Techniky perzistence malware a její detekce

Abstract

Tato práce se zabývá tématem perzistence malwaru a v teoretické části detailně analyzuje způsoby a techniky používané ve škodlivých programech pro zajištění opakovaného spuštění škodlivého kódu. Jednotlivé techniky jsou klasifikovány dle matice MITRE ATT&CK. Dále práce navazuje implementací detekčního řešení, které obsahuje sadu pravidel určených pro odhalení analyzovaných způsobů perzistence. Laboratorní prostředí je vytvořeno v cloudové technologii Azure za použití nástroje Splunk pro log management. Práce se věnuje také tématu automatické akvizice artefaktů, přičemž je nasazen nástroj Google Rapid Response, který se automaticky v integraci s detekční platformou stará o akvizici zajímavého materiálu pro analýzu.

This thesis deals with the topic of malware persistence, focusing on what techniques are used by these pieces of malicious software to launch repeatedly on target machines, and investigating them in detail in the theoretical part. The techniques are classified in alignment with the MITRE ATT&CK matrix. Based on this research, a solution including a set of rules for detecting selected persistence techniques is created in an Azure cloud laboratory environment utilizing the Splunk log management tool. In addition, the topic of automatic artifact acquisition is explored, while deploying the Google Rapid Response tool to collect interesting files automatically in coordination with the detection platform.