搜索

[10583] 2016-10-10_打造“免杀”的恶意程序需要多久？用这个工具，只要几分钟

文档创建者：s7ckTeam
浏览次数：51
最后更新：2025-01-18
2016-10-10_打造“免杀”的恶意程序需要多久？用这个工具，只要几分钟 打 造 “ 免 杀 ” 的 恶 意 程 序 需 要 多 久 ？ 用 这 个 工 具 ， 只 要 几 分 钟 f e l i x   F r e e B u f   2 0 1 6 - 1 0 - 1 0 意 大 利 萨 尼 奥 大 学 （ 意 大 利 萨 尼 奥 大 学 （ t h e   U n i v e r s i t y   o f   S a n n i o ） 的 研 究 团 队 ） 的 研 究 团 队 I s w a t l a b ， 证 实 了 打 造 一 个 能 够 规 避 杀 软 的 恶 意 程 序 有 多 么 容 易 。 ， 证 实 了 打 造 一 个 能 够 规 避 杀 软 的 恶 意 程 序 有 多 么 容 易 。 “ 编 写 编 写 ” 一 个 新 的 恶 意 软 件 ， 规 避 杀 软 或 其 它 防 护 软 件 的 检 测 ， 这 很 难 。 一 个 新 的 恶 意 软 件 ， 规 避 杀 软 或 其 它 防 护 软 件 的 检 测 ， 这 很 难 。 但 是 ， 但 是 ， “ 制 造 制 造 ” 一 个 能 够 躲 避 反 恶 意 软 件 解 决 方 案 的 恶 意 软 件 ， 却 很 简 单 。 一 个 能 够 躲 避 反 恶 意 软 件 解 决 方 案 的 恶 意 软 件 ， 却 很 简 单 。 “ 编 写 编 写 ” 和 和 “ 制 造 制 造 ” 的 区 别 就 在 于 ， 后 者 一 行 代 码 都 的 区 别 就 在 于 ， 后 者 一 行 代 码 都 不 用 编 写 ， 只 需 要 点 击 一 个 按 钮 。 不 用 编 写 ， 只 需 要 点 击 一 个 按 钮 。 萨 尼 奥 大 学 的 研 究 团 队 I s w a t l a b   ( w w w . i s w a t l a b . e u ) ， 实 现 了 一 个 转 换 移 动 终 端 恶 意 代 码 的 引 擎 ， 能 够 修 改 代 码 的 外 部 特 征 ， 而 不 影 响 恶 意 程 序 的 行 为 。 他 们 把 这 个 工 具 命 名 为 “ 恶 意 软 件 清 洗 机 ” （ M a l w a r e   W a s h i n g   M a c h i n e ） 。 该 团 队 研 究 的 A n d r o i d 系 统 恶 意 软 件 转 换 引 擎 ， 可 以 执 行 下 列 变 换 操 作 ： 反 汇 编 和 重 新 汇 编 重 新 打 包 修 改 包 名 称 重 命 名 标 识 符 数 据 编 码 间 接 调 用 代 码 乱 序 花 指 令 插 入 复 合 变 换 I s w a t l a b 团 队 使 用 恶 意 软 件 清 洗 机 测 试 了 5 7 个 著 名 的 商 业 反 恶 意 软 件 解 决 方 案 。 他 们 用 这 个 工 具 修 改 了 5 5 6 0 个 恶 意 软 件 ， 这 些 恶 意 软 件 能 被 要 测 试 的 这 5 7 个 杀 软 检 测 出 来 。 在 修 改 之 后 ， 大 多 数 杀 软 都 无 法 检 测 出 大 部 分 恶 意 软 件 。 “ 基 于 特 征 的 检 测 算 法 在 移 动 终 端 上 是 否 有 效 ？ 我 们 开 发 了 一 个 框 架 ， 能 够 对 基 于 特 征 的 检 测 算 法 在 移 动 终 端 上 是 否 有 效 ？ 我 们 开 发 了 一 个 框 架 ， 能 够 对 A n d r o i d 应 用 程 序 进 行 细 微 的 变 形 。 应 用 程 序 进 行 细 微 的 变 形 。 接 着 ， 我 们 修 改 了 现 实 世 界 中 的 恶 意 软 件 （ 见 接 着 ， 我 们 修 改 了 现 实 世 界 中 的 恶 意 软 件 （ 见 h t t p s : / / w w w . s e c . c s . t u - b s . d e / ~ d a n a r p / d r e b i n / i n d e x . h t m l ） ， 然 后 ， 将 这 些 ） ， 然 后 ， 将 这 些 程 序 提 交 到 程 序 提 交 到   w w w . v i r u s t o t a l . c o m 网 站 ， 为 了 知 道 转 换 之 前 和 转 换 之 后 的 检 测 情 况 ， 我 们 在 转 换 之 前 和 转 换 之 后 ， 都 会 网 站 ， 为 了 知 道 转 换 之 前 和 转 换 之 后 的 检 测 情 况 ， 我 们 在 转 换 之 前 和 转 换 之 后 ， 都 会 把 每 一 个 样 本 上 传 检 测 把 每 一 个 样 本 上 传 检 测 ” 报 告 中 这 样 说 到 。 报 告 中 这 样 说 到 。 测 试 结 果 显 示 ， 转 换 之 后 ， 部 分 杀 软 仍 然 能 够 识 别 出 某 些 恶 意 软 件 是 同 一 个 家 族 ， 但 占 了 很 小 的 一 部 分 。 在 下 表 中 ， 第 一 列 表 示 杀 软 ， 第 二 列 表 示 被 该 杀 软 正 确 检 测 出 来 的 样 本 （ 转 换 之 前 ） 的 数 量 ， 第 三 列 表 示 被 正 确 检 测 出 来 的 样 本 （ 转 换 之 后 ） 的 数 量 。 ”
结 果 显 而 易 见 ， 杀 软 无 法 识 别 出 被 转 换 之 后 的 恶 意 软 件 （ 在 可 以 识 别 出 原 始 恶 意 软 件 的 条 件 下 ） 。 转 换 引 擎 的 源 代 码 已 经 公 开 了 ， 地 址 为 h t t p s : / / g i t h u b . c o m / f a b e r 0 3 / A n d r o i d M a l w a r e E v a l u a t i n g T o o l s I s w a t l a b 团 队 的 实 验 的 详 细 结 果 见 报 告 “ 利 用 恶 意 软 件 混 淆 技 术 对 抗 杀 软 检 测 ” 这 个 测 试 引 起 了 关 于 对 抗 恶 意 软 件 的 能 力 的 讨 论 ， I s w a t l a b 团 队 的 专 家 无 需 编 写 一 行 代 码 ， 只 需 要 用 一 些 常 用 的 手 段 ， 就 可 以 制 造 一 个 新 的 恶 意 软 件 。 总 结 ， 打 造 一 个 能 够 躲 避 安 全 解 决 方 案 检 测 的 新 的 恶 意 软 件 ， 只 需 要 几 分 钟 。 将 旧 的 恶 意 软 件 放 到 恶 意 软 件 清 洗 机 中 即 可 ！ 恶 意 软 件 清 洗 机 可 以 在 这 里 获 取 。 *   参 考 来 源 ： s e c u r i t y a f f a i r s ， f e l i x 编 译 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理