Questo metodo è mai stato utilizzato dai virus per verificare se il sistema è già stato infettato?

Question

Questo metodo è mai stato utilizzato dai virus per verificare se il sistema è già stato infettato?

#1 da (3 voti)

2

So che l'era del worm auto-diffusione è finita, ma ha questo meccanismo per determinare se una macchina è già stata infettata o non è mai stata utilizzata? Quando viene eseguito un virus, controlla se la macchina è già infetta ricercando una stringa, ad esempio una chiave denominata xyz in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft . Se viene trovato significa che il sistema è già stato infettato. Se non viene trovato, il virus genererà una nuova generazione di se stesso, che cerca abc anziché xyz , crea la voce di registro abc , avvia la nuova generazione ed elimina se stessa.

In pseudocode

//initialize string matchMe to an arbitrary value
if(findThread(matchMe))
//machine already infected
else
 matchMe = getRandomString()
 addtoRegistery(matchMe)
 spawnNewGeneration(matchMe)
 deleteSelf();

In questo modo non lascia alcun segno facile e immediato che un antivirus possa cercare.

virus antivirus

posta Celeritas 20.01.2015 - 12:55

fonte

1 risposta

Leggi altre domande sui tag virus antivirus

IIS 7 Account del servizio di pubblicazione sul World Wide Web Le specifiche hardware del firewall devono essere migliori della rete che protegge?

score 3 · Answer 1

Quindi ho "Practical Malware Analysis" di Sikorski e Honig di fronte a me. Descrivono l'uso del threading, ma penso che la forma più popolare di ciò che stai descrivendo sia un mutex. Il malware può creare mutex a livello di kernel con nomi specifici usando la chiamata di sistema KeInitializeMutex , e usa quel mutex per contrassegnare quel sistema. Se un altro pezzo dello stesso malware cade nel sistema, può quindi cercare di vedere se quel mutex con nome è a) presente, o b) di proprietà di un altro processo. Se lo è, allora è ragionevole presumere che tu abbia già infettato il computer. Ovviamente, diventa un'ottima firma per l'anti-virus e altri malware concorrenti.

Descrivono anche l'uso del registro. I malware possono cercare valori specifici nel registro e raggiungere la persistenza incorporando se stesso come servizio.

Quindi sì, questa tecnica è usata. Credo che alcuni dei "malware" di esempio forniti con il libro utilizzino queste tecniche.