Simulation précise du réseau interconnectant des machines virtuelles basées sur de la virtualisation matérielle pour une analyse minimisant les perturbations

Résumé :

Pour analyser des malware, les spécialistes en sécurité étudient des échantillons dans des sandboxes. Les concepteurs de malware implémentent des méthodes dites d'évasion pour détecter la présence d'une sandbox d'analyse, et masquer le comportement malveillant de leur malware. Une partie de ces méthodes d'évasion reposent sur de l'analyse temporelle. Dans le cadre de cette thèse, nous nous intéressons aux méthodes d'évasion qui se basent sur les performances du réseau. Par exemple, un malware peut faire des mesures de performances sur sa communication avec un serveur contrôlé par l'attaquant, et comparer ses résultats avec ceux d'une distribution connue à l'avance. Pour rendre les sandboxes résistantes à ce type d'attaques, notre approche consiste à interconnecter des machines virtuelles avec un simulateur réseau. Notre solution découple l'horloge virtuelle de chaque machine virtuelle de l'horloge physique

de l'hôte, afin de synchroniser chaque horloge virtuelle avec l'horloge du simulateur. Ces travaux de thèse s’articulent selon deux axes applicatifs. Le premier axe « système » consiste à étudier comment créer un environnement réseau permettant de prédire les performances d’applications distribués. Le second axe « sécurité » est l’étude de l’intégration avec des sandboxes, dont certains outils d'analyse liés au temps peuvent interférer avec notre approche.

Abstract :

To analyse malware, security specialists study samples in sandboxes. Malware designers implement so-called evasion methods to detect the presence of an analysis sandbox and hide the malicious behaviour of their malware. Some of these evasion methods rely on temporal analysis. In this thesis, we focus on evasion methods based on network performance. For example, malware can measure performance on its communication with a server controlled by the attacker and compare its results with those of a distribution known in advance. To make sandboxes resistant to this type of attack, our approach consists of interconnecting virtual machines with a network simulator. Our solution decouples the virtual clock of each virtual machine from the physical clock of the host, in order to synchronise each virtual clock with the clock of the simulator. This thesis work focuses on two areas of application. The first area, ‘system’, consists of studying how to create a network environment that can predict the performance of distributed applications. The second area, ‘security’, is the study of integration with sandboxes, some of whose time-related analysis tools can interfere with our approach.