調査：ハッカーがアンチウイルスをバイパスする方法を教えてください

独自のマルウェアの作成には多くのリソースが必要であるため、多くのハッカーグループは、攻撃に大規模で、多くの場合公開されているマルウェアを使用しています。広く使用されると、必然的にそのようなツールがウイルス対策会社の注目を集め、その有効性が低下するという事実につながります。

この問題を解決するために、ハッカーはパッケージング、暗号化、およびコード変更の手法を使用します。このような手法は、多くの場合、「クリプター」または単に「パッカー」という個別のツールによって実装されます。この記事では、RTMバンキングトロイの木馬を例として使用して、サイバー犯罪者が使用できる「パッカー」と、これらの「パッカー」がマルウェア検出をどのように複雑にするかを見ていきます。

この調査の完全版は、こちらから入手できます。

---

サービスとしてのパッカー

RTMの配布の背後にあるハッカーグループは、2020年の終わりまで、悪意のある添付ファイルを含む大量のフィッシングメールを定期的に実行していました。このプロセスは、明らかに、自動的に行われました。

これらの添付ファイルにはそれぞれ大幅に異なるファイルが含まれていましたが、最終的なペイロードは実質的に変更されていませんでした。

— «». , RTM, «», 2020 .

- , . , , packer-as-a-service. , . .

Rex3Packer

RTM, , 2019 . , , — 2020 .

- , : (recursion), (reverse) PE- (reflection) — Rex3Packer.

:

1. VirtualAlloc , .

   
   
   
   
   

2. ( , .text).

   
   
   
   
   

3. .

   
   
   
   
   

4. PE- ( ). ebx. . , , PE- , .

   
   
   
   
   

5. .

   
   
   
   
   

6. VirtualProtect RWX PE-.

   
   
   
   
   

7. .

   
   
   
   
   

8. .

   
   
   
   
   

9. PE .

   
   
   
   
   

10. — PE-. PE-, .

    
    
    
    
    

. : , .

16 , 4 4 :

• ,

  
  
  
  
  

• (PE-),

  
  
  
  
  

• (*), ,

  
  
  
  
  

• (1, 2, 4).

  
  
  
  
  

:

1. ( , 10011000 00011001).

   
   
   
   
   

2. (1, 2, 4), N = 9, 5, 3 . — (N – 1) ( 8, 4, 2).

   
   
   
   
   

3. N-1 : . , 00000001, 00010001 01010101 . . OR , .

   
   
   
   
   

, 4 . .

4.  PE-, (*) . , , . (*) .

, :

• WinAPI. , , , .

  
  
  
  
  

• — ( ), .

  
  
  
  
  

• . , .

  
  
  
  
  

RTM, Rex3Packer , .

Nemty, Pony, Amadey.  

HellowinPacker

2020 RTM — HellowinPacker, 2021 . . , .

. . .

, Rex3Packer, HellowinPacker . , , . , , — .

, — HKEY_CLASSES_ROOT\Interface\{b196b287-bab4-101a-b69c-00aa00341d07} ( ) (Default). .

GUID .

, .

, (, ). VirtualAlloc RWX. X . Y .

4 :

• (DWORD),

  
  
  
  
  

• ,

  
  
  
  
  

• xor , Z.

  
  
  
  
  

Rex3Packer, HellowinPacker WinAPI, . . , .

WinAPI imphash.

: ( ). WinAPI, (, 0 ).

HellowinPacker 2014 . . :

, . , («») . . : .

, , . : . . , , (, PT Sandbox) . , . , — , PT Network Attack Discovery.

: