TY - RPRT A1 - Schmitz, Alexander T1 - Einsatz hardwaregestützter Virtualisierungstechnologien in der Malwareanalyse und Angriffserkennung T1 - Hardware-assisted Virtualization for Malware Analysis and Intrusion Detection N2 - Diese Arbeit ist das Ergebnis einer Recherche in den technischen Themengebieten hardwaregestützten Systemvirtualisierung, Virtual-Machine-Introspection (VMI) und VM-Erkennungsmechanismen sowie deren Abwehr. Dabei liegt der Fokus auf dem Einsatz dieser Technologien in der Malwareanalyse oder der Angriffserkennung im Kontext einer EDR-Sensorik. Es werden die grundlegenden Konzepte und Begriffe Systemvirtualisierung eingeführt, erklärt und zu verwandten Gebieten abgegrenzt. Der Weg über die Erweiterung bestehender Schutz-Konzepte moderner CPUs und Betriebssysteme wird beschrieben hin zu Befehlssatzerweiterungen, welche die Hypervisor-Software bei der Bildung der Abstraktionsebenen unterstützen. Dabei wird die Verwendung der Virtualisierungserweiterungen VT-x und AMD-V für die IA32/AMD64-ISA erklärt einschließlich verschiedener Methoden zur Virtualisierung des Paging-Systems. Ein besonderer Fokus liegt dabei auf dem „Second Level Address Translation“-Konzept (SLAT). Neben der Betrachtung der PC-Prozessoren wird auch die Virtualisierungsfunktionalitäten der ARMv8-Architektur erläutert und deren Verwendung beispielhaft beschrieben. Im Kontext der Malwareanalyse und Angriffserkennung ist es besonders relevant, dass Virtualisierungs- und Analyseumgebungen nicht erkannt werden können. Es werden verschiedene Erkennungsansätze und Verfahren diese abzuwehren beschrieben. Um Malware unbemerkt analysieren zu können bietet sich die Analyse über den Hypervisor mittels Virtual-Machine-Introspection (VMI) an. Diese wird erklärt, deren Schwierigkeiten bezüglich des Semantic-Gaps benannt und Möglichkeiten aufgezeigt, diesen Problemen zu begegnen. Zudem werden einige wichtige VMI-Bibliotheken und Verfahren beschrieben. Abschließend werden noch zwei recht unterschiedliche Beispiellösungen kurz betrachtet. Diese sind Drakvuf als Beispiel für eine Malwareanalyse-Sandbox auf Basis von VMI und SimpleVisor, ein minimaler Modell-Hypervisor, der das Hyperjacking-Prinzip verwendet. N2 - This work is the result of an exploration of the topics ardware-assisted full virtualization, virtual machine introspection (VMI) and VM detection mechanisms included prevention techniques. The fokus is on the use of these technologies for malware analysis or EDR sensors. The basic concepts and terms of virtualization are explained and delimited from related terms. The evolution from protection concepts of modern CPUs and operating systems to instruction set extensions for virtualization is shown. The use of the virtualization extensions VT-x and AMD-V is explained. This also includes methods for virtualizing the paging system like shadow page tables and hardware features for second level address translation like EPT and RVI. In addition the use of the virtualization functionalities of the ARMv8-ISA are explained. In the context of malware analysis and EDR sensors, it is particularly relevant that virtualization and analysis environments cannot be detected by malware. Various detection approaches and methods to bypass them are described. In order to analyze malware in an unobserved way, the analysis via virtual machine introspection (VMI) techniques is recommended. The functionality and challenges of VMI are described. The main issue is the semantic gap problem, which is explained and possible ways to deal with it are given. Furthermore some important VMI libraries and thechniques are described. A brief consideration of two sample virtualization solutions concludes the work. These are Drakvuf as an example of a malware analysis sandbox based on VMI and SimpleVisor, a minimal model hypervisor that uses hyperjacking. KW - Hardware-assisted Virtualization KW - Hypervisor KW - VT-x AMD-V ARM KW - VM Detection KW - Virtual Machine Introspection (VMI) Y1 - 2021 U6 - http://nbn-resolving.de/urn/resolver.pl?urn:nbn:de:hbz:1010-opus4-46874 ER - TY - RPRT A1 - Schmitz, Alexander T1 - Ereignisbasierte Systemüberwachung von Windows-PCs T1 - Event-based system monitoring for Windows systems N2 - Diese Arbeit bietet einen Überblick über das Thema der ereignisbasierten Systemüberwachung von Windows-PCs. Die frühe Erkennung von Angriffen und der Ausführung von Schadsoftware auf Windows-Clients bedingt Sensor-Technologien, die Systemereignisse erkennen und protokollieren. Anhand bestimmter Ereignisse oder komplexerer Ereignismuster können illegitime Vorgänge auf Computersystemen erkannt werden. Der Fokus dieser Arbeit liegt darauf einen detaillierten Überblick über diese ereignisbasierte Sensorik für Windows-Endpunkte zu geben, die Systemereignisse erkennt und Ereignis-Objekte mit beschreibenden Attributen liefert. Im Gegensatz dazu wird die Interpretation der bereitgestellten Ereignisdaten und der Musterabgleich in dieser Arbeit nicht behandelt. Zu Beginn werden dafür die elementaren Aspekte und Begriffe einer solchen Sensor-Technologie allgemein erklärt. Dabei werden einige charakterisierende Grundeigenschaften erläutert, anhand derer solche Senor-Verfahren eingeordnet werden können. Zudem wird auf Basis durchgeführter Messungen eine Abschätzung bezüglich der Auftrittsfrequenzen verschiedener Systemereignisse geliefert. Im Hauptteil werden die zwei ereignisbasierten Monitoring-Systeme Event-Tracing-for-Windows (ETW) und Sysmon vorgestellt. Die Funktionalität, Architektur und interne Funktionsweise der beiden Systeme wird detailliert erläutert. Zudem werden ihre charakterisierenden Basiseigenschaften herausgearbeitet, um Stärken und Schwächen zu erkennen. Der ETW-basierte Sensor und SIGMA-Regelscanner Nextron Aurora, der Sysmon-ähnliche Ereignisdaten bereitstellt, wird ebenfalls behandelt. N2 - This thesis is an overview of the topic of event based monitoring of Windows PCs. The early detection of cyberthreat attacks and malware execution on Windows clients requires sensor technologies that detect and log system events. Certain events or more complex event patterns can be used to detect illegitimate behavior on computer systems. The focus of this thesis are these event-based sensors for Windows endpoints, which detect system events and provide event objects with descriptive attributes. The interpretation of the provided event data and pattern matching are not covered in this work. At the beginning, the elementary aspects and terms of such a sensor technology are explained in general. This includes some characterizing basic properties, which can used to classify such sensor technologies. In addition, some estimates of the trigger frequencies of various system events based on own measurements are reported. The two event based monitoring systems Event Tracing for Windows (ETW) and Sysmon are presented in the main part. The usage, functionality, architecture and internals of the two systems are explained in detail. Moreover, their most significant characterizing properties are expounded in order to identify advantages and disadvantages. The ETW based sensor and SIGMA rule scanner Nextron Aurora that provides Sysmon like event data is also covered. KW - Event Tracing for Windows ETW KW - Windows Performance Counter PCW KW - Sysmon KW - Ereignisprotokollierung KW - Systemüberwachung Y1 - 2022 U6 - http://nbn-resolving.de/urn/resolver.pl?urn:nbn:de:hbz:1010-opus4-41984 ER - TY - CHAP A1 - Springer, Raphael A1 - Schmitz, Alexander A1 - Leinweber, Artur A1 - Urban, Tobias A1 - Dietrich, Christian J. T1 - Padding Matters - Exploring Function Detection in PE Files: Data/Toolset T2 - CODASPY '25: Proceedings of the Fifteenth ACM Conference on Data and Application Security and Privacy, June 4-6 2025, Pittsburgh PA USA N2 - Function detection is a well-known problem in binary analysis. While prior work has focused on Linux/ELF, Windows/PE binaries have only partially been considered. This paper introduces FuncPEval, a dataset for Windows x86 and x64 PE files, featuring Chromium and the Conti ransomware, along with ground truth data for 1,092,820 function starts. Utilizing FuncPEval, we evaluate five heuristics-based (Ghidra, IDA, Nucleus, rev.ng, SMDA) and three machine-learning-based (DeepDi, RNN, XDA) function start detection tools. Among these, IDA achieves the highest F1-score (98.44%) for Chromium x64, while DeepDi closely follows (97%) but stands out as the fastest. Towards explainability, we examine the impact of padding between functions on the detection results, finding all tested tools, except rev.ng, are susceptible to randomized padding. The randomized padding significantly diminishes the effectiveness of the RNN, XDA, and Nucleus. Among the learning-based tools, DeepDi exhibits the least sensitivity, while Nucleus is the most adversely affected among the non-learning-based tools. KW - Binary Code Analysis KW - Function Detection KW - Malware Y1 - 2025 U6 - http://nbn-resolving.de/urn/resolver.pl?urn:nbn:de:hbz:1010-opus4-48386 SN - 979-8-4007-1476-4 VL - 2025 SP - 179 EP - 184 PB - Association for Computing Machinery (ACM) CY - New York ER -