Defending against cybercrime: advances in the detection of malicious servers and the analysis of client-side vulnerabilities

Esta tesis se centra en el análisis de dos aspectos complementarios de la ciberdelincuencia (es decir, el crimen perpetrado a través de la red para ganar dinero). Estos dos aspectos son las máquinas infectadas utilizadas para obtener beneficios económicos de la delincuencia a través de diferentes acciones (como por ejemplo, clickfraud, DDoS, correo no deseado) y la infraestructura de servidores utilizados para gestionar estas máquinas (por ejemplo, C & C, servidores explotadores, servidores de monetización, redirectores). En la primera parte se investiga la exposición a las amenazas de los ordenadores victimas. Para realizar este análisis hemos utilizado los metadatos contenidos en WINE-BR conjunto de datos de Symantec. Este conjunto de datos contiene metadatos de instalación de ficheros ejecutables (por ejemplo, hash del fichero, su editor, fecha de instalación, nombre del fichero, la versión del fichero) proveniente de 8,4 millones de usuarios de Windows. Hemos asociado estos metadatos con las vulnerabilidades en el National Vulnerability Database (NVD) y en el Opens Sourced Vulnerability Database (OSVDB) con el fin de realizar un seguimiento de la decadencia de la vulnerabilidad en el tiempo y observar la rapidez de los usuarios a remiendar sus sistemas y, por tanto, su exposición a posibles ataques. Hemos identificado 3 factores que pueden influir en la actividad de parches de ordenadores victimas: código compartido, el tipo de usuario, exploits. Presentamos 2 nuevos ataques contra el código compartido y un análisis de cómo el conocimiento usuarios y la disponibilidad de exploit influyen en la actividad de aplicación de parches. Para las 80 vulnerabilidades en nuestra base de datos que afectan código compartido entre dos aplicaciones, el tiempo entre el parche libera en las diferentes aplicaciones es hasta 118 das (con una mediana de 11 das) En la segunda parte se proponen nuevas técnicas de sondeo activos para detectar y analizar las infraestructuras de servidores maliciosos. Aprovechamos técnicas de sondaje activo, para detectar servidores maliciosos en el internet. Empezamos con el análisis y la detección de operaciones de servidores explotadores. Como una operación identificamos los servidores que son controlados por las mismas personas y, posiblemente, participan en la misma campaña de infección. Hemos analizado un total de 500 servidores explotadores durante un período de 1 año, donde 2/3 de las operaciones tenían un único servidor y 1/2 por varios servidores. Hemos desarrollado la técnica para detectar servidores explotadores a diferentes tipologías de servidores, (por ejemplo, C & C, servidores de monetización, redirectores) y hemos logrado escala de Internet de sondeo para las distintas categorías de servidores maliciosos. Estas nuevas técnicas se han incorporado en una nueva herramienta llamada CyberProbe. Para detectar estos servidores hemos desarrollado una novedosa técnica llamada Adversarial Fingerprint Generation, que es una metodología para generar un modelo único de solicitud-respuesta para identificar la familia de servidores (es decir, el tipo y la operación que el servidor apartenece). A partir de una fichero de malware y un servidor activo de una determinada familia, CyberProbe puede generar un fingerprint válido para detectar todos los servidores vivos de esa familia. Hemos realizado 11 exploraciones en todo el Internet detectando 151 servidores maliciosos, de estos 151 servidores 75% son desconocidos a bases de datos publicas de servidores maliciosos. Otra cuestión que se plantea mientras se hace la detección de servidores maliciosos es que algunos de estos servidores podrán estar ocultos detrás de un proxy inverso silente. Para identificar la prevalencia de esta configuración de red y mejorar el capacidades de CyberProbe hemos desarrollado RevProbe una nueva herramienta a través del aprovechamiento de leakages en la configuración de la Web proxies inversa puede detectar proxies inversos. RevProbe identifica que el 16% de direcciones IP maliciosas activas analizadas corresponden a proxies inversos, que el 92% de ellos son silenciosos en comparación con 55% para los proxies inversos benignos, y que son utilizado principalmente para equilibrio de carga a través de múltiples servidores. ABSTRACT In this dissertation we investigate two fundamental aspects of cybercrime: the infection of machines used to monetize the crime and the malicious server infrastructures that are used to manage the infected machines. In the first part of this dissertation, we analyze how fast software vendors apply patches to secure client applications, identifying shared code as an important factor in patch deployment. Shared code is code present in multiple programs. When a vulnerability affects shared code the usual linear vulnerability life cycle is not anymore effective to describe how the patch deployment takes place. In this work we show which are the consequences of shared code vulnerabilities and we demonstrate two novel attacks that can be used to exploit this condition. In the second part of this dissertation we analyze malicious server infrastructures, our contributions are: a technique to cluster exploit server operations, a tool named CyberProbe to perform large scale detection of different malicious servers categories, and RevProbe a tool that detects silent reverse proxies. We start by identifying exploit server operations, that are, exploit servers managed by the same people. We investigate a total of 500 exploit servers over a period of more 13 months. We have collected malware from these servers and all the metadata related to the communication with the servers. Thanks to this metadata we have extracted different features to group together servers managed by the same entity (i.e., exploit server operation), we have discovered that 2/3 of the operations have a single server while 1/3 have multiple servers. Next, we present CyberProbe a tool that detects different malicious server types through a novel technique called adversarial fingerprint generation (AFG). The idea behind CyberProbe’s AFG is to run some piece of malware and observe its network communication towards malicious servers. Then it replays this communication to the malicious server and outputs a fingerprint (i.e. a port selection function, a probe generation function and a signature generation function). Once the fingerprint is generated CyberProbe scans the Internet with the fingerprint and finds all the servers of a given family. We have performed a total of 11 Internet wide scans finding 151 new servers starting with 15 seed servers. This gives to CyberProbe a 10 times amplification factor. Moreover we have compared CyberProbe with existing blacklists on the internet finding that only 40% of the server detected by CyberProbe were listed. To enhance the capabilities of CyberProbe we have developed RevProbe, a reverse proxy detection tool that can be integrated with CyberProbe to allow precise detection of silent reverse proxies used to hide malicious servers. RevProbe leverages leakage based detection techniques to detect if a malicious server is hidden behind a silent reverse proxy and the infrastructure of servers behind it. At the core of RevProbe is the analysis of differences in the traffic by interacting with a remote server.

Determinación de los parámetros de diseño a aplicar al proyecto de grandes yates a motor, en base a nuevos requerimientos de eficiencia energética y protección del medioambiente marino

Durante los últimos años, la construcción de grandes yates ha evolucionado hacia conceptos y diseños más complejos dónde se ha priorizado en muchas ocasiones la estética arquitectónica y exigencias de confort de los armadores y operadores dejando en segundo plano aspectos clave de seguridad. Diferentes Organismos Internacionales y las Sociedades de Clasificación han venido adaptando sus requisitos a la problemática específica de este tipo de buques, tratando de compatibilizar tendencias de diseño con exigencias de resistencia, integridad estructural, estanqueidad y seguridad entre otras. En la actualidad, la construcción de grandes yates con esloras incluso por encima de los 100 metros, el aumento del número de pasajeros por encima del límite tradicional de 12, las nuevas tendencias de ahorro energético y protección medioambiental que se están implantando en la industria en general y marítima en particular, plantean una serie de desafíos tanto a los diseñadores como a las Sociedades de Clasificación que deben avanzar en sus reglamentaciones para cubrir estos y otros aspectos. Son precisamente estos aspectos medioambientales, tradicionalmente relegados en la industria de grandes yates los que están ocupando en la actualidad un primer plano en los desarrollos de normativa de diferentes Organismos Internacionales y Nacionales. El impacto que estas nuevas normativas van a tener sobre el diseño de grandes yates a motor centra el desarrollo de esta Tesis. Hasta donde ha podido conocer el doctorando, esta es la primera vez que en una Tesis Doctoral se abordan los principales mecanismos que regulan el diseño y la construcción de grandes yates a motor, se estudian y analizan las regulaciones internacionales en materia de protección medioambiental y de eficiencia energética aplicables a los yates, se seleccionan y describen un conjunto de tecnologías maduras de carácter medioambiental, susceptibles de ser empleadas en yates y se determina los parámetros y aspectos del diseño a aplicar al proyecto de grandes yates a motor como resultado de la aplicación de estas tecnologías, analizados bajo la perspectiva de la Sociedad de Clasificación y de los Organismos Internacionales. La Tesis comienza con un análisis de la industria de construcción de grandes yates, la flota existente de grandes yates, la cartera actual de pedidos y la evolución esperada del mercado. Aquí se pone de manifiesto que a pesar de la crisis económica global de los últimos años, este mercado goza relativamente de buena salud y las previsiones son favorables, particularmente para el sector en Europa. A continuación se aborda el estado del arte del diseño de yate grande, sus peculiaridades, particularmente estructurales y de armamento, que le diferencian de otros tipos de buques y las tendencias en su diseño. Se pone de manifiesto cómo el proyecto de estos yates ha evolucionado hacia yates de gran tamaño y complejidad técnica, debido a la demanda y necesidades actuales y cómo ha influido en aspectos como la disposición estructural. Seguidamente se describen los principales mecanismos que regulan el diseño y construcción de grandes yates, particularmente el Código de Grandes Yates Comerciales de la Maritime & Coastguard Agency del Reino Unido, y las Reglas y Reglamentos de la Sociedad de Clasificación Lloyd’s Register para la Clasificación de yates; por ser ambas organizaciones las que lideran el Registro y la Clasificación respectivamente de este tipo de buques, objeto del estudio. El doctorando ejerce su actividad profesional como inspector de Lloyd’s Register en una oficina técnica de apoyo y evaluación de diseño, siendo especialista en grandes yates, lo que ha permitido exponer de primera mano el punto de vista de la Sociedad de Clasificación. En el siguiente Capítulo se describen las principales reglamentaciones internacionales de carácter medioambiental que afectan al diseño, construcción y operación de los yates, algunas de las cuales, como es el caso del Convenio Internacional para el Control y la Gestión del Agua de Lastre y Sedimentos de los buques (BWM 2004) aún no ha entrado en vigor a la fecha de terminación de esta Tesis. Seguidamente se realiza una selección de tecnologías desde el punto de vista de protección medioambiental y ahorro energético y su aplicación al diseño y construcción de grandes yates. Algunas de estas tecnologías son maduras y ya habían sido utilizadas con éxito en otros tipos de buques, pero su aplicación a los yates entraña ciertos desafíos que se describen en este Capítulo. A continuación se determinan y analizan los principales parámetros de diseño de los yates grandes a motor como consecuencia de las tecnologías estudiadas y se indican una serie de aspectos de diseño bajo la perspectiva de la Sociedad de Clasificación y de los Organismos Marítimos Internacionales. Finalmente se llega a una serie de conclusiones y se identifican futuras líneas de investigación en relación a las tecnologías descritas en este trabajo. ABSTRACT In recent years, the building of large yachts has evolved into more complex concepts and designs where often prioritized architectural aesthetics and comfort requirements of owners and operators leaving in the background key security aspects. Several international organizations and classification societies have been adapting their requirements to the specific problems of this type of vessel, trying to reconcile demands design trends with resistance, structural integrity, watertightness and safety among others. At present, the building of large yachts with lengths even above 100 meters, the increase in passenger numbers over the traditional limit of 12, new trends of energy saving and environmental protection are being implemented in the marine industry in particular, they pose a number of challenges to both designers and classification societies that should update and improve their regulations to cover these and other aspects. It is precisely these environmental issues, traditionally relegated to the large yacht industry, which are currently occupying center stage in the development of rules of different international and national bodies. The impact that these new standards will have on the design of large motor yachts focuses the development of this thesis. As far as it is known, this is the first time in a doctoral thesis the main mechanisms regulating the design and construction of large motor yachts are addressed, the international regulations on environmental protection and energy efficiency requirements for yachts are studied and analyzed, a set of mature environmental technologies, capable of being applied to yachts are selected and described, the parameters and design aspects to be applied to large yacht projects as a result of the application of these technologies are determined and analyzed from the perspective of the Classification Society and international organizations. The thesis begins with an analysis of the shipbuilding industry of large yachts, the existing fleet of large yachts, the current backlog and the expected market developments. Here it becomes clear that despite the global economic crisis of recent years, this market enjoys relatively good health and prospects are favorable, particularly for the sector in Europe. Then the state of the art of large yacht design, its peculiarities, particularly structural and outfitting, that differentiate it from other types of ships and trends in design is discussed. It shows how the project of these yachts has evolved to large yachts and technical complexity, due to the demand and needs and how it has influenced the structural arrangement aspects. Then the main mechanisms regulating the design and construction of large yachts, particularly the Large Commercial Yacht Code developed by the Maritime & Coastguard Agency (UK) and the Lloyd’s Register Rules & Regulations for the Classification of Special Service Craft including yachts are described; the two organizations to be leading the registration and classification respectively of such vessels under study. The doctoral student practices his profession as a senior specialist to Lloyd’s Register in a technical support office, dealing with the design assessment of large yachts, which allowed exposing firsthand view of the Classification Society. In the next chapter describes the main international environmental regulations, affecting the design, construction and operation of yachts, some of which, such as the International Convention for the Control and Management of Ships' Ballast Water and Sediments (BWM 2004) has not yet entered into force at the date of completion of this thesis. Following is a selection of technologies from the point of view of environmental protection and energy saving and its application to design and construction of large yachts. Some of these technologies are mature and have already been used successfully in other ship types, but their application to yachts entails certain challenges that are described in this chapter. Then identifies and analyzes the main design parameters of large motor yachts as a result of the technologies studied and a number of design aspects are given from the perspective of Classification Society and international maritime organizations. Finally, a number of conclusions are exposed, and future research is identified in relation to the technologies described in this Thesis.

Análisis de las herramientas ORCC y Vivado HLS para la Síntesis de Modelos de Flujo de Datos RVC-CAL

En este Proyecto Fin de Grado se ha realizado un estudio de cómo generar, a partir de modelos de flujo de datos en RVC-CAL (Reconfigurable Video Coding – CAL Actor Language), modelos VHDL (Versatile Hardware Description Language) mediante Vivado HLS (Vivado High Level Synthesis), incluida en las herramientas disponibles en Vivado de Xilinx. Una vez conseguido el modelo VHDL resultante, la intención es que mediante las herramientas de Xilinx se programe en una FPGA (Field Programmable Gate Array) o el dispositivo Zynq también desarrollado por Xilinx. RVC-CAL es un lenguaje de flujo de datos que describe la funcionalidad de bloques funcionales, denominados actores. Las funcionalidades que desarrolla un actor se definen como acciones, las cuales pueden ser diferentes en un mismo actor. Los actores pueden comunicarse entre sí y formar una red de actores o network. Con Vivado HLS podemos obtener un diseño VHDL a partir de un modelo en lenguaje C. Por lo que la generación de modelos en VHDL a partir de otros en RVC-CAL, requiere una fase previa en la que los modelos en RVC-CAL serán compilados para conseguir su equivalente en lenguaje C. El compilador ORCC (Open RVC-CAL Compiler) es la herramienta que nos permite lograr diseños en lenguaje C partiendo de modelos en RVC-CAL. ORCC no crea directamente el código ejecutable, sino que genera un código fuente disponible para ser compilado por otra herramienta, en el caso de este proyecto, el compilador GCC (Gnu C Compiler) de Linux. En resumen en este proyecto nos encontramos con tres puntos de estudio bien diferenciados, los cuales son: 1. Partimos de modelos de flujo de datos en RVC-CAL, los cuales son compilados por ORCC para alcanzar su traducción en lenguaje C. 2. Una vez conseguidos los diseños equivalentes en lenguaje C, son sintetizados en Vivado HLS para conseguir los modelos en VHDL. 3. Los modelos VHDL resultantes serian manipulados por las herramientas de Xilinx para producir el bitstream que sea programado en una FPGA o en el dispositivo Zynq. En el estudio del segundo punto, nos encontramos con una serie de elementos conflictivos que afectan a la síntesis en Vivado HLS de los diseños en lenguaje C generados por ORCC. Estos elementos están relacionados con la manera que se encuentra estructurada la especificación en C generada por ORCC y que Vivado HLS no puede soportar en determinados momentos de la síntesis. De esta manera se ha propuesto una transformación “manual” de los diseños generados por ORCC que afecto lo menos posible a los modelos originales para poder realizar la síntesis con Vivado HLS y crear el fichero VHDL correcto. De esta forma este documento se estructura siguiendo el modelo de un trabajo de investigación. En primer lugar, se exponen las motivaciones y objetivos que apoyan y se esperan lograr en este trabajo. Seguidamente, se pone de manifiesto un análisis del estado del arte de los elementos necesarios para el desarrollo del mismo, proporcionando los conceptos básicos para la correcta comprensión y estudio del documento. Se realiza una descripción de los lenguajes RVC-CAL y VHDL, además de una introducción de las herramientas ORCC y Vivado, analizando las bondades y características principales de ambas. Una vez conocido el comportamiento de ambas herramientas, se describen las soluciones desarrolladas en nuestro estudio de la síntesis de modelos en RVC-CAL, poniéndose de manifiesto los puntos conflictivos anteriormente señalados que Vivado HLS no puede soportar en la síntesis de los diseños en lenguaje C generados por el compilador ORCC. A continuación se presentan las soluciones propuestas a estos errores acontecidos durante la síntesis, con las cuales se pretende alcanzar una especificación en C más óptima para una correcta síntesis en Vivado HLS y alcanzar de esta forma los modelos VHDL adecuados. Por último, como resultado final de este trabajo se extraen un conjunto de conclusiones sobre todos los análisis y desarrollos acontecidos en el mismo. Al mismo tiempo se proponen una serie de líneas futuras de trabajo con las que se podría continuar el estudio y completar la investigación desarrollada en este documento. ABSTRACT. In this Project it has made a study of how to generate, from data flow models in RVC-CAL (Reconfigurable Video Coding - Actor CAL Language), VHDL models (Versatile Hardware Description Language) by Vivado HLS (Vivado High Level Synthesis), included in the tools available in Vivado of Xilinx. Once achieved the resulting VHDL model, the intention is that by the Xilinx tools programmed in FPGA or Zynq device also developed by Xilinx. RVC-CAL is a dataflow language that describes the functionality of functional blocks, called actors. The functionalities developed by an actor are defined as actions, which may be different in the same actor. Actors can communicate with each other and form a network of actors. With Vivado HLS we can get a VHDL design from a model in C. So the generation of models in VHDL from others in RVC-CAL requires a preliminary phase in which the models RVC-CAL will be compiled to get its equivalent in C. The compiler ORCC (Open RVC-CAL Compiler) is the tool that allows us to achieve designs in C language models based on RVC-CAL. ORCC not directly create the executable code but generates an available source code to be compiled by another tool, in the case of this project, the GCC compiler (GNU C Compiler) of Linux. In short, in this project we find three well-defined points of study, which are: 1. We start from data flow models in RVC-CAL, which are compiled by ORCC to achieve its translation in C. 2. Once you realize the equivalent designs in C, they are synthesized in Vivado HLS for VHDL models. 3. The resulting models VHDL would be manipulated by Xilinx tools to produce the bitstream that is programmed into an FPGA or Zynq device. In the study of the second point, we find a number of conflicting elements that affect the synthesis Vivado HLS designs in C generated by ORCC. These elements are related to the way it is structured specification in C generated ORCC and Vivado HLS cannot hold at certain times of the synthesis. Thus it has proposed a "manual" transformation of designs generated by ORCC that affected as little as possible to the original in order to perform the synthesis Vivado HLS and create the correct file VHDL models. Thus this document is structured along the lines of a research. First, the motivations and objectives that support and hope to reach in this work are presented. Then it shows an analysis the state of the art of the elements necessary for its development, providing the basics for a correct understanding and study of the document. A description of the RVC-CAL and VHDL languages is made, in addition an introduction of the ORCC and Vivado tools, analyzing the advantages and main features of both. Once you know the behavior of both tools, the solutions developed in our study of the synthesis of RVC-CAL models, introducing the conflicting points mentioned above are described that Vivado HLS cannot stand in the synthesis of design in C language generated by ORCC compiler. Below the proposed solutions to these errors occurred during synthesis, with which it is intended to achieve optimum C specification for proper synthesis Vivado HLS and thus create the appropriate VHDL models are presented. Finally, as the end result of this work a set of conclusions on all analyzes and developments occurred in the same are removed. At the same time a series of future lines of work which could continue to study and complete the research developed in this document are proposed.

Encuesta Tesis Doctoral “Transformación bidireccional de código de software visual y texto, para mitigar los efectos de la dislexia en el desarrollo de software”

Esta encuesta corresponde un instrumento de recolección de información diseñada con el fin de poder definir un perfil de los programadores de computadores que padecen de dislexia