एंटीवायरस की क्षमताओं के बारे में। भाग 1

आज, एंटीवायरस उत्पादों के लिए बाजार हमेशा की तरह विविध है। एंटीवायरस कंपनियां हमें क्या पेशकश करती हैं नई तकनीकें नहीं; प्रोएक्टिव प्रोटेक्शन, कोड इम्यूलेशन, हेयुरिस्टिक एनालिसिस, "क्लाउड" टेक्नोलॉजी आदि की संभावनाएं। आदि लगभग हर स्वाभिमानी एंटीवायरस के विवरण में मौजूद हैं। लेकिन ये विज्ञापित प्रौद्योगिकियां कितनी प्रभावी हैं यह एक बड़ा सवाल है। आइए इसे जानने की कोशिश करें।

एंटीवायरस का एक मुख्य कार्य उपयोगकर्ता के कंप्यूटर को पहले के अज्ञात खतरों, 0-दिन के वायरस, इसलिए बोलने से बचाना है। हम आज व्यवहार में एंटीवायरस की इस कार्यक्षमता का मूल्यांकन करेंगे। ऐसा करने के लिए, हम एंटीवायरस स्कैनर के साथ अपने परीक्षण कार्यक्रमों की जांच करेंगे, और वायरस कुल का उपयोग किया जाएगा। इसी समय, यह तुरंत ध्यान दिया जाना चाहिए कि इस तरह के परीक्षण के साथ विभिन्न एचआईपीएस प्रौद्योगिकियों और इस तरह किसी भी तरह से मूल्यांकन नहीं किया जाएगा, जो आपको अपने व्यवहार का विश्लेषण करके मक्खी पर एक फ़ाइल की दुर्भावनापूर्ण कार्यक्षमता का निर्धारण करने की अनुमति देता है। यही है, हमारा परीक्षण एक एंटीवायरस उत्पाद के साथ एक साधारण फ़ाइल जांच के समान होगा। चलिए शुरू करते हैं।

हम क्लासिक मैलवेयर - केले ट्रोजन-डाउनलोडर का परीक्षण करेंगे। यह माना जाता है कि कोई भी सॉफ़्टवेयर उत्पाद जो खुद को एंटीवायरस कहता है, उसे बिना किसी समस्या के खतरे को पहचानना चाहिए। हमारा पहला परीक्षण कार्यक्रम इस प्रकार है:



हम वायरस कुल पर चमत्कार कार्यक्रम लोड करते हैं और निम्न चित्र हमारे सामने खुलते हैं:



हमारे पहले परीक्षण को 43 एंटीवायरस में से केवल 18 द्वारा मान्यता दी गई थी। तुरंत अवास्ट, कोमोडो, Nod32, पांडा और सिमेंटेक जैसे कुख्यात एंटीवायरस को आत्मसमर्पण कर दिया। उन्होंने इस तरह के एक आदिम वायरस को कैसे प्रबंधित किया? क्या हमारे लिए इस तरह के "एंटीवायरस" से नैतिक मुआवजे की मांग करने का समय नहीं है?

आगे बढ़ो, यह देखने के लिए जांचें कि क्या एंटीवायरस संरचनात्मक अपवादों का उपयोग करते हुए इस तरह के एक लोकप्रिय चाल को संभाल सकते हैं। दूसरा परीक्षण कुछ इस तरह दिखाई देगा:



यहां हम अपने स्वयं के अपवाद हैंडलर बनाते हैं, फिर हम एक अमान्य ऑपरेशन करते हैं, जिसके परिणामस्वरूप नियंत्रण को हमारे हैंडलर में स्थानांतरित किया जाना चाहिए। क्या हमारे प्रायोगिक एंटीवायरस इससे निपटने में सक्षम होंगे:



नमूने को 43 एंटीवायरस में से 19 द्वारा मान्यता प्राप्त थी। यह ज्ञात नहीं है कि क्यों, लेकिन SUPERAntiSpyware जाग गया और एक अज्ञात अलार्म जारी किया। अन्यथा, परिणाम नहीं बदले हैं। शायद एंटीवायरस संरचनात्मक अपवादों को सही ढंग से संभालने में सक्षम नहीं हैं, लेकिन केवल कार्यक्रम द्वारा उपयोग की जाने वाली संदिग्ध लाइनों पर शपथ ग्रहण कर रहे हैं? इसे जांचें और डेटा अनुभाग एन्क्रिप्ट करें:



अब देखते हैं कि क्या बदल गया है:



फिर से, 43 में से 18 समान अलार्म, लेकिन अब मैकफी ऑर्डर से बाहर है, और SUPERAntiSpyware फिर से एक अज्ञात अलार्म जारी करता है। खैर, यह कुछ और अधिक जटिल के साथ आने का समय है। हम ऐसी किसी चीज का उपयोग करेंगे जिसके बारे में अनुमान लगाने की संभावना नहीं है। मेरी पसंद सीपीयूआईडी कमांड पर गिर गई, जिसके साथ आप प्रोसेसर नाम प्राप्त कर सकते हैं। यह आसानी से किया जाता है:

mov edi, offset szName
mov eax, 080000002h
BYTE 0fh, 0a2h; CPUID
mov [edi], eax
add edi, 4
mov [edi], ebx
add edi, 4
mov [edi], ecx
add edi, 4
mov [edi], edx
add edi, 4
mov eax, 080000003h
BYTE 0fh, 0a2h; CPUID
mov [edi], eax
add edi, 4
mov [edi], ebx
add edi, 4
mov [edi], ecx
add edi, 4
mov [edi], edx
add edi, 4
mov eax, 080000004h
BYTE 0fh, 0a2h; CPUID
mov [edi], eax
add edi, 4
mov [edi], ebx
add edi, 4
mov [edi], ecx
add edi, 4
mov [edi], edx

इस कोड को निष्पादित करने के बाद, प्रोसेसर नाम szName वैरिएबल में दिखाई देगा। हम इसका उपयोग कैसे कर सकते हैं? लेकिन क्या होगा अगर, परिणाम के आधार पर, हम अतिरिक्त रूप से डेटा अनुभाग एन्क्रिप्ट करते हैं? इस मामले में हमें केवल एक चीज हासिल करने की जरूरत है, जो विभिन्न प्रोसेसरों पर प्रोग्राम को चलाने की क्षमता बनाए रखना है। यह देखना आसान है कि आमतौर पर प्रोसेसर के नाम पर पहले स्थान पर उस कंपनी का नाम होता है जो इसका उत्पादन करती है। क्या यह एंटीवायरस नोटिस करता है - यह सवाल))) चलो एक साधारण फ़ंक्शन लिखते हैं:

unsigned int ParseName(char *str)
{
char *p=str;
while(*p==' ') p++;
unsigned int hash=p[0]*34+p[1]*344+p[2]*1152+p[3]*44233+p[4]*234321;
if(hash==29948155)
{
return p[0]+p[1]*0x100+p[2]*0x10000+p[3]*0x1000000;
}
return 0x75273451;
}

यहां सब कुछ सरल है: पहले, हम रिक्त स्थान को छोड़ देते हैं, फिर हम पहले शब्द से एक हैश की तरह कुछ गणना करते हैं, और यदि हैश संदर्भ मान से मेल खाता है, तो हम इस पहले शब्द के आधार पर डिक्रिप्शन कुंजी की गणना करते हैं। यह केवल किसी भी संकलक के साथ फ़ंक्शन को संकलित करने और कार्यक्रम में अपने कोडांतरक कोड को सम्मिलित करने के लिए रहता है। चूंकि मेरे कंप्यूटर पर एक इंटेल प्रोसेसर है, इसलिए मैंने इंटेल शब्द से हैश की गणना की। इसलिए हमारा चौथा परीक्षण सभी प्रोसेसरों पर काम नहीं करेगा। और इसे कैसे ठीक करें और एएमडी को नाराज न करें, मुझे लगता है कि आप खुद अनुमान लगाएंगे। परिणामस्वरूप, हमें लगभग निम्नलिखित मिलते हैं:



फ़ाइल डाउनलोड करें और परिणाम देखें:



43 एंटीवायरस में से केवल 5 ने कार्य पूरा किया। और SUPERAntiSpyware ने वायरस को गलती से यहाँ पाया))) ठीक है, अगर हम प्रोग्राम कोड को एन्क्रिप्ट भी करते हैं तो क्या होगा? उदाहरण के लिए, एक विंडो बनाएं, जानें कि इसमें क्या पाठ है, और फिर प्राप्त जानकारी के आधार पर प्रोग्राम कोड को डिक्रिप्ट करें। यह इस तरह लग सकता है:



फ़ाइल भेजें:



अब 43 एंटीवायरस में से 6 ने प्रतिक्रिया व्यक्त की है। हालांकि, उनमें से 4 मैलवेयर के प्रकार को निर्धारित नहीं कर सके। यह तथ्य इंगित करता है कि एंटीवायरस बस कार्य के साथ सामना नहीं करते थे - वे वायरस के शरीर को डिक्रिप्ट नहीं कर सकते थे और केवल अलार्म जारी किया था क्योंकि फ़ाइल पैक किया गया था। सामान्य तौर पर, यह नैतिक रूप से गलत है: पैकेजिंग निष्पादन योग्य फ़ाइलों के साथ कुछ भी गलत नहीं है। यह हमारी गलती नहीं है कि एंटीवायरस प्रोग्राम पैक्ड फाइलों के साथ सही ढंग से काम नहीं कर सकता है। निष्कर्ष संख्या एक - अप्रिय घटनाओं से बचने के लिए पैकेजिंग के बाद हमेशा अपने सॉफ़्टवेयर की जांच करें। निष्कर्ष संख्या दो - केवल दो एंटीवायरस वास्तव में हमारे आखिरी परीक्षण में कामयाब रहे: कास्परस्की और माइक्रोसॉफ्ट। इसके साथ जो जुड़ा है वह अज्ञात है। शायद इस तथ्य के साथ कि वे डेटाबेस में किसी प्रकार के हस्ताक्षर लाने में कामयाब रहे? या उनके हस्ताक्षर XOR एन्क्रिप्शन के माध्यम से टूट सकते हैं? मुझे लगता है कि आप इस जगह पर एक बुलेट डाल सकते हैं, खासकर जब से कास्परस्की मेरा पसंदीदा एंटीवायरस है, और मुझे Microsoft उत्पादों के बारे में कोई शिकायत नहीं है (... अच्छी तरह से ... जब तक विंडोज 8 बाहर नहीं आया)।

वैश्विक निष्कर्ष: आज प्रोएक्टिव तकनीकें अभी भी पूर्ण से बहुत दूर हैं और उन्हें मूर्ख बनाना बहुत मुश्किल नहीं है।

PS द HIPS तकनीक, जो अपने व्यवहार का विश्लेषण करके मक्खी पर दुर्भावनापूर्ण फ़ाइल कार्यक्षमता का पता लगाने में सक्षम है, लेख में अलिखित है। इसलिए, सब कुछ उतना बुरा नहीं है जितना लगता है - यदि आप किसी एंटीवायरस के साथ फ़ाइल को स्कैन करते हैं और कुछ नहीं पाते हैं, तो इसे चलाएं, एंटीवायरस आपको सबसे अधिक चेतावनी देगा। लेकिन यह विषय पूरी तरह से अलग कहानी है।