Spamming Botnets: Signatures and Characteris5cs Xie et al. - - PowerPoint PPT Presentation

▶
spamming botnets signatures and characteris5cs xie et al
SMART_READER_LITE
LIVE PREVIEW

Spamming Botnets: Signatures and Characteris5cs Xie et al. - - PowerPoint PPT Presentation

Apr 11, 2024 448 likes •825 views

Spamming Botnets: Signatures and Characteris5cs Xie et al. Presented by Kyle Mar5n <kyle.mar5n@knights.ucf.edu> The Problems Botnets The Problems

slide-1
SLIDE 1

Spamming ¡Botnets: ¡Signatures ¡and ¡ Characteris5cs ¡

Xie ¡et ¡al. ¡

¡

Presented ¡by ¡ ¡

Kyle ¡Mar5n ¡ <kyle.mar5n@knights.ucf.edu> ¡

slide-2
SLIDE 2

The ¡Problems ¡

  • Botnets ¡
slide-3
SLIDE 3

The ¡Problems ¡

  • Botnets ¡
  • Spam ¡
slide-4
SLIDE 4

The ¡Problems ¡

  • Botnets ¡
  • Spam ¡
  • Botnets ¡+ ¡Spam ¡
slide-5
SLIDE 5

AutoRE ¡

  • Generates ¡botnet ¡spam ¡signatures ¡
  • No ¡labeled ¡data ¡or ¡external ¡sources ¡required ¡
  • Regular ¡Expressions ¡for ¡embedded ¡URL ¡
  • Organizes ¡spam ¡into ¡groups ¡by ¡campaign ¡
  • Iden5fy ¡characteris5cs ¡of ¡spam ¡botnets ¡

¡

slide-6
SLIDE 6

URLs ¡and ¡Spam ¡

  • Spam ¡messages ¡can ¡

contain ¡mul5ple ¡URLs ¡

  • Generic ¡URLs ¡usually ¡

included ¡

  • Polymorphic ¡URLs ¡
slide-7
SLIDE 7

Workflow ¡

slide-8
SLIDE 8

Grouping ¡URLs ¡

  • URLs ¡grouped ¡by ¡domain ¡
  • Select ¡groups ¡characterizing ¡a ¡campaign ¡

– Temporal ¡correla5on ¡ – Dis5nct ¡IPs ¡ac5ve ¡in ¡a ¡span ¡of ¡5me ¡ – Sharp ¡spikes ¡indicate ¡strong ¡correla5on ¡

slide-9
SLIDE 9

Genera5ng ¡Signatures ¡

  • Distributed ¡

– Number ¡of ¡Autonomous ¡ Systems ¡

slide-10
SLIDE 10

Genera5ng ¡Signatures ¡

  • Distributed ¡

– Number ¡of ¡Autonomous ¡ Systems ¡

  • Bursty ¡

– Long-­‑term ¡campaign ¡ dura5ons ¡(over ¡days) ¡

slide-11
SLIDE 11

Genera5ng ¡Signatures ¡

  • Distributed ¡

– Number ¡of ¡Autonomous ¡ Systems ¡

  • Bursty ¡

– Long-­‑term ¡campaign ¡ dura5ons ¡(over ¡days) ¡

  • Specificity ¡

– Probability ¡of ¡a ¡random ¡ URL ¡matching ¡

slide-12
SLIDE 12

Regular ¡Expression ¡Genera5on ¡

  • Signature ¡Trees ¡
  • Detailing ¡
slide-13
SLIDE 13

Regular ¡Expression ¡Genera5on ¡

  • Signature ¡Trees ¡
  • Detailing ¡
  • Generalizing ¡
  • Quality ¡Evalua5on ¡
slide-14
SLIDE 14

Results ¡

slide-15
SLIDE 15

Valida5on ¡

  • Quality ¡of ¡Signatures ¡

– False ¡posi5ve ¡rate ¡

slide-16
SLIDE 16

Valida5on ¡

  • Quality ¡of ¡Signatures ¡

– False ¡posi5ve ¡rate ¡ – Over ¡5me ¡

slide-17
SLIDE 17

Valida5on ¡

  • Quality ¡of ¡Signatures ¡

– False ¡posi5ve ¡rate ¡ – Over ¡5me ¡ – REs ¡vs. ¡Conjuga5on ¡

slide-18
SLIDE 18

Valida5on ¡

  • Quality ¡of ¡Signatures ¡

– False ¡posi5ve ¡rate ¡ – Over ¡5me ¡ – REs ¡vs. ¡Conjuga5on ¡ – Effect ¡of ¡generaliza5on ¡

slide-19
SLIDE 19

Valida5on ¡

  • Quality ¡of ¡Signatures ¡

– False ¡posi5ve ¡rate ¡ – Over ¡5me ¡ – REs ¡vs. ¡Conjuga5on ¡ – Effect ¡of ¡generaliza5on ¡

  • Host ¡Iden5fica5on ¡

– Based ¡on ¡long-­‑term ¡ spamming ¡history ¡

slide-20
SLIDE 20

Valida5on ¡

  • Quality ¡of ¡Signatures ¡

– False ¡posi5ve ¡rate ¡ – Over ¡5me ¡ – REs ¡vs. ¡Conjuga5on ¡ – Effect ¡of ¡generaliza5on ¡

  • Host ¡Iden5fica5on ¡

– Based ¡on ¡long-­‑term ¡ spamming ¡history ¡

slide-21
SLIDE 21

Valida5on ¡

  • Quality ¡of ¡Signatures ¡

– False ¡posi5ve ¡rate ¡ – Over ¡5me ¡ – REs ¡vs. ¡Conjuga5on ¡ – Effect ¡of ¡generaliza5on ¡

  • Host ¡Iden5fica5on ¡

– Based ¡on ¡long-­‑term ¡ spamming ¡history ¡

  • Campaign ¡Iden5fica5on ¡

– Based ¡on ¡similarity ¡of ¡ URL ¡des5na5ons ¡

slide-22
SLIDE 22

Valida5on ¡

  • Quality ¡of ¡Signatures ¡

– False ¡posi5ve ¡rate ¡ – Over ¡5me ¡ – REs ¡vs. ¡Conjuga5on ¡ – Effect ¡of ¡generaliza5on ¡

  • Host ¡Iden5fica5on ¡

– Based ¡on ¡long-­‑term ¡ spamming ¡history ¡

  • Campaign ¡Iden5fica5on ¡

– Based ¡on ¡similarity ¡of ¡ URL ¡des5na5ons ¡

slide-23
SLIDE 23

Campaign ¡Characteris5cs ¡

  • IP ¡Distribu5on ¡
slide-24
SLIDE 24

Campaign ¡Characteris5cs ¡

  • IP ¡Distribu5on ¡
slide-25
SLIDE 25

Campaign ¡Characteris5cs ¡

  • IP ¡Distribu5on ¡
slide-26
SLIDE 26

Campaign ¡Characteris5cs ¡

  • IP ¡Distribu5on ¡
  • Per ¡Campaign ¡

– Similarity ¡of ¡content ¡

slide-27
SLIDE 27

Campaign ¡Characteris5cs ¡

  • IP ¡Distribu5on ¡
  • Per ¡Campaign ¡

– Similarity ¡of ¡content ¡ – Similarity ¡of ¡5me ¡

slide-28
SLIDE 28

Campaign ¡Characteris5cs ¡

  • IP ¡Distribu5on ¡
  • Per ¡Campaign ¡

– Similarity ¡of ¡content ¡ – Similarity ¡of ¡5me ¡ – Similarity ¡of ¡behavior ¡

slide-29
SLIDE 29

Campaign ¡Characteris5cs ¡

  • IP ¡Distribu5on ¡
  • Per ¡Campaign ¡

– Similarity ¡of ¡content ¡ – Similarity ¡of ¡5me ¡ – Similarity ¡of ¡behavior ¡

  • Different ¡Campaigns ¡

– Botnets ¡with ¡similar ¡ signatures ¡

slide-30
SLIDE 30

Campaign ¡Characteris5cs ¡

  • IP ¡Distribu5on ¡
  • Per ¡Campaign ¡

– Similarity ¡of ¡content ¡ – Similarity ¡of ¡5me ¡ – Similarity ¡of ¡behavior ¡

  • Different ¡Campaigns ¡

– Botnets ¡with ¡similar ¡ signatures ¡ – Sending ¡pa`ern ¡clusters ¡

slide-31
SLIDE 31

Campaign ¡Characteris5cs ¡

  • IP ¡Distribu5on ¡
  • Per ¡Campaign ¡

– Similarity ¡of ¡content ¡ – Similarity ¡of ¡5me ¡ – Similarity ¡of ¡behavior ¡

  • Different ¡Campaigns ¡

– Botnets ¡with ¡similar ¡ signatures ¡ – Sending ¡pa`ern ¡clusters ¡

  • Scanning ¡traffic ¡
slide-32
SLIDE 32

Strengths ¡

  • Generates ¡botnet ¡signatures ¡without ¡labeling ¡
  • No ¡external ¡services ¡required ¡
  • Signatures ¡have ¡a ¡low ¡false ¡posi5ve ¡rate ¡
  • Signatures ¡useful ¡for ¡characterizing ¡botnet ¡

spamming ¡behaviors ¡

slide-33
SLIDE 33

Weaknesses ¡

  • Only ¡based ¡on ¡URLs, ¡not ¡effec5ve ¡against ¡text, ¡

images, ¡and ¡other ¡content ¡in ¡spam. ¡

  • Only ¡considers ¡spam ¡observed ¡by ¡a ¡single ¡ISP, ¡

could ¡be ¡more ¡effec5ve ¡with ¡collabora5on. ¡

  • Intra-­‑message ¡Polymorphic ¡URLs ¡
slide-34
SLIDE 34

Extensions ¡

  • Non-­‑botnet ¡RE ¡signatures ¡
  • A ¡centralized/distributed ¡signature ¡repository ¡

(like ¡Spamhaus) ¡

  • Forming ¡RE ¡signatures ¡over ¡non-­‑URL ¡content ¡
  • Composite ¡signatures ¡based ¡on ¡mul5ple ¡

content ¡types ¡(URLs, ¡text, ¡images, ¡ a`achments, ¡etc.) ¡

slide-35
SLIDE 35

Ques5ons ¡? ¡

slide-36
SLIDE 36

References ¡

  • [1]“62445.jpg ¡(JPEG ¡Image, ¡542 ¡× ¡330 ¡pixels).” ¡[Online]. ¡Available: ¡h`p://

www.cisco.com/en/US/i/ 000001-­‑100000/60001-­‑65000/62001-­‑63000/62445.jpg. ¡[Accessed: ¡16-­‑ Apr-­‑2012]. ¡

  • [2]“botnet1.jpg ¡(JPEG ¡Image, ¡589 ¡× ¡584 ¡pixels) ¡-­‑ ¡Scaled ¡(94%).” ¡[Online]. ¡

Available: ¡h`p://ritcyberselfdefense.files.wordpress.com/2011/09/ botnet1.jpg. ¡[Accessed: ¡15-­‑Apr-­‑2012]. ¡

  • [3]“spam-­‑can-­‑collec5on-­‑2009-­‑09-­‑med.jpg ¡(JPEG ¡Image, ¡1582 ¡× ¡1070 ¡

pixels) ¡-­‑ ¡Scaled ¡(51%).” ¡[Online]. ¡Available: ¡h`p://www.alaska.net/~royce/ spam/spam-­‑can-­‑collec5on-­‑2009-­‑09-­‑med.jpg. ¡[Accessed: ¡15-­‑Apr-­‑2012]. ¡

  • [4]“spam.jpg ¡(JPEG ¡Image, ¡990 ¡× ¡660 ¡pixels) ¡-­‑ ¡Scaled ¡(83%).” ¡[Online]. ¡

Available: ¡h`p://owni.fr/files/2010/05/spam.jpg. ¡[Accessed: ¡15-­‑ Apr-­‑2012]. ¡

  • [5] ¡Y. ¡Xie, ¡F. ¡Yu, ¡K. ¡Achan, ¡R. ¡Panigrahy, ¡G. ¡Hulten, ¡and ¡I. ¡Osipkov, ¡

“Spamming ¡botnets: ¡signatures ¡and ¡characteris5cs,” ¡SIGCOMM ¡Comput. ¡

  • Commun. ¡Rev., ¡vol. ¡38, ¡no. ¡4, ¡pp. ¡171–182, ¡Aug. ¡2008. ¡

¡