Detekce internetových hrozeb jazykem YARA

Abstract

Táto práca rieši návrh nových metód pre detekciu webových hrozieb pomocou jazyka YARA. Rozširujúce metódy sú integrované do nástroja YARA-X cez novo-implementované moduly, ktoré zdokonalujú možnosti jazyka YARA a jeho detekciu hľadaných vzorov a rysov. Webové hrozby, na ktoré sa práca zameriava, sú hrozby vyskytujúce sa v emailoch a na webových stránkach. Pri emailoch ide o najbežnejší formát EML a formát Outlook MSG spoločnosti Microsoft. Pri webových stránkach je skúmaná štruktúra dokumentov HTML a analyzovaný JavaScript kód. Analyzátor JavaScript kódu využíva poznatky z teórie prekladačov pre účely odhaľovania rysov v obfuskovanom kóde. Analýza a extrakcia kľúčových dát v daných formátoch je integrovaná do samostatných modulov nástroja YARA-X.

This work deals with the design of new methods for detecting web threats using the YARA language. Extension methods are integrated into the YARA-X tool through newly implemented modules that improve the capabilities of the YARA language and its detection of the desired patterns and features. Web threats, which the work focuses on, are threats occurring in emails and on websites. For e-mails, the most common EML format and Microsoft's Outlook MSG format are inspected. For websites, the structure of HTML documents is examined and JavaScript code is analyzed. The JavaScript analyzer uses knowledge from compiler theory to detect features in obfuscated code. The analysis and extraction of key data in the relevant formats is integrated into separate modules of the YARA-X tool.