Análisis de la capacidad de detección e identificación de Malware basado en tráfico de red mediante IoC

Abstract

En la memoria se trata la capacidad de detección de malware que proporcionan los indicadores de compromiso. En primer lugar se aporta una base teórica necesaria, comenzando por teoría general sobre la ciberseguridad, amenazas informáticas, malware y estudio de malware, y se continúa revisando la teoría de inteligencia sobre amenazas y de indicadores de compromiso. Tras revisar la teoría se proponen unas determinadas herramientas de software libre para realizar el estudio práctico en el sistema operativo linux, orientado a detectar muestras malware dirigidas dicho sistema. En este estudio se ha procedido a utilizar indicadores de compromisos, tanto obtenidos de repositorios, como generados de manera manual para algunas muestras, utilizando para todo las herramientas Cuckoo Sandbox y Loki ioc-scanner. Además se ha utilizado la plataforma MISP para el intercambio de inteligencia de amenazas para gestionar los Indicadores de Compromiso y los análisis realizados con Cuckoo Sandbox. Tras exponer todo lo realizado en el estudio, se comentan las conclusiones extraídas, tanto sobre el uso de los indicadores de compromiso, así como sobre las herramientas utilizadas, las cuales reflejan que la importancia de contar con indicadores de compromiso de calidad, y los adecuados, para realizar con éxito la detección e identificación de malware. Además se hace notar la falta de herramientas de software libre para linux de análisis de malware, que generen indicadores de compromiso, y que los utilicen para detección de malware. Al final de la memoria se encuentran unos apéndices que muestran como instalar y configurar las herramientas empleadas en el estudio.

In this memory it is discussed the capability of the malware detection using indicators of compromise (IoC). Firstly, a theoretical basis is provided, composed by general theory of cybersecurity, computer threats, malware and malware study, and then it is profundiced at the threat intelligence and indicators of compromise theory. After reviewing the theory, certaing open source tools for linux are proposed to carry out the practical study, which intention is to detect malware samples directed to the linux system using indicators of compromise. At the study have been used indicators of compromise that have been obtained from online repositories, and hasve been generated manualy for some specific malware samples. The tools used for the detection are Cuckoo Sandbox and Loki ioc-scanner. In addition, the MISP platform has been used managing the Indicators of Compromise and the analyzes carried out with the Cuckoo Sandbox. After exposing everything done in the study, the conclusions drawn are discussed, both on the use of indicators of compromise, as well as on the tools used, which reflect the importance of having quality commitment indicators, and the appropriate ones, to successfully detect and identify malware. In addition, the lack of open source tools for linux that analyze malware to generate indicators of compromise and use them to detect it is noted. At the end of the memory there are some appendices that show how to install and configure the tools used in the study.