Pesquisa: quais métodos de contornar antivírus são usados ​​por hackers

A criação de malware exclusivo requer muitos recursos, portanto, muitos grupos de hackers usam malware massivo e geralmente disponível publicamente em seus ataques. O uso generalizado inevitavelmente leva ao fato de que tal ferramenta entra no radar das empresas de antivírus e sua eficácia diminui.

Para resolver esse problema, os hackers usam técnicas de empacotamento, criptografia e mutação de código. Essas técnicas são frequentemente implementadas por ferramentas separadas - "crypters" ou simplesmente "packers". Neste artigo, usando o Trojan bancário RTM como exemplo, veremos quais “packers” podem ser usados ​​por cibercriminosos e como esses “packers” complicam a detecção de malware.

A versão completa deste estudo está disponível aqui .

---

Packer-as-a-service

O grupo de hackers por trás da distribuição de RTM regularmente realizava e-mails de phishing em massa com anexos maliciosos até o final de 2020. Esse processo, aparentemente, ocorreu de forma automática.

Cada um desses anexos continha arquivos significativamente diferentes, enquanto a carga útil final permanecia praticamente inalterada.

— «». , RTM, «», 2020 .

- , . , , packer-as-a-service. , . .

Rex3Packer

RTM, , 2019 . , , — 2020 .

- , : (recursion), (reverse) PE- (reflection) — Rex3Packer.

:

1. VirtualAlloc , .

   
   
   
   
   

2. ( , .text).

   
   
   
   
   

3. .

   
   
   
   
   

4. PE- ( ). ebx. . , , PE- , .

   
   
   
   
   

5. .

   
   
   
   
   

6. VirtualProtect RWX PE-.

   
   
   
   
   

7. .

   
   
   
   
   

8. .

   
   
   
   
   

9. PE .

   
   
   
   
   

10. — PE-. PE-, .

    
    
    
    
    

. : , .

16 , 4 4 :

• ,

  
  
  
  
  

• (PE-),

  
  
  
  
  

• (*), ,

  
  
  
  
  

• (1, 2, 4).

  
  
  
  
  

:

1. ( , 10011000 00011001).

   
   
   
   
   

2. (1, 2, 4), N = 9, 5, 3 . — (N – 1) ( 8, 4, 2).

   
   
   
   
   

3. N-1 : . , 00000001, 00010001 01010101 . . OR , .

   
   
   
   
   

, 4 . .

4.  PE-, (*) . , , . (*) .

, :

• WinAPI. , , , .

  
  
  
  
  

• — ( ), .

  
  
  
  
  

• . , .

  
  
  
  
  

RTM, Rex3Packer , .

Nemty, Pony, Amadey.  

HellowinPacker

2020 RTM — HellowinPacker, 2021 . . , .

. . .

, Rex3Packer, HellowinPacker . , , . , , — .

, — HKEY_CLASSES_ROOT\Interface\{b196b287-bab4-101a-b69c-00aa00341d07} ( ) (Default). .

GUID .

, .

, (, ). VirtualAlloc RWX. X . Y .

4 :

• (DWORD),

  
  
  
  
  

• ,

  
  
  
  
  

• xor , Z.

  
  
  
  
  

Rex3Packer, HellowinPacker WinAPI, . . , .

WinAPI imphash.

: ( ). WinAPI, (, 0 ).

HellowinPacker 2014 . . :

, . , («») . . : .

, , . : . . , , (, PT Sandbox) . , . , — , PT Network Attack Discovery.

: