Suppressing the Spread of Email Malcode using Short-term Message Recall

Abstract

Outbreaks of computer viruses and worms have established a pressing need for developing proactive antivirus solutions. A proactive antivirus solution is one that reliably and accurately detects novel malicious mobile code and one that either prevents damage or recovers systems from the damage that such code inflicts. Research has indicated that behavioral analysis, though provably imprecise, can feasibly predict whether novel behavior poses a threat. Nevertheless, even the most reliable detection methods can conceivably misclassify malicious code or deem it harmful only after substantial damage has taken place. The study of damage control and recovery mechanisms is, therefore, clearly essential to the development of better proactive systems. Earlier work has demonstrated that undoing the damage of malicious code is possible with an appropriate behavior monitoring and recording mechanism. However, it remains that even if a system is recovered, the virulent code may have already propagated to other systems, some of which may not be well-equipped in terms of proactive defenses. Curbing the propagation of undesired code once it has left the boundaries of a system is a hard problem and one that has not received much attention. This work focuses on a specific instance of this difficult problem: viruses and worms that spread by email. In this paper, we explore how advantageous it would be to have a short-term email undo mechanism whose purpose is to recall infected messages. Simulation results demonstrate that such ability can substantially curb the damage of email viruses on a global scale. The results are encouraging because they only assume technology that is either readily available or that is otherwise clearly practical today

Résumé

Les épidémies de virus et vers informatiques ont rendu nécessaire, de manière urgent, le développement de solutions antivirales proactives. Une solution antivirale proactive consiste à détecter de manière précise et fiable des codes malicieux nouveaux mais elle doit également permettre de prévenir et de réparer les dommages que de tels codes occasionnent. Les recherches ont montré que l’analyse antivirale comportementale, bien qu’il ait été prouvé qu’elle était imprécise, pouvait quelquefois déterminer si un nouveau comportement, pour un code, constitue une menace ou non. Néanmoins, même la plus fiable des méthodes de détection peut échouer ou bien décider de son caractère malveillant seulement après que des dommages aient été constatés. L’étude du contrôle des dommages au système et/ou aux données, ainsi que des mécanismes de restauration, est, par conséquent, essentielle pour le développement de meilleurs systèmes proactifs.

Des travaux antérieurs ont prouvé que la réparation des dommages provoqués par des codes mailcieux est possible à l’aide d’une surveillance comportementale appropriée et des mécanismes de sauvegarde adéquats. Toutefois, certains problèmes subsistent. Si un système est réparé, le code virulent peut s’être déjà propagé vers d’autres systèmes, certains d’entre eux pouvant ne pas être convenablement équipés en terme de défense proactive. Juguler la propagation de codes non désirés une fois qu’il s’est propagé au-delà des limites d’un système, est un problème difficile, qui n’a, à ce jour, pas fait l’objet de beaucoup d’études.

Cet article considère une instance particulière de ce problème difficile : les virus et les vers se propageant par l’intermèdiaire du courrier électronique. Nous étudions ici les avantages de disposer de mécanismes de réparation à court terme des messages éléctroniques, dont le but est de rappeler les-dits messages lorsqu’ils ont été déclarés infectés. Les simulations ont démontré qu’une telle capacité peut substantiellement limiter les dommages des virus et vers de courrier électronique, sur une large échelle. Ces résultats sont encourageants car ils reposent seulement sur des technologies qui sont disponibles très rapidement de nos jours ou faciles à mettre en pratique.

Abstract

Kalamita počítačových virů a červů vyvolala naléhavou potřebu vývoje proaktivních antivirových řešení. Proaktivní antivirové řešení je takové, které spolehlivě a přesně detekuje nový škodlivý mobilní kód a také předchází škodám, nebo obnovuje poškozené systémy, jež takový kód způsobil. Výzkum dal najevo, že analýza chování, byt’ pravděpodobně nepřesná, může vhodně předvídat nová chování předložených hrozeb. Nicméně pokud nejspolehlivější detekční metody mohou myslitelně špatně klasifikovat škodlivý kód, nebo pokládat ho za škodlivý jen po podstatném poškození, má svůj význam. Studium řízení poškození a mechanismu obnovy je proto zřejmě podstatné pro vývoj lepších proaktivních systémů.

Předchozí práce ukázala, že zkáza poškození škodlivého kódu je možná pomocí vhodného chování monitorovacího a záznamového mechanismu. Nicméně zbývá to, že i když je systém obnoven, může být virulentní kód již rozšířen do dalších systémů, z nichž některé nemusejí být dobře vybaveny ve výrazech proaktivní obrany. Omezování šíření nežádoucího kódu jednou ponechaného v hranicích systému je těžký problém a často mu není věnováno dost pozornosti.

Tato práce se zaměřuje na specifickou situaci tohoto obtížného problému: viry a červi šířené emailem. V tomto článku zjištujeme, jaké výhody by mohl mít krátkodobý zpětný mechanismus jehož účelem je zpětné volání infikovaných zpráv. Výsledky simulace ukázaly že taková schopnost může podstatně omezit škody emailových virů v globálním měřítku. Výsledky jsou povzbudivé, protože předpokládají pouze technologie bud’ snadno dostupné, nebo takové, které jsou jinak zřetelně účinné dnes.

Abstrakti

Tietokonevirusten ja -matojen nopea leviäminen on saanut aikaan tarpeen kehittää proaktiivisia virustentorjuntamenetelmiä. Proaktiivinen torjuntamenetelmä on sellainen, joka luotettavasti ja tarkasti tunnistaa uusia haitallisia koodeja ja joko estää vahinkoa tai palauttaa järjestelmiä haitallisen koodin aiheuttamalta tuholta. Tutkimukset ovat osoittaneet, että ohjelman käyttäytymisen tarkkaileminen, joskin todistettavasti epätarkkaa, pystyy ennustamaan, aiheuttaako uudenlainen käyttäytyminen vahinkoa. Kaikesta huolimatta jopa kaikkein luotettavimmat tunnistamismenetelmät voivat luokitella väärin haitallista koodia tai pystyvät todentamaan koodin haitallisuuden vasta merkittävän tuhon jälkeen. Tutkimusta vahingon säätelystä ja palautusmekanismeista siis tarvitaan, jotta parempia proaktiivisia järjestelmiä voidaan kehittää.

Aikaisempi tutkimusalueen työ on osoittanut, että palautuminen haitallisen koodin aiheuttamista vahingoista on mahdollista sopivien käyttäytymisen tarkkailun sekä tallennusmenetelmien avulla. Vaikka järjestelmä pystyttäisiin palauttamaan, haitallinen koodi on saattanut levitä muihin järjestelmiin. Osa näistä muista järjestelmistä ei ehkä sisällä proaktiivista suojausta. Järjestelmän rajojen ulkopuolelle levinneen haitallisen koodin leviämisen rajoittaminen on vaikea ongelma, joka ei ole saanut paljon huomiota.

Tämä tutkimus keskittyy kuvatun ongelman erityisalueeseen: viruksiin ja matoihin, jotka leviävät sähköpostin avulla. Tutkimme, miten hyödyllinen olisi sellainen lyhytaikainen sähköpostin lähetyksen peruminen, jonka tarkoituksena on vetää pois saastuneet viestit. Simulaatiolla saadut tulokset osoittavat, että menetelmä voi merkittävästi rajoittaa sähköpostivirusten aiheuttamaa maailmanlaajuista ongelmaa. Tulokset ovat rohkaisevia, koska teknologia on jo joko saatavilla tai muuten käytännöllistä.

Astratto

Le epidemie di virus e worm richiedono urgentemente lo sviluppo di soluzioni antivirus proattive. Una soluzione proattiva e’ una soluzione che puo’ individuare accuratamente e affidabilmente nuovi tipi di codice maligno, e che puo’ prevenire o curare i danni che simili codici infliggono. La ricerca ha indicato che l’analisi comportamentale, anche se dimostratamente imprecisa, puo’ predire se dei nuovi tipi di comportamento sono una minaccia. Cionondimeno, anche i piu’ affidabili metodi di individuazione possono misclassificare il codice, o individuarlo come maligno solo dopo che ha compiuto dei danni. Lo studio di meccanismi di controllo dei danni e di ricupero è quindi chiaramente essenziale per lo sviluppo di sistemi proattivi migliori.

Precedenti lavori hanno dimostrato che riparare i danni del codice maligno è possibile con un appropriato controllo e registrazione dei loro comportamtni. Tuttavia, anche se un sistema viene recuperato, il codice virale potrebbe essersi gia’ propagato ad altri sistemi, che potrebbero essere meno protetti da difese proattive. Rallentare la propagazione di codice virale che ha gia’ lasciato un sistema e’ un problema difficile e poco studiato.

Questo lavoro si concentra su una specifica istanza del problema: virus e worm che si diffondono via e-mail. In questo articolo esploriamo i vantaggi che si otterrebbero creando un meccanismo di richiamo, a breve termine, per le email, al solo scopo di richiamare eventuali messaggi infetti. Risultati di simulazione dimostrano che questa tecnologia puo’ diminuire fortemente il danno dei virus via posta elettronica su scala globale. I risultati sono particolarmente incoraggianti perche’ utilizzano solo tecnologie che sono gia’ disponibili o realizzabili con facilita’ al giorno d’oggi.

Zusammenfassung

Ausbrüche von Computerviren und Würmern haben den Bedarf an proaktiven Antivirus Lösungen signifikant gesteigert. Im Sinne dieses Papiers wird eine proaktive Antivirus Lösung als System verstanden, welches zuverlässig und akkurat neuen mobilen maliziösen Code erkennt und entweder Schaden verhindert oder Systeme, die durch den entsprechenden Schadcode angegriffen worden sind, wieder herstellt.

Untersuchungen haben ergeben, daß Verhaltensanalyse, losgelöst von dem Vorwurf ungenau zu sein, brauchbare Ergebnisse liefert, wenn es gilt, ein neuartiges Verhalten hinsichtlich seiner (potentiellen) Gefährlichkeit einzustu-fen.

Nichtsdestotrotz können selbst die zuverlässigsten Erkennungsmethoden maliziösen Code beizeiten falsch klassifizieren oder erst nach der Beschädigung des Systems den entsprechenden Code korrekt einstufen. Das Studium von Schadenskontroll- und Wiederherstellungsmechanismen ist daher von essentieller Wichtigkeit für die Entwicklung von besseren proaktiven Systemen/Schutzmechanismen.

Vergangene Arbeiten haben gezeigt, daß Schäden, hervorgerufen durch maliziösen Code, durch angemessene Überwachung des Verhaltens und Aufzeichnungsmechanismen wieder repariert werden können. Trotzdem besteht die Möglichkeit, daß der virale Code schon zu anderen Systemen übertragen worden ist, welche potentiell nicht über proaktive Abwehrmechanismen verfügen.

Die Verbreitung von ungewünschtem Code zu drosseln ist ein nicht triviales Problem, welchem bisher nicht sehr viel Aufmerksamkeit gewidmet worden ist.

Dieses Papier fokussiert sich auf die Betrachtung der Problematik bzgl. der Verbreitung von Viren und Würmern über das Medium EMail. In diesem Papier wird erforscht, wie vorteilhaft ein Mechanismus zur kurzfristigen “Zurückholung” von infizierten EMails wäre.

Die Ergebnisse von Simulationen zeigen, daß eine entsprechende Funktionalität substantiell den Schaden von EMail- Würmern, weltweit betrachtet, verringern kann.

Die Ergebnisse sind insofern ermutigend, daß sie nur Technologien voraussetzen, die entweder schon heute verfügbar sind oder als praktikabel angesehen werden.