👁‍🗨Hello world~

Как работает антивирус: Статический анализ и его обход

• Думаю хотя бы раз вам становилось интересно, как же работает антивирус, сегодня мы узнаем основы работы AV и про статический анализ.

• Для начала, антивирус - программа, предназначенная для обнаружения, предотвращения и удаления вредоносного ПО (вирусов, троянов, червей, ransomware и т.д.).

• Антивирусы в основном используют 2 способа обнаружения: Статически анализ и Динамический анализ. Сканирование системы же может происходить либо в ручном режиме, либо периодически, либо если были вызваны определенные триггеры.

• Статический анализ — это метод, используемый антивирусами для обнаружения вредоносного ПО без его запуска. В отличие от динамического анализа, который изучает поведение программы во время её выполнения, статический анализ работает с кодом или структурой файла в "статическом" состоянии.

• Этот анализ заключается в изучении содержимого файла, поиске определенных сигнатур (сравнение фрагментов кода или хеша с базой данных известных вредоносных программ), анализе строк и констант и эвристическом анализе.

• Эвристический анализ используется, если файл не совпадает с известными сигнатурами. При таком анализе антивирус ищет:

• Необычные последовательности инструкций.
• Подозрительные вызовы системных функций.
• Код, который пытается скрыть своё присутствие (например, шифрование или сжатие).

• Так же к анализу предоставляются AST-деревья и Control Flow Graph, но о них поговорим отдельно в будущем.

• Ну и как же обходят статический анализ разные вредоносы? Для начала - обфускация, мы находим часть, на которую ругается антивирус и пытаясь сохранить функционал, переделываем ее (опять же, позже поговорим про это подробнее). Далее — шифрование файла, тогда антивирус не сможет найти сигнатуры в своей базе, ну и тогда вам нужна будет программа, которая расшифровывает файл - лоадер.

• Не используйте эту информацию в противоправных целях. Удачи!

#AV

• Поддержать автора монеткой: @v_meshke