搜索

[10032] 2016-04-22_Mac党福利：研究人员开发免费的Ransomware检测工具

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2016-04-22_Mac党福利：研究人员开发免费的Ransomware检测工具 M a c 党 福 利 ： 研 究 人 员 开 发 免 费 的 R a n s o m w a r e 检 测 工 具 d a w n e r   F r e e B u f   2 0 1 6 - 0 4 - 2 2 R a n s o m W h e r e 是 一 款 通 用 的 免 费 是 一 款 通 用 的 免 费 r a n s o m w a r e 检 测 工 具 ， 它 可 以 通 过 监 控 可 疑 的 文 件 系 统 创 建 加 密 文 件 的 行 为 ， 帮 助 检 测 工 具 ， 它 可 以 通 过 监 控 可 疑 的 文 件 系 统 创 建 加 密 文 件 的 行 为 ， 帮 助 M a c   O S   X 用 户 识 别 疑 似 的 用 户 识 别 疑 似 的 r a n s o m w a r e 软 件 。 软 件 。 不 走 寻 常 路 的 不 走 寻 常 路 的 R a n s o m W h e r e 这 个 r a n s o m w a r e 检 测 工 具 有 助 于 阻 止 可 疑 进 程 ， 并 让 用 户 决 定 是 否 允 许 或 者 阻 止 该 进 程 的 运 行 。 在 这 几 年 里 ， r a n s o m w a r e 数 量 和 泛 滥 程 度 大 幅 度 上 升 。 它 的 势 头 如 此 之 快 ， 以 至 于 可 能 已 经 来 到 了 你 的 身 边 。 在 我 们 日 常 生 活 中 ， 每 天 都 会 出 现 成 百 上 千 r a n s o m w a r e 样 本 。 对 于 传 统 以 检 测 签 名 为 主 的 杀 软 ， 由 于 病 毒 库 更 新 跟 不 上 ， 是 很 难 对 此 保 持 及 时 查 杀 的 。 所 以 ， 如 果 基 于 签 名 的 杀 毒 技 术 不 足 以 检 测 r a n s o m w a r e 的 感 染 ， 那 么 我 们 应 该 怎 么 做 呢 ？ 某 些 杀 毒 公 司 已 经 升 级 了 他 们 的 安 全 解 决 方 案 ， 通 过 按 序 访 问 大 量 的 文 件 来 检 测 可 疑 的 行 为 ， 比 如 那 些 启 用 了 加 密 算 法 和 密 钥 交 换 机 制 的 。 而 R a n s o m W h e r e 是 一 款 聪 明 的 应 用 ， 它 可 以 识 别 类 r a n s o m w a r e 的 行 为 。 如 果 检 测 到 不 受 信 任 的 进 程 对 文 件 进 行 快 速 的 加 密 ， 它 就 会 阻 止 它 并 提 醒 用 户 。 R a n s o m W h e r e 如 何 工 作 如 何 工 作 P a t r i c k   W a r d l e ， 这 位 前 国 家 安 全 局 （ N S A ） 的 雇 员 ， 现 就 职 于 挖 洞 研 究 机 构 S y n a c k 主 导 研 究 工 作 。 他 开 发 了 R a n s o m W h e r e 这 款 工 具 ， 其 目 的 是 通 过 定 期 监 控 用 户 本 地 文 件 系 统 创 建 加 密 文 件 的 行 为 ， 从 而 检 测 和 锁 定 通 用 的 r a n s o m w a r e 。 W a r d l e 在 某 篇 博 文 中 表 示 ： “ 有 了 R a n s o m W h e r e ， r a n s o m w a r e 在 被 发 现 和 阻 止 前 ， 理 想 情 况 下 最 多 只 能 加 密 几 个 文 件 。 ” 这 款 r a n s o m w a r e 检 测 工 具 ， 默 认 情 况 下 只 会 扫 描 由 苹 果 开 发 者 I D 签 名 的 M a c 应 用 和 二 进 制 文 件 ， 而 不 是 由 苹 果 官 方 证 书 签 名 的 文 件 。 如 果 工 具 检 测 到 了 任 何 不 受 信 任 的 进 程 ， 它 会 将 其 挂 起 并 弹 出 提 示 框 ， 询 问 用 户 要 不 要 继 续 运 行 ， 或 者 直 接 对 其 进 行 终 止 操 作 。
W a r d l e 测 试 了 K e R a n g e r 和 G o p h e r 的 P O C （ 由 苹 果 职 业 黑 客 P e d r o V i l a c a 开 发 ） ， 结 果 让 人 满 意 。 虽 然 W a r d l e 承 认 他 的 工 具 不 能 保 证 1 0 0 % 能 检 测 到 r a n s o m w a r e ， 毕 竟 有 黑 客 可 以 绕 过 行 为 检 测 进 行 b y p a s s ， 但 总 比 完 全 不 设 防 要 好 得 多 。 R a n s o m W h e r e 工 具 的 局 限 性 工 具 的 局 限 性 如 果 r a n s o m w a r e 盗 用 苹 果 签 名 的 文 件 和 应 用 ， R a n s o m W h e r e 将 无 法 生 效 ， 因 为 它 对 官 方 签 名 加 了 白 名 单 。 R a n s o m W h e r e 要 在 文 件 已 被 感 染 后 ， 才 能 触 发 监 测 报 警 。 同 时 ， 在 您 的 h o m e 目 录 之 外 的 文 件 是 不 受 R a n s o m W h e r e 保 护 的 。 所 以 ， 某 些 特 殊 的 r a n s o m w a r e 可 能 会 将 你 的 文 件 移 到 h o m e 目 录 之 外 ， 然 后 将 其 加 密 。 然 而 道 高 一 尺 ， 魔 高 一 丈 。 正 如 前 面 的 工 具 局 限 所 述 ， V i l a c a 往 G o p h e r   r a n s o m w a r e 里 面 加 了 1 0 行 代 码 ， 在 将 受 害 者 的 文 件 移 出 了 h o m e 目 录 然 后 进 行 加 密 ， 在 短 时 间 内 绕 过 了 R a n s o m W h e r e 。 当 然 ， R a n s o m W h e r e 也 会 进 步 ， 我 们 期 待 他 的 进 一 步 优 化 。   * 参 考 来 源 ： T A ， F B 小 编 d a w n e r 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）     阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理