, som vi kallar Associated Server Herd (ASH). Vår lösning, SMASH (Systematic Mining of Associated Server Herds), använder en oövervakad ram för att dra slutsatsen malware ASHs genom att systematiskt bryta relationerna mellan alla servrar från flera dimensioner. Vi bygger ett prototypsystem av SMASH och utvärderar det med spår från en stor ISP. Resultatet visar att SMASH framgångsrikt drar slutsatsen ett stort antal tidigare oupptäckta skadliga servrar och möjliga noll-dagars attacker, med låga falska positiva. Vi tror att de resulterande ASH ger en bättre global bild av attackkampanjen som kanske inte lätt fångas genom att endast upptäcka enskilda servrar. Malware är ett allvarligt säkerhetshot mot Internet. Malware använder alltmer HTTP som sin kommunikation och angripa kanal på grund av följande skäl: (i) HTTP är tillåtet i de flesta nätverk, och därmed malware har en god chans att infektera offer och kommunicera med angripare. (ii) Eftersom HTTP nu är majoriteten av nätverkstrafiken, kan malware enkelt dölja sina aktiviteter under enorma godartade HTTP-trafik, vilket gör det svårt att upptäcka. (iii) De flesta HTTP-förfrågningar använder domännamn för att hitta servrar, vilket malware lätt kan undvika IP-blockering eller dölja sina servrar genom att använda Fast-Flux [25]. Som ett resultat, 75 % av skadlig kod observeras för att generera HTTP-trafik [28], och antalet webbaserade attacker ökade med nästan tre gånger sedan 2012 [9]. Med tanke på svårighetsgraden och populariteten av HTTP-baserad malware, fokuserar vi på sådana hot. I synnerhet koncentrerar vi oss på att upptäcka skadliga HTTP-aktiviteter från serversidans kommunikationsperspektiv. 1 Vi definierar två typer av mali-
Zhang m.fl. REF använde oövervakad teknik för att identifiera gruppen av relaterade severs som sannolikt kommer att vara inblandade i samma malware kampanj.
Systematic Mining of Associated Server Herds for Malware Campaign Discovery
{'venue': '2015 IEEE 35th International Conference on Distributed Computing Systems', 'journal': '2015 IEEE 35th International Conference on Distributed Computing Systems', 'mag_field_of_study': ['Computer Science']}