Analýza SSL/TLS parametrů v šifrovaných přenosech malwaru

Daniela Belajová

Bachelor's thesis

Analysis of SSL/TLS handshakes in malware encrypted traffic

Abstract:

Jedným zo súčasných trendov v oblasti kyberbezpečnosti je zneužívanie šifrovanej sieťovej komunikácie na maskovanie činnosti malvéru a skomplikovanie jeho detekcie. Šifrovanie síce zabezpečuje dôvernosť prenášaných informácii, ale súčasne znemožňuje využitie niektorých detekčných metód. V tejto práci sa sústredím na SSL/TLS protokol, ktorý patrí medzi najrozšírenejšie šifrovacie protokoly zaisťujúce bezpečnú komunikáciu v súčasných sieťach. Hlavným cieľom tejto práce je zanalyzovať SSL/TLS šifrovanú komunikáciu generovanú malvérom v nedávnych malvérových kampaniach zneužívajúcich šifrovanie na zakrytie svojej aktivity, sústrediac sa na metadáta protokolu z úvodného nadviazania spojenia a na základe porovnania výsledkov analýzy s bežnou šifrovanou komunikáciou, nájsť možné rozlišovacie znaky, ktoré by umožnili identifikovať malvér v štandardnej šifrovanej komunikácii.

Abstract:

One of the current trends in cybersecurity is abusing encrypted network traffic to mask a malware activity and complicate its detection. Although encryption ensures the confidentiality of transmitted data, at the same time it prevents the use of some detection methods. In this bachelor's thesis, I focus on the SSL/TLS protocol, which is one of the most widespread encryption protocols providing secure communication in nowadays networks. The main aim of this work is to analyze the SSL/TLS traffic generated by malware in recent malware campaigns misusing encryption to hide their activity, concentrating on protocol metadata from the initial handshake of the connection and based on the results of comparison with benign encrypted traffic, find possible distinctive characteristics that would allow malware to be identified in benign encrypted traffic.

Keywords

SSL/TLS protocol, SSL/TLS handshake, encrypted traffic, analysis, malware, botnet, C&, C server, pcap, detection

Language used: English

Date on which the thesis was submitted / produced: 13. 12. 2018

Thesis defence

• Date of defence: 8. 2. 2019
• Supervisor: Mgr. Stanislav Špaček
• Reader: RNDr. Milan Čermák

Masaryk University

Faculty of Informatics

Bachelor programme / field:
Informatics / Computer Networks and Communication