Disguised Executable Files in Spear-Phishing Emails: Detecting the Point of Entry in Advanced Persistent Threat

• Autoři: GHAFIR Ibrahim; PŘENOSIL Václav; HAMMOUDEH Mohammad; APARICIO-NAVARRO Francisco J.; RABIE Khaled; JABBAN Ahmad
• Rok publikování: 2018
• Druh: Článek ve sborníku
• Konference: Proceedings of International Conference on Future Networks and Distributed Systems
• Fakulta / Pracoviště MU: Fakulta informatiky
• Doi: http://dx.doi.org/10.1145/3231053.3231097
• Klíčová slova: Cyber attacks; advanced persistent threat; spear-phishing emails; disguised executable file; malware; intrusion detection system.
• Popis: V posledních letech způsobily počítačové útoky značné finanční ztráty a byly schopny zastavit základní veřejné služby. Mezi ostatními závažnými útoky se Advanced Persistent Threat (APT) objevila jako velká výzva pro kybernetickou bezpečnost, která zasáhla vybrané společnosti a organizace. Hlavními cíli APT jsou exfiltrace dat a špionáž. V rámci životního cyklu APT vytvoří útočník vstupní bod (PoE) do cílové sítě. Toho je obvykle dosaženo instalací malwaru na cílený počítač, aby se zadní dveře otevřely pro budoucí přístup. Běžnou technikou používanou k narušení sítě, která zahrnuje použití sociálního inženýrství, je e-mail s kopií phishingu. Tyto e-maily phishingu mohou obsahovat skryté spustitelné soubory. Tento článek představuje modul skrytých detekovatelných spustitelných souborů (DeFD), který se zaměřuje na detekci skrytých souborů exe přenášených prostřednictvím síťových připojení. Detekce je založena na porovnání typu MIME přenášeného souboru a přípony názvu souboru. Tento modul byl experimentálně vyhodnocen a výsledky ukazují úspěšnou detekci skrytých spustitelných souborů.