एवी बनाम फेकव

हेलो, हैबर। स्पर्श व्याचेस्लाव ज़कोरज़ेव्स्की में, एलसी के वरिष्ठ वायरल विश्लेषक। जबकि संपादक नियमित रूप से घोषणाएं और अन्य कविताएं लिखते हैं, आपको थोड़ी तकनीकी सामग्री के साथ आश्चर्यचकित करने का अवसर है।
हर कोई शायद जानता है कि कई अलग-अलग चिप्स हैं जिनके साथ मदद करने वाले अपने वंश की रक्षा करते हैं। आमतौर पर वे यह निर्धारित करने की कोशिश करते हैं कि क्या एप्लिकेशन एक वर्चुअल मशीन के तहत चल रहा है, हेयुरिस्टिक या प्रोएक्टिव प्रोटेक्शन, इत्यादि। हमने फैसला किया कि कैसे आधुनिक फ़ेकव (कुछ दिन पहले ही प्राप्त हुआ) का एक छोटा सा उदाहरण लिखने के लिए वायरस लेखकों ने एवी उत्पादों, सैंडबॉक्स, आदि को बायपास करने की कोशिश की। मैंने जिस फ़ाइल की जांच की, उसमें मुझे एक उत्सुक नाम के साथ निर्यात किए गए फ़ंक्शन का कॉल मिला:


Hiew मैलवेयर स्क्रीनशॉट

फ़ंक्शन का नाम "एंटीम्यू 33" खुद के लिए बोलता है - एन्टीम्यूलेशन - एंटी-एमुलेशन। स्क्रीनशॉट दिखाता है कि फ़ंक्शन का परिणाम चेक किया गया है। यदि यह "0" के बराबर नहीं है, तो मैलवेयर आगे काम करना जारी रखता है। और यदि परिणाम "0" है, तो नियंत्रण उस कोड को स्थानांतरित कर दिया जाता है जो प्रक्रिया को पूरा करता है। आईडीए का उपयोग करके फ़ंक्शन के अंदर एक नज़र डालें।


स्क्रीन में IDA से antiemu33 है

इस प्रक्रिया में, एक दुर्लभ API फ़ंक्शन "ldap_count_references" को लाइब्रेरी "WLDAP32.dll" से पुकारा जाता है। और फिर दो संभावित परिदृश्य हैं:
1) कुछ भी नहीं होगा, फ़ंक्शन नियंत्रण वापस करेगा, और antiemu33 "0" लौटाएगा;
2) एक अपवाद फेंक दिया जाता है, 0x401025 पते पर एक अपवाद हैंडलर कहा जाता है, जो वांछित "1" लौटाएगा।


आईडीए अपवाद फेंक रहा है

अपवाद हैंडलर C ++ try / catch का उपयोग करके सेट किया गया था, आईडीए स्क्रीन पर संपूर्ण संरचना को प्रदर्शित करके इस सांख्यिकीय रूप से निर्धारित करने में सक्षम था। इस प्रकार, हमलावरों की गणना इस तथ्य में शामिल है कि कुछ एमुलेटर या हेयुरिस्टिक एनालाइजर गलत तरीके से इस एपीआई फ़ंक्शन या अपवाद हैंडलिंग को कॉल करेगा, जिससे "0" की वापसी और फ़ाइल के बाद के पूर्ण होने का कारण होगा।
और दूसरे पर विरोधी अनुकरण का एक और उदाहरण है, लेकिन बहुत ताजा फेकव। नीचे मैंने Hiew से एक स्क्रीनशॉट संलग्न किया है, कर्सर सीधे प्रवेश बिंदु पर इंगित करता है।


प्रवेश बिंदु से फेकव का स्क्रीनशॉट

आदेश में - EnumResourceTypesA फ़ंक्शन को कहा जाता है, और फिर यह जांचा जाता है कि लौटा मूल्य शून्य है या नहीं। यदि फ़ंक्शन शून्य लौटता है, तो प्रोग्राम एक अनंत लूप में जाएगा, जो स्पष्ट रूप से, एक सामान्य सिस्टम पर नहीं होना चाहिए। इस प्रकार, यह पहला विरोधी अनुकरण है, काफी सरल है, लेकिन संभवतः कुछ को दरकिनार करने में सक्षम है। अगला, GetLastError फ़ंक्शन को कहा जाता है, और वापसी मूल्य 7 बिट्स द्वारा दाईं ओर स्थानांतरित किया जाता है और 0x1003C9 पते पर जोड़ा जाता है। फिर, कॉल का उपयोग करके, प्राप्त मूल्य के अनुसार एक संक्रमण किया जाता है। एक सामान्य मशीन पर, GetLastError के बाद eax में, यह 0x714 होना चाहिए, शिफ्ट के बाद - 0xE, इसके बाद - 0x1003D7। इस प्रकार, एक जीवित प्रणाली में, संक्रमण इस पते पर किया जाएगा। और अगर हेयुरिस्टिक एनालाइज़र या एमुलेटर गेटलास्ट्रॉइल कॉल को पर्याप्त रूप से संभाल नहीं सकता है, तो एप्लिकेशन समाप्त हो जाएगा या क्रैश हो जाएगा।


आईडीए से एक ही फ़ेकव का स्क्रीनशॉट

लेकिन यह वहाँ समाप्त नहीं होता है - यदि आप कोड को देखते हैं, तो आप देख सकते हैं कि EnumSystemLocalesA फ़ंक्शन को आगे कहा जाता है, जिसके बाद ... ExitProcess में संक्रमण किया जाता है! और पूरी चाल यह है कि कॉलबैक (LOCALE_ENUMPROC) को इंगित करने के लिए पहला फ़ंक्शन इस फ़ंक्शन को दिया जाता है, जिसे सिस्टम द्वारा कहा जाता है। यह इस कॉलबैक में है कि मैलवेयर का संपूर्ण "पेलोड" स्थित है। यहाँ फिर से, मैलवेयर डेवलपर्स एपीआई कार्यों को संसाधित करने वाले एंटीवायरस की अपूर्णता पर भरोसा करते हैं।