img - Xakep Online

MALWAREÒÐÞÊ Ñ ÊËÞ×ÎÌ ØÈÔÐÎÂÀÍÈßДля шифрования пути к файлу во втором тесте и маскировки передачифлага MOVEFILE_DELAY_UNTIL_REBOOT функции MoveFileEx втретьем использовался специальный трюк, который позволяет обойтиэвристические анализаторы антивирусного ПО. Если мы сохранимключ для расшифровки некой строки в памяти программы напрямую (ввиде константы или передаваемого значения), то анализаторы кода смогутотследить всю цепочку использования этого ключа и в конце получитьисходную информацию в раскриптованном виде.Но ключ можно сформировать из двух частей: базовая и псевдослучайнаячасти. Базовая часть — это просто число, которое хранится впамяти. Весь фокус в псевдослучайной части. Ее надо сгенерироватьтак, чтобы эвристическая машина не смогла проанализировать кодгенерации. Сделать это можно, вызвав некоторую системную функциюс такими параметрами, которые приведут к однозначному результату:DWORD pseudoRandomDigit(const DWORD digit){fopen("dsjklfjsdlk", "r");DWORD err = ::GetLastError();}вторая — с правами активного в данный момент пользователя. Удалятьбудем именно этот файл, который по умолчанию лежит в папке«%programfiles%\Kaspersky Lab\Kaspersky CRYSTAL\». Запускаемутилиту, передав ей в качестве одного из параметров полное имяэкзешника и … Кристал начал ругаться на нашу тестовую утилиту,определив ее рейтинг опасности как «высокий». Если бы это былреальный зловред, то пользователю пришлось бы решать, разрешитьподозрительной программе выполниться или нет. Если все-таки датьсвободу нашей утилите, то после ребута системы антивирус не запускается.Программа сделала свое дело и удалила главный бинарникКасперского. В случае запрета выполнения подозрительной тулзывсе будет хорошо — avp.exe останется на своем месте и по-прежнемубудет радовать пользователей красивой иконкой в трее.Итак, Kaspersky CRYSTAL прошел первое испытание, но, к сожалению,всего лишь на троечку. Очень часто пользователи жмут накнопку «Да» не читая, что там пишут.Следующее защитное ПО — Dr.Web Security Space Pro. В отличие отCRYSTAL, Доктор Веб состоит из множества исполняемых exe-файлов,каждый из которых ответственен за свою функцию. Но удалитьмы попробуем самый главный бинарь, который, как и в Касперском,запускается от имени системы — dwengine.exe. Тестоваяутилита удаления отработала без проблем, Доктор даже не пискнул.Но посмотрим, что будет после перезагрузки. А после нее всеосталось на своих местах — анитвирус как новенький! Ну что же,попробуем стереть какой-нибудь другой важный файл, например,утилиту обновления или базы с сигнатурами. После несколькихзапусков смертоносного кода и перезагрузки компьютера Докторостается жив, и поэтому получает за первое испытание твердуюпятерку. Никакого шума, никаких вопросов к пользователю. Простоне удаляется :).080return digit + err;Функции pseudoRandomDigit передается базовая часть ключа. Послеэтого мы пытаемся открыть несуществующий файл, в результате чегополучим вполне определенный код ошибки. Прибавляя этот код кбазовой части ключа, мы лишаем эвристические анализаторы всякойнадежды понять, что же все-таки произошло. В результате чего антивирусне может расшифровать строку, а, следовательно, и предъявитькакие-либо претензии.ТЕСТ №2Второй краш-тест очень похож на первый, но с одним единственнымотличием — путь к удаляемому файлу мы передаем в зашифрованномвиде. Процедура шифрования тоже не совсем простая. Мыиспользуем специальный трюк, чтобы обмануть эвристики нашихантивирусов. Подробнее об этом можно почитать во врезке. А покапосмотрим, как справятся с этим испытанием Касперский и ДокторВеб.Первый в очереди — Kaspersky CRYSTAL. Предварительно зашифровавпуть к avp.exe, мы передаем его нашей утилите. РеакцияКристала на второй тест полностью совпадает с реакцией на первый.Антивирус предложил выбрать, что делать с подозрительнойпрограммой. В случае, если мы разрешаем ее выполнение, послеперезагрузки Kaspersky не загрузится. Итог: второе испытаниеКаспер тоже проходит на тройку.Ситуация с Dr.Web полностью идентична предыдущей. Все попыткиудалить какие-либо файлы, требуемые для его работы, потерпелинеудачу. Не удалялся даже банальный license.txt! За такую стойкостьДоктор Веб получает пять.ТЕСТ №3Третье испытание также будет удалять нужные для антивирусногоПО файлы, но при этом будет маскировать сам факт попытки удаления.Как говорилось выше, для того, чтобы стереть файл при загрузкеОС, нужно функции MoveFileEx в качестве одного из параметровпередать флаг MOVEFILE_DELAY_UNTIL_REBOOT. Именно этот флагмы и замаскируем под нечто безобидное, что позволит усыпитьбдительность эвристики (см. врезку).На запуск теста с маскировкой удаления Kaspersky CRYSTAL никакне прореагировал. Сообщение, в котором бы говорилось об опаснойпрограмме, не появилось. Может быть, Кристал блокирует этуугрозу втихаря? Перезагружаем, и... нет. Касперский провалил этоттест. ПО не запустилось, avp.exe исчез с жесткого диска без какихлибоследов. Маскировка удаления файлов принесла свои плоды.Анализатор кода CRYSTAL не смог распознать угрозу и поплатилсяза это. Результат: двойка и ничего, кроме двойки. А что же с Dr.Web?Провалит ли он, наконец, хоть одно испытание? Как оказалось, нет.Доктор тверд, как скала. Никакие хитрые попытки удалить важныефайлы его не берут. А все из-за того, что доступ ко всем нужным иненужным бинарникам из дистрибутива Веба был заблокированна уровне файловой системы. Такой подход решил все проблемы свандализмом. Просто так поменять эти права у нас не получится,все гайки закручены очень крепко. Заслуженная пятерка.ТЕСТ №4Следующий тест мы будем проводить с помощью стандартныхинструментов Windows XP Professional. В главном меню системывыберем пункт «Выполнить...» и впишем туда следующее: gpedit.msc. Откроется консоль с групповыми политиками. Там выберем«User Configuration», затем «Administrative Templates», «System».Справа найдем «Don't run specified Windows applications». Эта опцияпозволяет запретить запуск определенных программ на основеих имени.Для Касперского мы будем блокировать avp.exe. Прописав запретна его запуск в политиках Windows, мы перезагружаем компьютери смотрим на результат. После старта системы Kaspersky CRYSTALработает, как ни в чем не бывало. Запустился не только сервис справами системы, но и процесс с привилегиями текущего пользователя.Похоже, это первая пятерка у Каспера. Поздравляем!С Dr.Web ситуация чуть хуже. Блокирование запуска dwengine.exe никак не повлияло на работу Доктора, а вот если прописатьв политиках имя сканера, то он не запустится. Таким же образомпарализуется работа SpIDer Guard. Никакие сообщения при запускекакого-нибудь зловреда пользователю показаны не будут. Но стоитотметить, что защитные функции антивирус потерял не полностью.XÀÊÅÐ 08 /139/ 10