Utilising eBPF for Malware Analysis
Organisaties en individuen worden zich steeds meer bewust van de financiële en persoonlijke risico’s die malware met zich meebrengt. Om ons hiertegen te beschermen, wordt malware-analyse ingezet om het gedrag en de aard van malware te begrijpen. Een veelgebruikte methode is dynamische malware-analyse, waarbij een malware-sample wordt gemonitord tijdens de uitvoering. Omdat er dagelijks nieuwe typen malware ontstaan, hebben onderzoekers krachtige tools nodig om deze effectief en snel te kunnen analyseren.
Een relatief nieuwe en veelbelovende functionaliteit van de Linux kernel is eBPF. eBPF maakt het mogelijk om programma’s tijdens runtime te koppelen aan verschillende onderdelen van de Linux kernel, zoals interne kernelfuncties of system calls. Wanneer de kernel deze hooks bereikt, wordt het eBPF-programma uitgevoerd. Het programma kan vervolgens de uitvoeringscontext van de kernel op dat moment inspecteren. Dit wordt tracing genoemd en stelt gebruikers in staat om gebeurtenissen in het systeem te monitoren. eBPF-programma’s worden uitgevoerd in een gesandboxte omgeving en zijn onderworpen aan strikte veiligheidscontroles, waardoor ze aanzienlijk betrouwbaarder zijn dan traditionele kernel modules.
In dit onderzoeksproject is de effectiviteit van eBPF onderzocht voor de analyse van malware die zich richt op Linux-systemen. Op basis van wetenschappelijke surveys over typisch gedrag van Linux-malware zijn verschillende gedragscategorieën geïdentificeerd en per categorie specifieke gedragingen geselecteerd. Deze gedragingen zijn vervolgens geëmuleerd in standalone programma’s. Daarna is een suite van eBPF-programma’s ontwikkeld met als doel het detecteren en correct classificeren van het gedrag van deze geëmuleerde malware-samples.
Om de eBPF-programmasuite te evalueren, is een framework ontwikkeld dat de geëmuleerde malwareprogramma’s uitvoert terwijl de eBPF-programma’s actief zijn in het systeem. De evaluatie laat zien dat de ontwikkelde eBPF-programmasuite in staat is om het gedrag van de geëmuleerde malware correct te detecteren en te classificeren, wat de geschiktheid van eBPF voor dynamische malware-analyse onderstreept.
