搜索

[455] 2015-02-11_图标查杀免杀技术

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-16
2015-02-11_图标查杀免杀技术 图 标 查 杀 免 杀 技 术 A r k T e a m   2 0 1 5 - 0 2 - 1 1 一 、 现 象 分 析 一 、 现 象 分 析 在 分 析 样 本 时 ， 发 现 图 标 类 恶 意 程 序 还 是 比 较 常 见 的 ， 比 如 伪 装 成 J P G 、 D O C 文 件 的 病 毒 ， 基 本 的 特 征 都 是 把 图 标 替 换 为 W i n d o w s 默 认 的 图 标 ， 病 毒 运 行 后 释 放 文 件 并 显 示 ， 然 后 在 后 台 运 行 恶 意 代 码 。 下 图 是 一 个 典 型 的 伪 装 成 W o r d 文 档 的 病 毒 文 件 ， 运 行 后 释 放 一 个 d o c 文 件 并 打 开 ： 出 于 好 奇 心 ， 使 用 金 山 毒 霸 和 瑞 星 测 试 了 一 下 ， 发 现 都 可 以 对 其 进 行 查 杀 ， 金 山 毒 霸 报 “ 云 启 发 病 毒 ” ， 而 瑞 星 则 报 “ F a k e D O C ” ， 如 下 图 所 示 ：
对 于 这 两 款 软 件 的 检 测 机 制 很 是 好 奇 ， 所 以 我 使 用 了 其 他 普 通 图 标 替 换 了 病 毒 的 W O R D 图 标 ， 再 次 扫 描 ， 静 态 扫 描 都 不 报 毒 ， 而 且 执 行 起 来 也 不 会 存 在 任 何 提 示 ， 看 来 ， 不 过 就 是 对 图 标 进 行 了 检 测 而 已 ， 真 正 的 代 码 逻 辑 没 有 任 何 检 测 。 二 、 图 标 免 杀 处 理 能 不 能 对 图 标 进 行 一 下 处 理 ， 来 绕 过 杀 毒 软 件 的 检 测 呢 ？ 只 有 想 不 到 ， 没 有 做 不 到 。 既 然 查 杀 点 在 图 标 ， 那 么 尝 试 对 图 标 上 的 像 素 点 进 行 处 理 ， 是 不 是 就 可 以 绕 过 了 呢 ？ 随 便 找 个 i c o 图 标 编 辑 器 ， 将 w o r d 图 标 上 的 部 分 像 素 点 涂 成 其 他 颜 色 ， 再 测 试 一 下 ， 依 然 被 杀 。 那 就 继 续 处 理 像 素 点 ， 测 试 继 续 被 杀 ， 一 直 涂 到 图 标 都 面 目 全 非 了 ， 才 逃 过 了 检 测 。 但 这 个 姿 势 肯 定 不 对 ， 人 眼 都 能 看 出 图 标 有 问 题 来 了 ， 这 时 候 才 能 绕 过 杀 软 检 测 已 经 没 有 意 义 了 。 为 何 杀 毒 软 件 这 么 牛 逼 ？ 想 着 在 对 比 两 个 图 片 的 时 候 ， 经 常 使 用 S t e g S o l v e 进 行 X O R 操 作 ， 那 么 如 果 将 两 个 图 标 进 行 X O R 操 作 ， 差 异 就 显 而 易 见 了 。 比 如 ， 下 面 两 个 W o r d 图 标 进 行 X O R 操 作 之 后 ， 从 得 到 的 结 果 中 可 以 看 出 相 似 度 还 是 极 高 的 ：
这 里 处 理 的 图 标 是 4 8 * 4 8 像 素 的 ， 第 二 个 i c o 图 标 涂 掉 了 3 2 个 像 素 点 ， 那 么 相 似 度 计 算 ： 1   -   8 * 4 / ( 4 8 * 4 8 )   =   9 8 . 6 % ， 想 想 还 是 挺 高 的 ， 怪 不 得 杀 得 那 么 厉 害 。 可 以 这 么 认 为 ， 如 果 图 标 像 素 的 相 似 度 达 到 某 一 个 阈 值 ， 就 认 为 是 病 毒 。 在 检 测 条 件 十 分 严 格 的 情 况 下 ， 只 有 把 图 标 改 的 面 目 全 非 时 ， 才 可 以 绕 过 杀 毒 软 件 的 检 测 ； 但 是 这 个 时 候 ， 图 标 已 经 可 以 明 显 的 人 肉 眼 分 辨 了 。 现 在 的 目 标 ： 1 .   杀 软 认 为 完 全 不 一 样 ； 2 .   人 眼 认 为 基 本 上 一 样 ； 这 个 目 标 当 然 很 容 易 实 现 ！ 打 乱 所 有 坐 标 点 的 R G B 值 ， 这 样 当 绝 大 部 分 的 像 素 点 的 R G B 值 都 不 一 样 了 ， 不 超 过 阈 值 就 会 认 为 是 正 常 的 图 标 了 。 至 于 人 眼 就 更 容 易 忽 悠 了 ， 把 整 个 坐 标 系 移 动 一 个 像 素 点 即 可 。 在 下 图 中 ， 左 侧 图 标 为 原 始 图 标 ， 右 侧 图 标 在 左 侧 图 标 的 基 础 上 向 上 和 向 左 均 移 动 一 个 像 素 点 ， 保 存 之 后 人 眼 基 本 分 辨 不 出 来 二 者 的 区 别 ， 但 是 对 于 杀 毒 软 件 而 言 已 经 是 两 个 完 全 不 同 的 图 标 了 。 将 样 本 的 图 标 替 换 为 处 理 后 的 图 标 ， 扫 描 测 试 ， 发 现 金 山 毒 霸 和 瑞 星 都 不 吭 声 了 ， 有 图 有 真 相 ：
  对 于 其 他 的 图 标 ， 可 以 采 用 同 样 的 方 案 进 行 处 理 。 更 多 精 彩 内 容 ， 请 关 注 ： 1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m
2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理