Forskere isolerer sorte huludnyttelsessymptomer og fastlægger inficerede twitterkonti

Hvis du ønskede at undersøge, hvordan et program kunne skelne ondsindede e-mail-meddelelser fra almindelig mail, ville du gerne analysere millioner af virkelige verdenseksempler, dårlige og gode. Medmindre du har en ven på NSA, ville du have svært ved at få disse prøver. Twitter er derimod et udsendelsesmedium. Stort set hver tweet er synlig for enhver, der er interesseret. Professor Jeanna Matthews og Ph.D. studerende Joshua White ved Clarkson University udnyttede denne kendsgerning til at finde en pålidelig identifikator for tweets, der blev genereret af Blackhole Exploit Kit. Deres præsentation blev anerkendt som det bedste papir på den 8. internationale konference om ondsindet og uønsket software (Malware 2013 kort).

Enhver med en trang til at sende spam, oprette en hær af bots eller stjæle personlige oplysninger kan komme i gang ved at købe Blackhole Exploit Kit. Matthews rapporterede, at et skøn antyder, at BEK var involveret i mere end halvdelen af ​​alle malware-angreb i 2012. En anden rapport binder BEK til 29 procent af alle ondsindede webadresser. På trods af den nylige anholdelse af Blackholes påståede forfatter er kittet et stort problem, og en af ​​dets mange måder at sprede involverer overtagelse af Twitter-konti. De inficerede konti sender tweets, der indeholder links, der, hvis de klikkes, kræver deres næste offer.

Under linjen

Matthews og White indsamlede flere terabytes data fra Twitter i løbet af 2012. Hun vurderer, at deres datasæt indeholder fra 50 til 80 procent af alle tweets i løbet af denne tid. Hvad de fik, var meget mere end bare 140 karakterer pr. Tweet. Hver tweet's JSON-header indeholder et væld af oplysninger om afsenderen, tweeten og dens forbindelse med andre konti.

De startede med en simpel kendsgerning: nogle BEK-genererede tweets inkluderer specifikke sætninger som "Er du på foto?" eller flere provokerende sætninger som "Du var nøgen på festen) cool foto)." Ved at udvinde det enorme datasæt for disse kendte sætninger identificerede de inficerede konti. Dette giver dem til gengæld nye sætninger og andre markører af BEK-genererede tweets.

Selve papiret er videnskabeligt og komplet, men slutresultatet er ganske enkelt. De udviklede en relativt simpelt beregning, der, når de blev anvendt på output fra en given Twitter-konto, pålideligt kunne adskille inficerede konti fra rene. Hvis kontoen scorer over en bestemt linje, er kontoen fin; under linjen er den inficeret.

Hvem inficerede hvem?

Med denne klare metode til at skelne mellem inficerede konti fortsatte de med at analysere smitteprocessen. Antag, at konto B, som er ren, følger konto A, der er inficeret. Hvis konto B inficeres kort efter et BEK-indlæg af konto A, er chancerne meget gode for, at konto A var kilden. Forskerne modellerede disse forhold i en klyngegraf, der meget tydeligt viste et lille antal konti, der forårsager et stort antal infektioner. Dette er konti oprettet af en Blackhole Exploit Kit-ejer specifikt med det formål at sprede infektion.

Matthews bemærkede, at de på dette tidspunkt havde kapaciteten til at underrette brugere, hvis konti er inficeret, men de mente, at dette kunne ses som for invasivt. Hun arbejder på at komme sammen med Twitter for at se, hvad der kan gøres.

Moderne dataindvinding og big-data-analyseteknikker gør det muligt for forskere at finde mønstre og relationer, der simpelthen ville have været umuligt at nå for kun få år siden. Ikke enhver søgen efter viden lønner sig, men denne gjorde det i spar. Jeg håber inderligt, at professor Matthews formår at få Twitter interesseret i en praktisk anvendelse af denne forskning.