Malware är fortfarande ett av de största säkerhetshoten på Internet. Antivirus lösningar och svarta listor, de viktigaste försvarsvapnen mot dessa attacker, har bara (delvis) varit framgångsrika. En anledning är att cyberbrottslingar vidtar aktiva åtgärder för att kringgå försvar, till exempel genom att distribuera ständigt ändra (obfuscated) varianter av sina malware program, och genom att snabbt churning genom domäner och IP-adresser som används för att distribuera utnyttja kod och botnet kommandon. Vi analyserar en av de centrala uppgifter som malware författare måste uppnå för att vara framgångsrik: De måste distribuera och installera malware program på så många offer maskiner som möjligt. En viktig vektor för att åstadkomma detta är genom drive-by nedladdning attacker där offer lockas på webbsidor som lanserar utnyttjar mot användarnas webbläsare och deras komponenter. När en utnyttja är framgångsrik, den injicerade skalkoden hämtar automatiskt och lanserar malware programmet. Medan en betydande mängd tidigare arbete har fokuserat på att upptäcka drive-by utnyttja steg och den efterföljande nätverkstrafiken produceras av malware program, har liten uppmärksamhet ägnats åt den mellanliggande steg där malware binären laddas ner. I detta papper studerar vi hur kunder i verkliga nätverk hämtar och installerar malware, och presenterar Nazca, ett system som upptäcker infektioner i storskaliga nätverk. Nazca fungerar inte på enskilda anslutningar, inte heller tittar på egenskaper för de nedladdade programmen eller ryktet om servrarna värd dem. I stället tittar man på de talande tecknen på de skadliga nätverksinfrastrukturer som iscensätter denna malware installation som blir uppenbar när man tittar på den kollektiva trafik som produceras och blir uppenbar när man tittar på den kollektiva trafik som produceras av många användare i ett stort nätverk. Som innehåll agnostic, Nazca lider inte av täckning luckor i ryktesdatabaser (svarta listor), och är inte mottaglig för kod obfuscation. Vi har kört Nazca på sju dagars trafik från en stor Internet Service Provider, där det har upptäckt tidigare okända malware med mycket låga falska positiva priser.
Som ett annat exempel, Nazca upptäcker drive-by-download attacker genom att inspektera den kollektiva trafik som produceras av enheter på nätverket REF.
Nazca: Detecting Malware Distribution in Large-Scale Networks
{'venue': 'NDSS', 'journal': None, 'mag_field_of_study': ['Computer Science']}