Flerken

Introduzione

Command Line Obfuscation (CLOB) si è dimostrato essere un fattore non trascurabile nei malware fileless o negli attori malintenzionati che "vivono della terra". Con decine di strumenti di offuscamento osservati in natura, al contrario si possono trovare poche contromisure adeguate. In questo talk, presentiamo Flerken, un approccio di rilevamento dell'offuscamento che funziona sia per i comandi Windows (Powershell e CMD) che Linux (Bash). A nostra conoscenza, Flerken è la prima soluzione che supporta la funzionalità di rilevamento dell'offuscamento cross-platform.

Questo talk condivide innanzitutto alcune osservazioni chiave su CLOB come i suoi vettori di attacco e le strategie di analisi. Poi forniamo una progettazione dettagliata di Flerken. La descrizione è suddivisa in due parti, ovvero Kindle (per Windows) e Octopus (per Linux). Rispettivamente, mostreremo come la leggibilità umana possa fungere da efficace caratteristica statistica contro l'offuscamento PS/CMD, e come l'analisi sintattica dinamica possa essere adottata per eliminare falsi positivi/negativi contro CLOB Bash. L'efficacia di Flerken viene valutata tramite campioni di comandi rappresentativi black/white ed esperimenti sulle prestazioni.

Qui di seguito, evidenziamo le proprietà funzionali che Flerken soddisfa fondamentalmente:

• Scalabilità. Flerken supporta il rilevamento dell'offuscamento cross-platform. Inoltre, Flerken può aiutare a realizzare il bubbling in tempo reale dell'offuscamento nei sistemi EDR server (con una scala dell'ordine di milioni).