Ανάλυση και σύγκριση κακόβουλου λογισμικού σε λειτουργικά συστήματα Windows 10, Windows 8.1 και Windows 7 για εξαγωγή Forensic Artifacts

Abstract

Οι κυβερνοεγκληματίες σήμερα είναι σε θέση να σχεδιάσουν και να εκτελέσουν μαζικές ή περισσότερο στοχευμένες επιθέσεις με τη χρήση κακόβουλου λογισμικού, για να εισβάλουν και να μολύνουν το πληροφοριακό σύστημα του θύματος και να το χρησιμοποιούν μετά για δικό τους όφελος χωρίς να το γνωρίζει το θύμα. Πολλές φορές οι Εξεταστές Τεκμηρίων έρχονται αντιμέτωποι με υποθέσεις που φαινομενικά δείχνουν να ευθύνεται το άτομο στο οποίο ανήκει ο υπολογιστής αλλά μετά από αρκετές ώρες έρευνας να ευθύνεται το κακόβουλο λογισμικό που ενεργούσε για αυτόν. Στόχος την παρούσας μεταπτυχιακής διατριβής είναι η μελέτη και η καταγραφή της συμπεριφοράς αντιπροσωπευτικών δειγμάτων κακόβουλου λογισμικού από τις οικογένειες των Trojan, των Worm και των Bot στις τρείς τελευταίες και αρκετά διαδεδομένες εκδόσεις Windows (Windows 7, 8.1, 10) και να εξαχθούν κάποιοι κανόνες ώστε να διευκολύνουν τη δουλεία ενός Forensic Examiner και να μειώσουν αυτό το χάσιμο χρόνου. Συγκεκριμένα η έκδοση των Windows 10, λόγο της πρόσφατης διάθεσης της στην αγορά δεν υπάρχει σχετική επαρκής έρευνα για την ανεύρεση ψηφιακών τεκμηρίων, καθώς και για την συμπεριφορά κακόβουλου λογισμικού. Η μεθοδολογία που ακολουθήθηκε στηρίχτηκε στην δυναμική ανάλυση κακόβουλου λογισμικού με την χρήση του Cuckoo Sandboxing. Τα εξήντα δείγματα (είκοσι από κάθε κατηγορία), δοκιμάστηκαν στα τρία λειτουργικά συστήματα, ώστε να καταγραφεί η συμπεριφορά τους. Επιπλέον, καταγράφηκαν για κάθε λειτουργικό και για κάθε κατηγορία κακόβουλου λογισμικού, οι σημαντικότερες θέσεις ανεύρεσης ψηφιακών τεκμηρίων. Από την ανάλυση προέκυψε ότι το είδος του λειτουργικού συστήματος αλλά και η κατηγορία του κακόβουλου λογισμικού, καθορίζουν σημαντικά τις θέσεις ανεύρεσης ψηφιακών τεκμηρίων. Συνεπώς η μοντελοποίηση των παραπάνω ευρημάτων και η ενσωμάτωση τους σε μία εφαρμογή θα μπορούσε να αποτελέσει ένα χρήσιμο εργαλείο για τους ερευνητές ψηφιακών τεκμηρίων, καθώς με μία σύντομη ανάλυση στις σημαντικότερες θέσεις ψηφιακών τεκμηρίων, θα μπορούσαν να βγάλουν ένα άμεσο αποτέλεσμα για την ύπαρξη και το είδος του κακόβουλου λογισμικού.