Skadliga webbsidor som värd drive-by-download utnyttjar har blivit ett populärt sätt att kompromissa värdar på Internet och, senare, för att skapa storskaliga botnät. I en drive-bydownload utnyttja, en angripare bäddar in ett skadligt skript (vanligtvis skrivet i JavaScript) till en webbsida. När ett offer besöker denna sida, körs skriptet och försöker äventyra webbläsaren eller en av dess plugins. För att upptäcka drive-by-download utnyttjar, forskare har utvecklat ett antal system som analyserar webbsidor för förekomsten av skadlig kod. De flesta av dessa system använder dynamisk analys. Det vill säga, de kör skripten associerade med en webbsida antingen direkt i en riktig webbläsare (löper i en virtualiserad miljö) eller i en emulerad webbläsare, och de övervakar skriptens avrättningar för skadlig aktivitet. Medan verktygen är ganska exakta, är analysprocessen kostsam, ofta kräver i storleksordningen tiotals sekunder för en enda sida. Att utföra denna analys på en stor uppsättning webbsidor som innehåller hundratals miljoner prover kan därför vara oöverkomligt. En metod för att minska de resurser som krävs för att utföra storskalig analys av skadliga webbsidor är att utveckla ett snabbt och pålitligt filter som snabbt kan kasta sidor som är godartade, vidarebefordra till dyra analysverktyg endast de sidor som sannolikt innehåller skadlig kod. I detta dokument beskriver vi utformningen och genomförandet av ett sådant filter. Vårt filter, som kallas Prophiler, använder statiska analystekniker för att snabbt undersöka en webbsida för skadligt innehåll. Denna analys tar hänsyn till funktioner som härrör från HTML-innehållet på en sida, från tillhörande JavaScript-kod, och från motsvarande URL. Vi härleder automatiskt detektionsmodeller som använder dessa funktioner med hjälp av maskininlärning tekniker som tillämpas på märkta dataset. För att visa effektiviteten och effektiviteten av Prophiler, vi kröp och samlade miljontals sidor, som vi analyserade för skadligt beteende. Våra resultat visar att vårt filter kan minska belastningen på en dyrare dynamisk analysverktyg med mer än 85%, med en försumbar mängd missade skadliga sidor.
Prophiler REF är ett lätt maskininlärningsfilter för skadliga webbsidor.
Prophiler: A fast filter for the large-scale detection of malicious web pages