搜索

[27938] 2019-11-28_Dexphot多态恶意软件使用多种复杂方法

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2019-11-28_Dexphot多态恶意软件使用多种复杂方法 D e x p h o t 多 态 恶 意 软 件 使 用 多 种 复 杂 方 法 O t s 安 全   2 0 1 9 - 1 1 - 2 8 D e x p h o t 是 安 全 研 究 人 员 检 测 到 的 最 新 多 态 恶 意 软 件 之 一 。 全 年 ， 该 恶 意 软 件 攻 击 了 将 近 8 0 , 0 0 0 台 计 算 机 。 D e x p h o t 感 染 了 数 以 万 计 的 计 算 机 感 染 了 数 以 万 计 的 计 算 机 D e x p h o t 于 2 0 1 8 年 1 0 月 首 次 被 检 测 到 ， 并 且 已 多 次 升 级 到 某 种 程 度 ， 使 其 分 析 代 码 成 为 一 项 艰 巨 的 任 务 。 该 恶 意 软 件 在 2 0 1 9 年 6 月 再 次 出 现 ， 当 时 它 影 响 了 数 万 台 计 算 机 。 攻 击 在 几 周 后 平 息 ， 每 天 只 在 不 到 1 0 , 0 0 0 台 计 算 机 上 看 到 该 恶 意 软 件 。 根 据 M i c r o s o f t 研 究 人 员 的 说 法 ， D e x p h o t 利 用 各 种 复 杂 的 方 法 来 逃 避 安 全 软 件 ， 例 如 混 淆 层 ， 加 密 层 和 随 机 文 件 名 ， 以 隐 藏 安 装 过 程 。 该 恶 意 软 件 还 使 用 无 文 件 恶 意 软 件 技 术 在 内 存 中 运 行 恶 意 代 码 ， 几 乎 没 有 痕 迹 可 用 于 法 医 分 析 。 D e x p h o t 还 劫 持 了 合 法 的 系 统 进 程 ， 以 掩 盖 恶 意 活 动 。 微 软 表 示 ， 如 果 不 停 止 ， 该 恶 意 软 件 还 会 在 受 感 染 的 系 统 上 运 行 一 个 加 密 货 币 矿 工 ， 监 视 程 序 和 计 划 任 务 会 在 防 御 者 试 图 删 除 该 恶 意 软 件 时 触 发 重 新 感 染 。 由 于 该 恶 意 软 件 显 示 出 复 杂 的 行 为 ， 持 久 性 ， 多 态 性 和 无 文 件 技 术 ， 因 此 捕 获 的 唯 一 方 法 是 使 用 基 于 行 为 的 检 测 。 D e x p h o t 恶 意 软 件 感 染 的 早 期 阶 段 包 括 以 下 内 容 ： 具 有 两 个 U R L 的 安 装 程 序 从 其 中 一 个 U R L 下 载 的 M S I 软 件 包 文 件 一 个 受 密 码 保 护 的 Z I P 归 档 文 件 一 个 从 归 档
文 件 中 提 取 的 加 载 器 D L L   一 个 加 密 的 数 据 文 件 ， 其 中 包 含 三 个 附 加 的 可 执 行 文 件 ， 这 些 文 件 通 过 进 程 挖 空 被 加 载 到 系 统 进 程 中 D e x p h o t 的 多 态 性 的 多 态 性 该 恶 意 软 件 在 其 分 发 的 二 进 制 文 件 中 使 用 了 多 层 多 态 性 。 恶 意 软 件 利 用 的 某 些 文 件 设 置 为 每 2 0 - 3 0 分 钟 更 改 一 次 。 恶 意 软 件 所 包 含 的 M S I 可 执 行 文 件 包 含 D e x p h o t 部 署 的 某 些 文 件 ， 每 2 0 或 3 0 分 钟 就 会 更 改 一 次 ， 因 此 很 难 跟 踪 其 活 动 。 该 软 件 包 以 M S I 可 执 行 文 件 的 形 式 提 供 ， 其 中 包 含 各 种 文 件 ， 这 些 文 件 从 一 种 感 染 到 另 一 种 感 染 都 不 同 。 “   M S I 包 通 常 包 括 一 个 干 净 的 版 本 包 含 u n z i p . e x e ， 受 密 码 保 护 的 Z I P 文 件 ， 一 个 批 处 理 文 件 ， 检 查 当 前 安 装 的 防 病 毒 产 品 。 但 是 ， 批 处 理 文 件 并 不 总 是 存 在 ， Z I P 文 件 和 L o a d e r   D L L 的 名 称 以 及 提 取 Z I P 文 件 的 密 码 都 从 一 个 软 件 包 更 改 为 另 一 个 软 件 包 。 你 知 道 吗 ？ 多 态 恶 意 软 件 每 次 复 制 自 身 并 感 染 下 一 个 文 件 时 ， 都 会 更 改 其 病 毒 签 名 。 这 样 ， 该 病 毒 将 逃 避 A V 软 件 的 检 测 。 2 0 1 6 年 ， W e b r o o t 研 究 人 员 分 析 了 超 过 2 7 0 亿 个 U R L ， 6 亿 个 域 ， 4 0 亿 个 I P 地 址 ， 2 0 个 移 动 应 用 程 序 ， 1 0 0 0 万 个 已 连 接 的 传 感 器 以 及 至 少 9 0 0 万 个 文 件 行 为 记 录 。 在 9 7 ％ 的 感 染 案 例 中 ， 恶 意 软 件 被 识 别 为 多 态 的 ， 或 者 对 于 系 统 而 言 是 唯 一 的 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理