Volume 54, Issue 2 -

Reverse Code Engineering (RCE) is, loosely speaking, the process of analyzing a piece of code in order to understand it. RCE is often used to analyze proprietary, binary programs, and in the last few years this research area has evolved a lot. In this article, we survey and structure the area of reverse code engineering. We focus on different techniques to recover both the control and data flow of a given binary program, for which no source code is available. Furthermore, we also discuss analysis techniques for malicious software (short: malware), which is commonly protected to resist analysis. We present the current state of the art of such protection techniques, while dividing them into active and passive measures. Our survey focusses on reverse engineering of binary native code for the Intel/AMD x86 architecture, and we thus disregard analysis of byte-code like Java or .NET. Nevertheless, most of the techniques presented in this article can be transferred to other architectures and operating system as well. Zusammenfassung Reverse Code Engineering (RCE) ist die Analyse von Binärprogrammen mit dem Ziel, deren Semantik zu verstehen. Traditionell wird dabei vor allem proprietäre Software untersucht, für die kein Sourcecode verfügbar ist. In letzter Zeit hat es jedoch eine enorme Ausweitung auch auf andere Einsatzgebiete gegeben. In diesem Bericht werden die verschiedenen Bereiche und Einsatzgebiete vorgestellt und eine Strukturierung vorgenommen. Dabei wird im ersten Teil auf die verschiedenen Methoden zur Rückgewinnung von Kontroll- und Datenfluss unbekannter Software eingegangen. Im zweiten Teil werden ausführlich die verschiedenen Schutzmaßnahmen behandelt, die von Programmen eingesetzt werden, um sich einer solchen Analyse zu entziehen. Der Fokus liegt dabei in der Analyse von Binärcode für die Intel/AMD x86 Architektur. Daher wird das Gebiet der heutigen Bytecode-Sprachen wie Java or .NET vernachlässigt. Die vorgestellten Methoden und Verfahren lassen sich jedoch problemlos auch auf andere Hardware- und Software-Architekturen übertragen.

Malware analysts are more and more overstrained by today´s flood of malware. Hence, the need for automated tools to assist malware analysis becomes apparent. A common approach of malware analysis is reverse engineering its components, namely (sub-)procedures. We present and evaluate simple procedure characteristics such as the number of instructions for their robustness with respect to different compilers, compilation options and even across operating systems. We identify robust characteristics and apply standard machine learning algorithms based on these characteristics to automatically identify already known procedures in new malware. This prevents analysts from repeatedly reversing known procedures. Zusammenfassung Malware-Analysten werden täglich von neuer Malware überflutet, was den Bedarf an automatisierten Werkzeugen deutlich macht. Üblicherweise wird Malware analysiert, indem die Teilkomponenten, also (Unter-)Prozeduren untersucht werden. In der vorliegenden Arbeit werden einfache Prozedur-Charakteristiken wie die Anzahl der Instruktionen vorgestellt und auf ihre Robustheit bezüglich verschiedener Compiler, Compiler-Optionen und sogar betriebssystemübergreifend untersucht. Robuste Charakteristiken werden Standard-Maschinenlernverfahren zugeführt, um automatisiert bereits analysierte Prozeduren in neuer Malware zu erkennen. Hierdurch muss der Analyst die bereits erkannten Prozeduren nicht erneut manuell untersuchen.

In the area of intrusion detection the misuse detection approach assumes that relevant activity violating security policies is known a priori and it provides for fast intrusion detection with low false alarm rate, thereby complementing the anomaly detection approach. Hence, misuse detection is an indispensable ingredient to a suitable strategy for intrusion detection. Misuse detection calls for a comprehensive framework for modeling and analysing attack activity. This contribution presents the highly expressive and modular Signature-net framework. Signature-nets allow for visual modeling and simulation of attack detection signatures, as well as for formal analysis. The framework lends itself to highly optimized implementation and may be flexibly deployed, e. g., for network-based and host-based intrusion detection or alarm correlation. Zusammenfassung Bei Intrusion Detection basiert der Missbrauchserkennungsansatz auf der Annahme, dass Angriffsaktivitäten a priori bekannt sind und erlaubt eine schnelle Angriffserkennung bei einer geringen Rate falscher Alarme. Missbrauchserkennung gleicht somit die Schwächen einer Anomalieerkennung aus und ist eine unverzichtbare Komponente für eine geeignete Angriffserkennungsstrategie. Für die Missbrauchserkennung wird ein umfassendes Rahmenwerk zur Modellierung und Analyse von Angriffsaktivitäten benötigt. Dieser Beitrag präsentiert das ausdrucksstarke und modulare Rahmenwerk der Signatur-Netze. Signatur-Netze erlauben die grafische Modellierung und Simulation von Angriffsabläufen, ebenso wie deren formale Analyse. Das Rahmenwerk lässt sich stark optimiert implementieren und flexibel einsetzen, z. B. für die Angriffserkennung in Netzwerken und Rechnern und für die Alarmkorrelation.

Anomaly-based methods of intrusion detection are gaining increasing interest among IT-security practitioners. Unlike the traditional intrusion detection systems (IDS) based on pattern matching they are capable of detecting previously unknown attacks without any knowledge about attack signatures. For practical deployment, not only accuracy but also the computational performance is crucial. A deployed IDS must be able to process traffic volumes of several Gbps, which is typical for network infrastructure nodes. Most of the previously proposed anomaly-based IDS have not specifically addressed performance issues. Moreover, it has been widely believed that no anomaly-based system with full analysis of packet payload can reach a “sound barrier” of 1 Gbps. In this contribution, we show that using a careful selection of algorithms and common parallelization techniques, the performance of well over 1 Gbps is possible for a wide range of methods based on a metric embedding of packet/connection payloads. After a brief introduction to the embedding techniques, we describe the specific algorithms and data structures for a high-performance implementation of such methods. We present experiments on large-scale traces of real network traffic that demonstrate that processing rates of over 4 Gbps can be attained by our methods on commodity multi-core processors. Zusammenfassung Anomalie-basierte Techniken von Angriffserkennung gewinnen zunehmend an Aufmerksamkeit unter IT-Sicherheitsexperten. Im Gegensatz zu den herkömmlichen, auf der Mustererkennung basierten Intrusion-Detection-Systemen (IDS), sind Anomalie-basierte Systeme in der Lage, neuartige Angriffe zu erkennen, ohne dass vorher spezifische Muster definiert werden müssen. Allerdings ist für den praktischen Einsatz solcher Systeme nicht nur die Erkennungsgenauigkeit sondern auch die rechnerische Leistungsfähigkeit von zentraler Bedeutung. Das IDS muss das Netzverkehrsvolumen von mehreren Gbps verarbeiten können, um in der Netzinfrastruktur eingesetzt werden zu können. Bei den meisten von früheren Anomalie-basierten IDS wurde die Leistungsfähigkeit nicht explizit berücksichtigt. Es galt als unwahrscheinlich, dass ein Anomalie-basiertes System mit der Verarbeitung kompletter Paketinhalte eine “Schallmauer” von 1 Gbps übertreffen kann. In diesem Beitrag wird gezeigt, dass für die auf einer metrischen Einbettung der Paketinhalte basierten Anomalieerkennungsmethoden eine Performanz von deutlich mehr als 1 Gbps durch eine sorgfältige Wahl der Algorithmen sowie die Anwendung von gängigen Parallelisierungstechniken durchaus möglich ist. Nach einer kurzen Einführung in die Technik von metrischer Einbettung, werden im Folgenden die für eine hochperformante Implementierung benötigten Algorithmen und Datenstrukturen dargestellt. Bei der experimentellen Auswertung der entwickelten Algorithmen auf einem über mehrere Tage aufgezeichneten Netzverkehr-Trace konnte die Leistungsfähigkeit von über 4 Gbps auf handelsüblichen Mehrkernprozessoren erreicht werden.

Botnets, which are used to perform various malicious activities, have become a major threat in recent years. Spamming, phishing, stealing sensitive information, conducting distributed denial of service (DDoS) attacks, scanning to find more hosts to compromise using malware are the goals of many botnets, sometimes of low-profile botnets such as the Nugache botnet [1] which used a peer-to-peer (P2P) structure. Some botnets hide their network activities for many months (and maybe years) before being noticed. Networks might contain more deceptive or dormant bots which haven´t been exposed yet. Here we apply an a posteriori detection approach based on mutual contacts peers exchange in a network, called the dye-pumping algorithm [2]. After briefly recalling typical botnet operations, we will talk further about the dye-pumping algorithm (DPA) mechanism and implementation, its input data structures, and then give a short analysis of the results of our experiment. Zusammenfassung Botnetze, die zum Ausführen von verschiedenen kriminellen Aktivitäten benutzt werden, sind zu einer großen Bedrohung geworden. Spam, Phishing, Datendiebstahl, DDoS-Attacken, Scanning, um neue Opfer zu finden, sind die Ziele vieler Botnetze, zum Beispiel das Nugache-Botnetz, das eine Peer-to-Peer-Struktur (P2P) verwendet hat. Einige Botnetze verstecken ihre Aktivitäten monatelang (manchmal auch jahrelang), bevor sie bemerkt werden. Netzwerke können Schläfer-Bots enthalten, die noch nicht entdeckt worden sind. Hier wenden wir a posteriori eine Methode an, die auf gemeinsame Netzwerk-Kontakte basiert, den sogenannten Dye-Pumping Algorithm (DPA, etwa: Farb- oder Tinten-Pump-Algorithmus). Nach einer Übersicht von typischen Botnetz-Verhalten besprechen wir den DPA an sich, seine Implementation und Datenstrukturen, und geben eine kurze Analyse der Versuchsergebnisse.

Our culture strongly affects which Web sites we perceive as beautiful and usable, and we are less likely to engage with those that we don´t. With today´s Internet users coming from a variety of cultural backgrounds, it is not realistic to provide one interface design that is perceived as appealing by everyone. We therefore developed an approach to cultural adaptivity, which enables an automatic composition of personalized interfaces by taking into account a user´s current and former countries of residences. To exemplify the approach, we created a Web application that offers more than 115000 different versions of its interface in order to adequately adapt to various combinations of different national cultures. Our evaluations of the Web application with participants from Rwanda, Switzerland, and Thailand, as well as with multicultural users from all over the world, demonstrated that the approach is able to anticipate 61% of user preferences on average (compared to 33% that the system achieved when randomly generating its interfaces). Moreover, the results of an experiment with 41 multicultural participants showed that they were significantly faster with their personalized version compared to a standard US interface, they needed fewer clicks to complete tasks, and made fewer errors. These results were also supported by participants´ subjective impressions of appeal and work efficiency, showing that cultural adaptivity is a feasible way to increase the user experience for a multicultural audience. Zusammenfassung Unser kulturelle Hintergrund beeinflusst welche Webseiten wir als schön und leicht benutzbar empfinden und mit welchen wir uns näher beschäftigen. Mit der grossen Vielzahl verschiedener Benutzerkulturen im Internet ist es daher nicht mehr realistisch, Webseiten mit einem Standarddesign anzubieten und damit jedem Geschmack gerecht werden zu wollen. Wir haben daher eine Methode erarbeitet, die es erlaubt, automatisch auf den persönlichen kulturellen Hintergrund einer Person abgestimmte Benutzeroberflächen zusammenzustellen. Um die Methode zu veranschaulichen haben wir eine Webapplikation entwickelt, die sich mit mehr als 115.000 verschiedenen Kompositionsmöglichkeiten ihrer Oberfläche an die Vorlieben einer grossen Anzahl verschiedener Landeskulturen, sowie an multikulturelle Benutzer, die in mehreren Ländern gelebt haben, anpassen kann. Evaluationen dieser Webapplikation in Ruanda, der Schweiz, Thailand, sowie mit multikulturellen Benutzern aus den verschiedensten Teilen der Welt, zeigten, dass unsere Methode durchschnittlich 61% der Benutzerpräferenzen richtig vorhersagen kann (verglichen mit 33%, die durch zufällig generierte Oberflächen erreicht werden konnten). In einem weiteren Experiment mit 41 multikulturellen Teilnehmern konnten wir zeigen, dass diese effizienter mit ihrer personalisierten Version arbeiten konnten, als mit der US-Version derselben Webapplikation. Die Teilnehmer brauchten zudem weniger Klicks, um die ihnen gestellten Aufgaben zu erledigen und machten weniger Fehler. Die Resultate wurden durch die subjektiven Eindrücke der Teilnehmer bestätigt, die das Aussehen und die Benutzbarkeit der personalisierten Version im Durchschnitt als besser bewerteten. Kulturelle Adaptivität hat sich daher als eine praktikable Methode herausgestellt, um das Benutzererlebnis für eine multikulturelle Zielgruppe zu verbessern.