Adobe lanceert gratis "virusscanner"
Adobe heeft een open source tool gelanceerd waarmee analisten en security professionals kunnen controleren of er geen malware in binaire bestanden verstopt zit. De Malware Classifier-tool gebruikt "machine learning algorithms" om Win32 binaire bestanden, zoals EXE en DLLs, te classificeren. Daarbij wordt er naar zeven belangrijke kenmerken van een bestand gekeken. Aan de hand van de controle door de vier "classifiers" die de tool gebruikt, komt er volgens een oordeel uit of het bestand schoon of kwaadaardig is, of dat het dit niet kon controleren. Dat verschijnt het oordeel onbekend.
De tool is ontwikkeld aan de hand van de J48, J48 Graft, PART en Ridor machine-learning algoritmes die een dataset van 100.000 kwaadaardige en 16.000 schone programma's analyseerden. De gratis tool is te downloaden via Sourceforge.
Het is trouwens geen virus scanner. Het beoordeeld code op aanwezigheid van malware en is een tool ontwikkelaars.
Het heeft wel een ander probleem: klassificatie is niet perfect en zal false positives opleveren. Dus als het zegt dat $randomprogwatjenetgedownloadhebt op een virus lijkt, heb je dan een 0day te pakken, of is het gewoon een misklassificatie?
Het is trouwens geen virus scanner. Het beoordeeld code op aanwezigheid van malware en is een tool ontwikkelaars.
http://en.wikipedia.org/wiki/Antivirus_software#Heuristics
Niets is gratis op het Internet, dit moest er wel van komen, lang leve Adobe, Apple en google
Ik moet u helaas tegenspreken. De heuristics beperken zich over het algemeen over een statisch template, waar virussen op bepaalde plekken af mogen wijken. Dit is allemaal in de heuristics bepaald. Je hebt hiermee inderdaad de mogelijkheid nieuwe versies van bekende virussen op te pakken; maar dit is nog steeds geen machine learning. De adobe tool daarintegen is van wat ik ervan heb begrepen een soort bayesian filter welk je (genoeg) geclassificeerde "virus" en "niet virus" ingooit, zonder te zeggen wat het dan wel of niet een virus maakt. Het filter zal vervolgens op magische wijze (niet helemaal, maar de preciese hoe is niet belangrijk) bepalen wat dan wel of geen virus is. Dit is significant anders dan heuristics
Daarbij wordt er naar zeven belangrijke kenmerken van een bestand gekeken.[...]
self.DebugSize = self.pe.OPTIONAL_HEADER.DATA_DIRECTORY[6].Size
self.ImageVersion = ((self.pe.OPTIONAL_HEADER.MajorImageVersion*100 +self.pe.OPTIONAL_HEADER.MinorImageVersion)*1000
self.IatRVA = self.pe.OPTIONAL_HEADER.DATA_DIRECTORY[1].VirtualAddress
self.ExportSize = self.pe.OPTIONAL_HEADER.DATA_DIRECTORY[0].Size
self.ResourceSize = self.pe.OPTIONAL_HEADER.DATA_DIRECTORY[2].Size
self.VirtualSize2 = self.pe.sections[1].Misc_VirtualSize
self.NumberOfSections = self.pe.FILE_HEADER.NumberOfSections
Niet echt representatief voor alle mogelijke kenmerken waardoor een programma kwaadaardig zou kunnen zijn. Ik zal niet ingaan waarom deze controlles niet voldoende zijn (geen ideeen geven :-))
die een dataset van 100.000 kwaadaardige en 16.000 schone programma's analyseerden [...]
Maar het was goed genoeg om bij een ticket voor een conferentie te krijgen ;-)
http://infosecsouthwest.com/lectures.html#sftcm
Classificaties algoritmes gaan waarschijnlijk een hele grote rol spelen in de toekomst. Toen ik las dit door Adobe gebruikt wordt, stond ik er positief tegenover. Alleen met de data die je geeft, zie ik inderdaad ook dat het niet erg representatief is :p
Voorbeeld link:
https://valkyrie.comodo.com/Result.html?sha1=c00b1f13739d865a109c17fe7382e617116addde
17 'Static' detectors die mogelijk verdacht gedrag aangeven in de code.
Dus geen 'draai in een VM en kijk wat er gebeurt' maar een statische statistische analyse + voorspelling.
Het is trouwens geen virus scanner. Het beoordeeld code op aanwezigheid van malware en is een tool ontwikkelaars.
edit: Dit is ironisch bedoeld, niet sarcastisch. De opmerking over Adobe was wel sarcastisch bedoelt. Een beetje in de trant van Zak McKracken die ook strooide met 'krantenkoppen'. Maar misschien is dit te lang geleden voor vele lezers hier. Ik word oud :-/
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
