En alarmerande trend i malware attacker är att de är beväpnade med smygande tekniker för att upptäcka, undvika och subvertera malware upptäckt anläggningar offret. På den defensiva sidan, en grundläggande begränsning av traditionella värd-baserade anti-malware system är att de kör inuti själva värdar de skyddar ("i lådan"), vilket gör dem sårbara för kontra upptäckt och subversion av malware. För att komma till rätta med denna begränsning förespråkar de senaste lösningarna baserade på virtuell maskinteknik (VM) att malwares detektionsanläggningar placeras utanför den skyddade virtuella maskinen ("ut ur lådan"). Men de får manipulering motstånd på bekostnad av att förlora den inhemska, semantiska synen på värden som åtnjuter "i lådan" tillvägagångssätt, vilket leder till en teknisk utmaning som kallas den semantiska luckan. I detta dokument presenterar vi design, genomförande och utvärdering av VMwatcher - en "out-of-the-box" strategi som övervinner den semantiska gap utmaning. En ny teknik som kallas guest view gjutning utvecklas för att systematiskt rekonstruera interna semantiska vyer (t.ex. filer, processer och kärnmoduler) av en VM utifrån på ett icke-inträngande sätt. Specifikt, den nya tekniken kastar semantiska definitioner av gäst OS datastrukturer och funktioner på virtuell maskin monitor (VMM)-nivå VM påstår, så att den semantiska vyn kan rekonstrueras. Med den semantiska klyftan överbryggas, identifierar vi två unika malware detektion kapacitet: (1) Visa jämförelsebaserad malware upptäckt och dess demonstration i rootkit upptäckt och (2) "out-of-the-box" distribution av värdbaserade anti-malware programvara med förbättrad detektion noggrannhet och manipulering-resistens. Vi har implementerat en proof-of-concept prototyp på både Linux och Windows-plattformar och våra experimentella resultat med verkliga malware, inklusive gäckande rotkit på kärnnivå, visar dess praktiska och effektivitet.
Jiang m.fl. REF föreslog ett intrångsförebyggande system genom att implementera VMwatcher som metodiskt rekonstruerar datastrukturerna (dvs. filer, kataloger, processer och kärnmoduler) hos en VM för analys på hypervisornivå på ett diskret sätt.
Stealthy malware detection through vmm-based "out-of-the-box" semantic view reconstruction
{'venue': "CCS '07", 'journal': None, 'mag_field_of_study': ['Computer Science']}