Abstrakt. Dynamiskt kärnminne har varit ett populärt mål för senaste kärnans malware på grund av svårigheten att bestämma statusen för instabila dynamiska kärnobjekt. Vissa befintliga metoder använder kärnminneskartläggning för att identifiera dynamiska kärnobjekt och kontrollera kärnans integritet. De ögonblicksbildsbaserade minneskartor som genereras av dessa metoder är baserade på kärnminnet som kan ha manipulerats av kärnans malware. Dessutom, eftersom ögonblicksbilden endast återspeglar minnesstatusen vid en enstaka tidpunkt, är dess användning begränsad i temporalkärnan exekveringsanalys. Vi introducerar ett nytt system för runtime-kartläggning av kärnminnen som kallas för allokeringsdriven kartläggning, som systematiskt identifierar dynamiska kärnobjekt, inklusive deras typer och livstider. Systemet fungerar genom att fånga kärnobjektallokering och transaktionslokaliseringshändelser. Vårt system ger ett antal unika fördelar för kärnans malwareanalys: (1) en oöverträffad vy där kartläggningen av kärndata inte påverkas av manipuleringen av kärnminnet och (2) en timlig vy av kärnobjekt som ska användas i temporalanalys av kärnutförande. Vi demonstrerar effektiviteten av allokeringsdriven kartläggning i två användningsscenarier. Först bygger vi en dold kärnobjektdetektor som använder en oöverträffad vy för att upptäcka datagömda attacker av 10 kärnrootkit som direkt manipulerar kärnobjekt (DKOM). För det andra utvecklar vi en temporal malware beteende monitor som spårar och visualiserar malware beteende utlöst av manipulering av dynamiska kärnobjekt. Tilldelningsdriven kartläggning möjliggör en tillförlitlig analys av sådant beteende genom att styra inspektionen endast till de händelser som är relevanta för attacken.
I studien Ref föreslås ett allokeringsdrivet kartläggningssystem som systematiskt kan lokalisera dynamiska kärnobjekt.
Kernel malware analysis with un-tampered and temporal views of dynamic kernel memory
{'venue': 'In Proceedings of the 13th International Symposium of Recent Advances in Intrusion Detection', 'journal': None, 'mag_field_of_study': ['Computer Science']}