पता लगाने और विघटन के मोड़ और मोड़

सभी को नमस्कार!



हाल ही में सामने आई Sality.bh के काम का विश्लेषण करते हुए , मुझे इसके घटकों का पता लगाने के साथ एक दिलचस्प क्षण मिला, जिसके बारे में मैं बात करना चाहूंगा। वास्तव में, virlab तरीके रहस्यमय हैं! :)



इसलिए, सिस्टम के संक्रमण के दौरान, Sality परिवार का यह प्रतिनिधि% temp% निर्देशिका में कई दुर्भावनापूर्ण फ़ाइलों को पासवर्ड चोरी करने की कार्यक्षमता और नेटवर्क पर सिस्टम में अनधिकृत पहुंच प्रदान करने के लिए बनाता है।



इसी समय, प्रत्येक डिस्क पर थोड़ा सा ओफ़्स्चुएटेड ऑटोरुन.इन बनाया जाता है (यह, निश्चित रूप से, उपयोगकर्ता से छिपा होता है):

[AutoRun]

;LCrpr

open =qukai.exe

;sFhlFy IjHXVbXTuwvFsUusCbckP ICvmveywrEcK

Shell\exPlore\Command= qukai.exe

;xPRxeLQpYkF ajYOvwhXffjEul GuYigjuhVTq

shElL\Open\defAuLt=1



;eodORB

SheLl\oPen\COMmaND= qukai.exe



;yWvgURCkrpRrKuhxrUvCCjvbpKkD

SheLL\AuTOpLaY\ComManD= qukai.exe







मैलवेयर के शरीर के साथ-साथ सेफगार्ड 1.03 -> सिमोनज़ को भी पैक किया।



उसी समय, लेखक बैकस्ट / पासवर्ड-स्टाइलर्स के बारे में बहुत चिंतित नहीं है, क्योंकि वे बहुत आसान पैक किए जाते हैं - UPX का उपयोग करते हुए।



ऐसा लगता है कि सब कुछ सामान्य और तार्किक है। केवल मुझ में तर्क की कमी के कारण मुझे पैक्ड बैकडोर के साथ काम करने के लिए एंटीवायरस को अक्षम करना पड़ा, लेकिन अनपैक्ड के साथ नहीं।



यह पता चला कि सब कुछ सरल है - यूपीएक्स-पैक संस्करण में कई उत्पादों से एक स्थिर पहचान है , उदाहरण के लिए, कास्परस्की आत्मविश्वास से इसे Backdoor.Win32.Mazben.es मानता है। लेकिन अनपैक वाला पहले से ही कास्परस्की के अनुसार सुरक्षित है, इसके अलावा, यह कुछ एंटीवायरस के अनुसार पूरी तरह से अलग है।



मैंने चित्र को दर्शाती एक तालिका संकलित करने की कोशिश की। दुर्भाग्य से, किसी कारण से, वायरसटोटल ने एक मामले में प्रदर्शित किया, और दूसरे में, निम्नलिखित एंटीवायरस से कोई जानकारी नहीं: बिटडेफेंडर, ऑथेंटियम, कमांड, एफएसक्योर, जीडाटा, एनप्रोटेक्ट, सनबेल्ट, वीआईपी। इस कारण से, वे तालिका में उपस्थित नहीं हुए। तो परिणाम है:





यह दिलचस्प है कि अवास्ट, एवीजी, एम्सिसॉफ्ट, ई-ट्रस्ट-वेट, एफ-प्रोटेक्ट (हालांकि केवल अनुमानी द्वारा), इकारस, जियांगमिन, माइक्रोसॉफ्ट, एनओडी 32 (भी हेयुरिस्टिक), पीसीटूल, सिमेंटेक, और अन्य में एक ही मैलवेयर में विश्वास है। ट्रेंड माइक्रो इसी समय, एम्सिसॉफ्ट और इकारस इस फाइल को सलिटी के प्रतिनिधि के रूप में सही ढंग से नहीं मानते हैं, वास्तव में यह कार्यान्वित मॉड्यूलों में से एक है, जिसमें फाइलों को संक्रमित करने की क्षमता का अभाव है।



एंटी-एवीएल, कोमोडो की पूर्ण विफलता (हालांकि यहां एक आनुवांशिक पहचान थी), ईसेफ, फोर्टिनेट, कैस्परस्की, मैक्फी, राइजिंग, सोफोस, सुपेरैन्तिसैपीवेयर, वीरोबोट । अज्ञात कारणों से, ये एंटीवायरस (या इन कंपनियों के विशेषज्ञ) पैक किए गए संस्करण का पता लगाते हैं, लेकिन अनपैक्ड का पता नहीं लगाते हैं। क्या एंटीवायरस में वास्तव में कोई UPX अनपैकिंग प्रक्रिया नहीं है? मेरे पास इस सवाल का कोई जवाब नहीं है।



PS यह लेख Sality.bh से प्रभावित निष्पादन योग्य फ़ाइलों के उपचार की प्रभावशीलता पर चर्चा नहीं करता है।