Stealth malware techniques : A survey on how stealth malware maintain stealth

Abstract

Tämä työ tutkii piiloutuvien haittaohjelmien tekniikoita isäntäkoneella havaituksi tulemisen välttämiseksi. Työn pääpainona on rootkit-haittaohjelmat ja niiden käyttämät tekniikat, mutta myös haittaohjelmien torjuntaan käytettyjä tekniikoita, haittaohjelmatyyppejä ja eri tapoja välttää havaituksi tuleminen esitellään lyhyesti. Joitakin haittaohjelmien torjuntaan käytettyjä menetelmiä käytetään korostamaan tarvetta peitetekniikoille. On huomattava, että tämä työ ei ole kattava tutkimus ja siksi useita haittaohjelmatyyppejä, sekä haittaohjelmien käyttämiä ja niiden torjuntaan käytettyjä tekniikoita ei huomioida. Tarkoituksena on esitellä yleisimmät ja yksinkertaisimmat tyypit ja tekniikat.

Työ on kirjallisuuskatsaus, johon lähteet on valittu avainsana haulla vertaisarvioiduista akateemisista teksteistä, joista valittiin merkitykselliset lähteet käsin. Lähteitä, jotka eivät ole akateemisia käytetään vain, kun aihealue on niin tarkka, ettei siitä löydy tarpeeksi luotettavaa tai yksityiskohtaista akateemista lähdettä. Tämä koskee vain haittaohjelmatyyppien määritelmiä, kaupallisten järjestelmien määritelmiä ja asiakirjoja koskien haittaohjelmia luonnossa. Tällöin lähdekriitiikkiä on sovellettu siten, että vain aiheen alalla keskeisten tekijöiden tuottamia tekstejä valittiin lähteiksi.

Työ koostuu kolmesta osasta: johdatus haittaohjelmien torjunnan menetelmiin, johdatus haittaohjelmatyyppeihin, sekä lyhyt yhteenveto tekniikoista ja havainnoista.

Vaikka joitakin haittaohjelmien tyyppejä esitellään, on huomattava, että niiden tarkka määrittely on haasteellista abstraktin luonteen ja kyberturvallisuudessa huomattavien tekijöiden antamien epämääräisten, eroavien tai jopa ristiriitaisten määritelmien takia. Havaituksi tulemisen välttämiseksi käytettyjen tekniikoiden — lukuunottamatta hämärtämistekniikoita — huomataan pääasiassa sijoittavan haittaohjelma antiviruksen toiminnan ulottumattomiin. Hämärtämistekniikat puolestaan pyrkivät muuttamaan haittaohjelman ulkoasua ja käyttäytymistä siten, että ne eivät muistuta tunnettujen haittaohjelmien piirteitä, eivätkä siksi tule haivaituksi kuviosovitus tekniikoiden toimesta.