DIAGNÓSTICO DE ATAQUES DE SEGURIDAD MEDIANTE REDES BAYESIANAS

Transcripción

1 DIAGNÓSTICO DE ATAQUES DE SEGURIDAD MEDIANTE REDES BAYESIANAS Autor: Cercas Sánchez, Javier. Director: Vida Delgado, Rafael. Entidad Colaboradora: ICAI - Universidad Pontificia Comillas RESUMEN DEL PROYECTO El objetivo de este proyecto es proponer una solución para conocer si un dispositivo móvil Android pudiera estar infectado por malware simplemente indicando los síntomas que puede detectar el usuario sin necesidad de instalar una aplicación que consuma recursos ni estar en posesión del dispositivo. Palabras clave: Android, malware, redes bayesianas, ingeniería inversa, síntomas, análisis estático, análisis dinámico. 1. Introducción Los Smartphones se han convertido en elementos fundamentales en nuestras vidas ya que, debido a la creciente integración y conectividad de la que disponen gracias a tecnologías como 3G, WiFi, puertos USB, nos resulta muy fácil usarlos y nos facilitan nuestras tareas. Han pasado de ser instrumentos para realizar llamadas y estar en contacto, a almacenar y gestionar toda nuestra información y nuestros datos, y por tanto nuestra vida. No estamos concienciados de los riesgos a los que estamos expuestos simplemente por llevar un Smartphone en el bolsillo. Son una puerta a nuestra privacidad y el problema surge al chocar la sencillez de uso con lo complicado que es conocer las amenazas, controlar la seguridad de nuestros dispositivos y estar al día de las medidas de protección adecuadas. La solución hoy en día se encuentra en proteger nuestros dispositivos ante las actuaciones maliciosas de terceros con intención de robar esa información almacenada en nuestros dispositivos y sacar un beneficio económico de esta. Hay en el mercado muchas soluciones que aseguran que te protegen ante estas actuaciones pero no siempre son efectivas (incluso muchas son propio malware) y además consumen constantemente muchos recursos importantes del Smartphone ralentizando su funcionamiento para posteriormente no ser capaces de distinguir si son ataques reales o falsos positivos. Por lo tanto, lo que se pretende realizar es un estudio del malware para ser capaz de identificar los síntomas que produce en el dispositivo Android y que son visibles para el usuario. Una vez completado el estudio y obtenido un modelo estadístico que caracteriza el malware mediante redes bayesianas, se realiza el diseño y desarrollo de un prototipo que sirviéndose de estos datos, permita al usuario consultar si con los síntomas detectados su dispositivo está infectado.

2 2. Metodología Para el desarrollo de la herramienta se ha empleado una metodología de desarrollo incremental, para controlar la complejidad y los riesgos, dividiendo la herramienta en diferentes partes que al final terminan siendo la solución completa. El sistema experto mediante redes bayesianas sigue estas etapas: 1. Planteamiento del problema: Definición inicial del problema a resolver. Dar forma a la idea. 2. Investigación: fase Experto Humano. En este proyecto esta etapa se puede dividir en varias fases: Estudio: El objetivo es recopilar la información necesaria para llevar a cabo la idea. Recopilación de malware y síntomas. Análisis estático: Análisis del código binario de la aplicación Análisis dinámico: Análisis del comportamiento. 3. Diseño inicial: Esta etapa incluye el diseño del sistema experto bayesiano usando Excel. 4. Elección herramienta: Elección del lenguaje de programación, base de datos y diseño de la herramienta. 5. Desarrollo y pruebas del prototipo: Desarrollo de la plataforma web, base de datos e implementación y pruebas de la red. 6. Refinamiento y generalización: Se corrigen los fallos y se incluyen nuevas posibilidades no incorporadas en el diseño inicial. (Implementación para que sea escalable) 7. Mantenimiento y puesta al día: esta etapa queda fuera del alcance de este proyecto haciendo posibles futuros desarrollos. 3. Tecnologías y herramientas La recopilación de información se realiza acudiendo a fuentes de confianza como el Instituto Nacional de Tecnologías de la Comunicación (INTECO) y antivirus reconocidos como Symantec y TrendMicro entre otros. Adicionalmente, se ha establecido contacto con Dr. Xuxian Jiang y Yajin Zhou de North Carolina State University para obtener muestras de malware y poder basarse en estudios anteriores. Simulaciones y herramientas de ingeniería inversa: AXMLPrinter2, Dex2jar y Java Decompiler GUI y el apoyo de herramientas de análisis en la web (VirusTotal o SandDroid)

3 Modelo estadístico: los cálculos bayesianos se realizan con el apoyo de MS Excel para la creación de fórmulas y por su facilidad de exportar la información procesada a una base de datos. Herramienta web: Back-End: programación Java EE usando Netbeans como IDE. Base de datos bajoe MySQL. Front-End: entorno web en HTML5 y CSS3 con Bootstrap como framework, JavaScript y JQuery, y lenguaje JSTL. Para la edición de logos, imágenes y diseño de gráficos en general se emplean los programas de software libre Gimp y Yed. Figura 1. Modelo

4 4. Conclusiones Como conclusión final, del estudio se puede determinar que realizando un análisis estático mediante ingeniería inversa del código malware y un análisis dinámico basado en el comportamiento, se pueden determinar los síntomas visibles que produce una familia de malware y caracterizarla en una base de datos para su posterior uso por el algoritmo. Con el prototipo escalable, se brinda la posibilidad de que un usuario no especializado pueda utilizar los datos determinados en el estudio de manera sencilla. Hay que tener en cuenta que los resultados están condicionados por la cantidad de malware caracterizado en la base de datos y por la percepción de los los síntomas por parte del usuario. Figura 2. AndroidDoctor

5 SECURITY ATTACKS DIAGNOSIS USING BAYESIAN NETWOKS Author: Cercas Sánchez, Javier. Supervisor: Vida Delgado, Rafael. Affiliation: ICAI - Universidad Pontificia Comillas ABSTRACT The aim of this project is to propose a solution to find out if an Android device could be infected by malware just by indicating the symptoms that a non-technical user can detect. All this without the need of installing an app that consumes resource or the need of having the device with you. Keywords: Android, malware, Bayesian networks, reverse engineering, symptoms, static analysis, dynamic analysis. 1. Introduction The Smartphones have become essential elements in our lives because, due to the increasing integration and connectivity they have through technologies such as 3G, WiFi, USB ports, it is very simple to use them and they facilitate everyday tasks. Smartphones have been transformed from simple instruments used to call and be in contact, into instruments to store and manage all the personal information and data, and consequently our lives. We are not concerned about the risk that we are exposed to just by having a Smartphone in our pocket. Smartphones are an open door to our privacy and the problem appears when it is very simple to use the Smartphone but extremely difficult to know all the vulnerabilities, control the security of our devices and to be updated with the adequate protective measures. The solution nowadays is found with the protection of the devices from the malicious intentions of third parties who try to steal private information stored in the device and can benefit it economically. There are a lot of solutions in the market that assure the protection against these practices but they are not always effective or real (even some of them are malware themselves) and also, they need to use a lot of important resources from the Smartphones slowing their normal performance. Furthermore, in most of the cases, they cannot determine if the attack is real or a false positive. Consequently, what this project intends to do is a study of Android s malware to be able to identify the symptoms that an Android device shows produced by the infection of this malware. The most important part is that the user can identify the symptoms. Once the study is finished and a statistical model that characterizes the malware using a Bayesian Network is obtained, the design and development of a prototype using the data is performed. With this prototype the user can check the symptoms detected on the device to know if it is infected.

6 2. Methodology To control and manage the complexity and the risks, an incremental development methodology has been used for the software development. It has been divided into different parts that conclude in a complex solution. The Bayesian network expert system is formed by these stages: 1. Approach to the problem: initial definition of the problem to solve. To give shape to the idea. 2. Investigation: Human Expert stage. In this project this stage can be divided in several ones: Research: the aim is to gather the information necessary to implement the idea. Collect malware and symptoms. Static analysis: binary code analysis of the application. Dynamic analysis: behavior analysis. 3. Initial design: this stage includes the design of the Bayesian network expert system using Excel. 4. Software selection: programming language election, database and software design. 5. Development and test of the prototype: web platform development, database, implementation and test. 6. Refinement and generalization: errors correction and new functionality addition to the initial design. (Scalable design) 7. Maintenance and update: this stage is out of the scope of the project, could be a basis for future developments. 3. Technologies and resources The information gathering process is based on trusted sources like Instituto Nacional de Tecnologías de la Comunicación (INTECO) and leading antivirus companies like Symantec and TrendMicro, among others. In addition, Dr. Xuxian Juang and Yajin Zhou from North Carolina State University have been contacted to obtain malware samples and to gain access to previous researches. Simulation and reverse engineering tools: AXMLPrinter2, Dex2jar and Java Decompiler GUI and the support in web tools for analysis (VirusTotal o SandDroid) Statistical model: Bayesian calculation is made with the support of MS Excel to create formulas and easily export the processed information to a database.

7 Web development: UNIVERSIDAD PONTIFICIA COMILLAS Back-End programmed in Java EE using Netbeans as IDE. MySQL database. Front-End: web environment developed in HTML5 and CSS3 using Bootstrap framework, JavaScript, JQuery, and JSTL language. For editing images and graphical design, free software Gimp and yed are used. Figure 1. Model 4. Conclusions As final conclusion, it can be determined from the research carried out that by performing static analysis, using reverse engineering methods, and dynamic analysis, based on malware behavior, it is possible to determine the visible symptoms produced by a malware family and characterize it. The algorithm can use the database to obtain a set of probabilities. Using the scalable prototype, a non-technical user can easily get advantage from the results of the research. It should be noted that the results are constrained by the amount of characterized malware in the database and by the user s perception of the symptoms.

8 Figure 2. AndroidDoctor