基于YARA的Java内存马检测方案设计

随着互联网的发展,恶意软件逐渐成为威胁网络安全的重要因素。而Java内存马作为一种内存驻留的恶意软件,不仅具有隐蔽性高、易于传播等特点,还能够利用一些Java的高级特性实现更复杂的攻击行为,给网络安全带来更大的威胁。文章提出了一种基于YARA的Java内存马检测方案,通过向JVM中注入Agent将高风险类导出并通过YARA实现对Java内存中的恶意代码的检测和定位,再对该方法进行了实验验证。实验结果表明,该方案能够有效地检测Java内存马,具有较高的检测准确率和较低的误报率。

基于内存保护技术的内存马检测方法研究

内存马攻击的特点是没有文件落地,只在内存中运行。在不同层面如操作系统、Java容器和Web服务程序中,内存马攻击发展出了多种攻击方式。随着内存马攻击渐渐流行,现有的检测手段存在普适性差和误报多等问题。文章提出了一种基于内存保护技术检测内存马的方法。该方法依托硬件虚拟化技术,构建出一层独立于操作系统的虚拟化管理层来建立防护能力,通过虚拟化监控技术,监控虚拟机的内存相关信息,截获关键的特征事件,并通过截获的内存马特征事件构建该特征信息的有限状态自动机,再结合应用层Hook技术截获的内存马应用层特征信息,综合检测识别内存马。实验表明,该方法相对已有检测手段具有更好的普适性及更高的准确性。

一种针对Tomcat Filter型的MemShell检测技术研究

近些年来,随着计算机技术的不断发展和应用,Web应用技术也在快速更迭,与其一起发展的还有木马后门技术,但传统的木马后门技术已经不能满足攻击者的需求,因而基于内存攻击的方式不断涌现,包括powershell内存载入攻击、.NET assembly托管代码注入攻击以及内存马(Memory WebShell,MemShell)攻击等,这些攻击方式为现有的安全防御检测机制带来了极大的挑战。因而业界对面向解决基于内存的攻击尤其是内存马的攻击展现出了强烈的需求。但当前业内针对内存马的检测能力较弱,学术界也缺乏对该领域的研究工作,所以本文提出了一种针对Tomcat Filter型的内存马检测方法。通过研究发现,内存马其最核心技术便是无文件(Fileless)及不落地(Living off the Land),但尽管如此,内存马最终会在内存中展现其功能并执行命令,所以内存是所有威胁的交汇点,因此本文将Java虚拟机(Java Virtual Machine,JVM)作为起始点,首先利用JVM内存扫描技术遍历出JVM内存中加载的所有Filter类型对象,但需要注意的是这些对象并非都是有威胁的,并且每一个对象都具有一定的特征,所以可以对这些特征通过人工经验进行分类并且筛选出具有代表性的特征向量,然后获取每一个Filter类型对象的所有代表特征向量,并根据特征向量的值梳理出异常表现序列;最后,利用朴素贝叶斯算法将大量正常和异常的Filter对象的异常表现序列作为训练样本,计算出对应项的条件概率并形成贝叶斯分类器。利用训练出的贝叶斯分类器就可以构建出一个内存马检测模型,该模型能够有效得针对该类型的内存马进行检测。实验结果表明,本文提出的方法针对Tomcat Filter型内存马的检测,实现了零误报率和94.07%的召回率。