Dynamická analýza malwaru a návrh generického detekčního pravidla pro IDS systémy

Anar Safiyev

Bakalářská práce

Dynamic Analysis of Malware and Design of a Generic Detection Rule for IDS Systems

Anotace:

Bakalářská práce se zabývá analýzou vybraného malware scénáře a návrhem detekčních pravidel pro systémy detekce průniků (IDS). Cílem práce je analyzovat vlastnosti binárního vzorku, identifikovat relevantní indikátory kompromitace (IoC) a vyhodnotit síťové projevy škodlivé komunikace tak, aby bylo možné získané poznatky využít při návrhu detekčních pravidel pro systém Suricata. Praktická část práce kombinuje statickou analýzu vzorku Neris.exe, omezené dynamické pozorování v izolovaném laboratorním prostředí a analýzu síťového provozu zachyceného ve veřejně dostupném datasetu CTU-Malware-Capture-Botnet-50, odpovídajícím stejnému malware scénáři. Statická analýza byla zaměřena na identifikaci základních vlastností vzorku, jeho PE struktury, importovaných knihoven, textových řetězců a známek packingu nebo ochrany. Vzhledem k tomu, že v laboratorním prostředí nebylo možné plně potvrdit runtime chování vzorku, byla hlavní behaviorální a síťová analýza opřena o data z datasetu. Síťová analýza byla zaměřena především na DNS a HTTP komunikaci, z níž byly extrahovány síťové indikátory kompromitace, zejména doménová jména, HTTP hostitelé, URI a další komunikační artefakty. Na základě těchto zjištění byla navržena detekční pravidla pro systém Suricata. Jejich funkčnost byla následně ověřena na škodlivém a kontrolním provozu s cílem posoudit jejich praktickou použitelnost a detekční schopnost v rámci analyzovaného scénáře. Práce přispívá k lepšímu porozumění vztahu mezi analýzou malwaru, indikátory kompromitace a síťovou detekcí. Současně ukazuje, že i v případě omezených výsledků přímé dynamické analýzy lze kombinací statické analýzy a reprodukovatelných síťových dat navrhnout prakticky použitelná detekční pravidla pro systémy IDS.

Abstract:

This bachelor’s thesis focuses on the analysis of a selected malware scenario and the design of detection rules for intrusion detection systems (IDS). The aim of the thesis is to analyze the properties of a binary sample, identify relevant indicators of compromise (IoC), and evaluate the network manifestations of malicious communication to use the obtained findings for the design of detection rules in the Suricata system. The practical part of the thesis combines static analysis of the Neris.exe sample, limited dynamic observation in an isolated laboratory environment, and analysis of network traffic captured in the public CTU-Malware-Capture-Botnet-50 dataset corresponding to the same malware scenario. The static analysis was used to identify the basic characteristics of the sample, its PE structure, imported libraries, textual strings, and indications of packing or protection. Because the runtime behavior of the sample could not be fully confirmed in the laboratory environment, the main behavioral and network analysis was based on the dataset traffic. The network analysis focused primarily on DNS and HTTP communication, from which network-based indicators of compromise were extracted, including domain names, HTTP hosts, URIs, and other communication artifacts. Based on these findings, detection rules for the Suricata system were designed. Their functionality was subsequently tested on malicious and control traffic in order to assess their practical applicability and detection capability within the analyzed scenario. The thesis contributes to a better understanding of the relationship between malware analysis, indicators of compromise, and network-based detection. At the same time, it shows that even when direct dynamic observation of malware behavior is limited, it is still possible to derive practically usable IDS detection rules from a combination of static analysis and reproducible network traffic data.

Klíčová slova

Malware, Dynamická analýza, Indikátory kompromitace (IoC), Systém detekce průniků (IDS), Detekční pravidla, Síťová bezpečnost

Keywords

Malware, Dynamic analysis, Indicators of compromise (IoC), Intrusion Detection System (IDS), Detection Rules, Network security

Jazyk práce: čeština

Datum vytvoření / odevzdání či podání práce: 18. 3. 2026

Obhajoba závěrečné práce

• Vedoucí: Ing. Martin Havránek, Ph.D.
• Oponent: Pavel Ambruz, Ing.

Česká zemědělská univerzita v Praze

Provozně ekonomická fakulta

Bakalářský studijní program:
Informatika