Exploitation des signaux de canaux auxiliaires pour la classification des malwares IoT et la détection des rootkits.

Résumé :

L’Internet des objets est constitué de périphériques dont le nombre et la complexité augmentent de manière exponentielle. Ils utilisent une variété de logiciels et de micrologiciels personnalisés sans tenir compte des problèmes de sécurité, ce qui en fait une cible attrayante pour les cybercriminels. La détection des malware reposant sur des caractéristiques statiques et dynamiques se heurte encore à diverses difficultés, telles que les techniques d’empaquetage ou d’obfuscation, ou la possibilité d’échapper à la surveillance sandbox. Contrairement aux systèmes informatiques et aux serveurs, les systèmes cyber-physiques embarqués peuvent manquer de ressources ou d’accessibilité pour les outils anti-malware. Nous présenterons des méthodes qui ne nécessitent pas d’altération du dispositif et qui peuvent être déployées de manière indépendante sans aucune surcharge en exploitant l’émanation électromagnétique par radio. Les contributions de cette thèse de doctorat sont séparées en deux parties différentes. Premièrement, nous présentons une nouvelle approche qu’un analyste malware peut utiliser pour recueillir des informations exactes sur le type et l’identité des malwares, même en présence de techniques d’obfuscation qui peuvent entraver l’analyse. De plus, nous présentons le système ULTRA à faible coût, qui est la première solution de type "wave-and-play", où il suffit d’agiter une sonde sur le dispositif pour voir instantanément quel rootkit est infecté. ULTRA a une spécification qui facilite la découverte des rootkits dans un système en temps réel sans qu’il soit nécessaire de modifier le dispositif ou d’exiger des logiciels en surveillant deux types distincts d’appâts qui sont capables d’exposer le comportement des rootkits furtifs.