Riset: metode bypass antivirus apa yang digunakan oleh peretas

Pembuatan malware unik membutuhkan banyak sumber daya, begitu banyak grup peretas menggunakan malware yang sangat besar dan sering tersedia untuk umum dalam serangan mereka. Penggunaan yang meluas pasti mengarah pada fakta bahwa alat semacam itu masuk radar perusahaan antivirus, dan keefektifannya menurun.

Untuk mengatasi masalah ini, peretas menggunakan teknik pengemasan, enkripsi, dan mutasi kode. Teknik seperti itu sering diimplementasikan oleh alat terpisah - "crypters" atau hanya "packers". Dalam artikel ini, dengan menggunakan Trojan perbankan RTM sebagai contoh, kita akan melihat "pengemas" apa yang dapat digunakan oleh penjahat dunia maya dan bagaimana "pengemas" ini mempersulit deteksi malware.

Versi lengkap studi ini tersedia di sini .

---

Packer-as-a-service

Grup peretas di balik pendistribusian RTM secara rutin melakukan email phishing massal dengan lampiran berbahaya hingga akhir tahun 2020. Proses ini, tampaknya, berlangsung secara otomatis.

Masing-masing lampiran ini berisi file yang sangat berbeda, sedangkan muatan akhir hampir tidak berubah.

— «». , RTM, «», 2020 .

- , . , , packer-as-a-service. , . .

Rex3Packer

RTM, , 2019 . , , — 2020 .

- , : (recursion), (reverse) PE- (reflection) — Rex3Packer.

:

1. VirtualAlloc , .

   
   
   
   
   

2. ( , .text).

   
   
   
   
   

3. .

   
   
   
   
   

4. PE- ( ). ebx. . , , PE- , .

   
   
   
   
   

5. .

   
   
   
   
   

6. VirtualProtect RWX PE-.

   
   
   
   
   

7. .

   
   
   
   
   

8. .

   
   
   
   
   

9. PE .

   
   
   
   
   

10. — PE-. PE-, .

    
    
    
    
    

. : , .

16 , 4 4 :

• ,

  
  
  
  
  

• (PE-),

  
  
  
  
  

• (*), ,

  
  
  
  
  

• (1, 2, 4).

  
  
  
  
  

:

1. ( , 10011000 00011001).

   
   
   
   
   

2. (1, 2, 4), N = 9, 5, 3 . — (N – 1) ( 8, 4, 2).

   
   
   
   
   

3. N-1 : . , 00000001, 00010001 01010101 . . OR , .

   
   
   
   
   

, 4 . .

4.  PE-, (*) . , , . (*) .

, :

• WinAPI. , , , .

  
  
  
  
  

• — ( ), .

  
  
  
  
  

• . , .

  
  
  
  
  

RTM, Rex3Packer , .

Nemty, Pony, Amadey.  

HellowinPacker

2020 RTM — HellowinPacker, 2021 . . , .

. . .

, Rex3Packer, HellowinPacker . , , . , , — .

, — HKEY_CLASSES_ROOT\Interface\{b196b287-bab4-101a-b69c-00aa00341d07} ( ) (Default). .

GUID .

, .

, (, ). VirtualAlloc RWX. X . Y .

4 :

• (DWORD),

  
  
  
  
  

• ,

  
  
  
  
  

• xor , Z.

  
  
  
  
  

Rex3Packer, HellowinPacker WinAPI, . . , .

WinAPI imphash.

: ( ). WinAPI, (, 0 ).

HellowinPacker 2014 . . :

, . , («») . . : .

, , . : . . , , (, PT Sandbox) . , . , — , PT Network Attack Discovery.

: