С хеллоуином вас.👻
Я хотела плотно заниматься постом про тор, но в честь праздника как многие хотели я решила сделать пост про динамический анализ вирусов .🦠
Напомню
динамический анализ вирусов это когда мы анализируем уже не посредственно сработавший и запущенный вирус , статический анализ это анализ не посредственно , без запуска самого вируса . Гибридный анализ это - смесь динамического и статического анализа .
Чаще всего если у нас уже есть зловредный файл и первым выступает статический анализ-декрипт обнаружение вредоносной программы и анализ работы , потом уже динамический - запуск молваря и анализ его работы в запущенном виде . В прочем как их чередовать уже зависит от ситуации 🙃Динамический анализ вредоносных программ , включает в себя множество задач, например: Мониторинг сетевой активности: процессы, файловая система, ключи реестра и тд .Для начала еще хотелось бы упомянуть про то как вредоносное по скрывается от анализа . От анализа можно скрываться по-разному:
вредоносным dll запросами ,shell кодами, шифрование самого кода вируса, полиморфизм - код вируса не должен быть постоянным , должна быть постоянная и видоизменяется при каждом новом заражении. Тут часто "скачут по коду на ассемблер" к примеру:start_code :
push plimorf ; заносим адрес возврата
inc di ; мусор..
ret ; jmp next
xor dx,dx ;
dec bp ;
retf
plimorf:
*еще код*
Метаморфизм - создание различных копий вируса , перестановки местами кусков кода, вставки между значащими кусками кода мусорных команд, которые практически ничего не делают, к примеру добавление не нужных байтов и различного кеша в регистры на ассемблере ,или более умных методов обманка регистры к примеру, воспользоваться нулевым дескриптором из GDT: sgdt [esp-6]
mov r, [esp-4]
mov r, [r]
Теперь поговорим именно о самом анализе более подробно:Сам динамический анализ чаще всего проходит в программах для анализа сети , одна из них пожалуй самая популярная и моя любимая это
wireshark . Но есть и другие: PeStudio, ProcMon, Autoruns, FakeNet-NG, Ghidra.
Хочу привести пример такого анализа вируса .Данное действие
происходит на windows . Допусти у нас есть Вася . Вася загружает вредоносный файл вируса кейлогера(который будет отправлять данные на сервер Васи) на какой: либо сайт и ждет пока его скачает кто-либо . Для простоты структура вируса довольно проста и вирус загружает данные лога простой txt без его шифрования и тд
Маша работает в компании "Тыковка"🎃 (Сегодня хеллоуин же как не как) качает вирус Васи . Вирус собирает данные , но в один прекрасный миг замечается подозрительная активность , и обнаруживается вирус .
Другие специалисты проводят статический анализ , после дают нужные данные для динамического .
Мы запускаем Васин вирус , и мы смотрим что случилось.
Сразу после запуска мы заходим какой-нибудь в Wirehark, смотрим пост запросы с нашего пк
http.request.method=="POST" . Видим подозрительный пост запрос на сайт xxx_virus.net, смотрим в данные запроса и там отправляется key.txt . Заглянув в этот файл и мы видим лог наших клавиш.
Еще можно было посмотреть процессы( В прогах типа PeStudio) и похожим образом обнаружь наши функции кейлогера , и уже с помощью салического анализа найти хост .
Собственно во мы и поняли как работает вирус .
Да на практике все в разы труднее и этот пример в сильно упрощает анализ вируса .⚙️
Для более подробных примеров ,можете заглянуть в архив со статьями там много чего интересного,
так же есть статьи про метоморфзм и полиморфизм✨🎯 В будующем могу найти конкретный вирус(можете предлагать в комментариях интересные вирусы🔥 зареверсить его и оформить это как пост для вас)
А на этом все . Спасибо за прочьтение❤️
И помните не кто не будет есть черепаху Квази , а она все равно исполняет гарусную песню про то как ее съедят☠️🐢
#network #forensics #virus #revers #malware #windows