श्रद्धांजलि के लिए देखें

प्राचीन यादों से प्रेरित ... साल और दशक गुजरते हैं, ऑपरेटिंग सिस्टम के नाम एक दूसरे की जगह लेते हैं, लेकिन कुछ अभी भी अपरिवर्तित है। निकट-हैकर सॉफ़्टवेयर की विविधता के बीच, HIEW ने मुझे हमेशा आश्चर्यचकित किया है; असंगत तरीके से, यह सांत्वना कार्यक्रम समय के खिलाफ लड़ने और आज भी लोकप्रिय होने का प्रबंधन करता है। HIEW ने अपने स्थान पर कब्जा कर लिया है और औद्योगिक वायरल एनालिटिक्स का मुख्य उपकरण बन गया है। यह आपको अजीब और असुविधाजनक लग सकता है, लेकिन वायरस विश्लेषण के लिए HIEW का उपयोग करना बहुत प्रभावी है।

तो, चलो शुरू करते हैं, शायद।

उद्देश्य: निष्पादन योग्य फ़ाइलों के पहाड़ के बीच मैलवेयर की पहचान करना और वर्गीकृत करना।

समाधान: डायनामिक विश्लेषण का उपयोग करना असुविधाजनक है, आईडीए लंबा (और महंगा) है, निष्कर्ष यह है कि हम HIEW का उपयोग करते हैं।

हम मैलवेयर के लिए निष्पादन योग्य फ़ाइल के एक्सप्रेस विश्लेषण के लिए एक उदाहरण एल्गोरिथ्म का वर्णन करते हैं। पहली बात यह है कि फ़ाइल वायरस के साथ विश्लेषण किए गए ऑब्जेक्ट के संभावित संक्रमण की पहचान करना है।

निष्पादन योग्य फ़ाइल को HIEW में डाउनलोड करें और देखें कि एंट्री पॉइंट पॉइंट किस सेक्शन में (Enter, F8, F6) है। कई मामले यहां संभव हैं।

विकल्प एक। प्रवेश बिंदु पीई फ़ाइल के हेडर क्षेत्र में कहीं इंगित करता है। वैरिएंट तुच्छ है और इसका पता टेक्स्ट मोड में फाइल को देखने से लगता है।

विकल्प दो। प्रविष्टि बिंदु निष्पादन योग्य फ़ाइल के अंतिम खंड को इंगित करता है। यह भी बहुत संदिग्ध है और सबसे अधिक संभावना एक फ़ाइल संक्रमण को इंगित करता है। आइए कुछ उदाहरण देखें।

प्रवेश बिंदु इस प्रकार है:



प्रशिक्षित आंख कॉल +5 अनुदेश के आवेदन को काट देती है, जो सामान्य संकलक के बहुत विशिष्ट नहीं है। लाइन 0x0048c030 भी दिलचस्प है, जहां पीई फ़ाइल के हेडर के साथ मैनुअल काम होने की संभावना है। आइए अनुभाग की विशेषताओं को देखें:



स्पष्ट निष्कर्ष खुद पता चलता है: विश्लेषण की गई वस्तु एक फ़ाइल वायरस से संक्रमित है। इस मामले में, यह एक प्रकार का विषाणु विषाणु है।

सामान्य तौर पर, फ़ाइल के अंतिम भाग का संक्रमण एक बहुत ही लोकप्रिय तकनीक है जिसमें बहुत अधिक प्रयास की आवश्यकता नहीं होती है। संक्रमण को अंतिम अनुभाग में सार्थक या एन्क्रिप्टेड कोड की उपस्थिति से आसानी से पहचाना जा सकता है, जो इसके लिए पूरी तरह से इरादा नहीं है। उदाहरण के लिए, संसाधनों, डेटा, रोमिंग तत्वों आदि के अनुभाग में।

कभी-कभी आप निम्न चित्र से मिल सकते हैं:



फैसला स्पष्ट है - फ़ाइल संक्रमित है। संकलक द्वारा संरेखण के लिए फ़ाइल के अंत में बाइट्स छोड़ने के बाद, न केवल सार्थक कोड अनुसरण करता है, बल्कि प्रविष्टि बिंदु भी।

आइए, एक्सप्रेस विश्लेषण से एक छोटा गेय विषयांतर बनाते हैं। सवाल उठता है: क्या गतिशील रूप से डिक्रिप्टिंग वस्तुओं को HIEW के साथ एक्सप्लोर करना संभव है? हैरानी की बात है, यह अक्सर किया जाता है। पिछले Virut उदाहरण पर विचार करें। वायरस कोड छोटा है, कुछ स्थानों पर एन्क्रिप्टेड है और फ़ाइल के अंत में स्थित है। असंतुष्ट लिस्टिंग के माध्यम से थोड़ा फ़्लिप करने के बाद, हम इस पर आते हैं:



यहां सरलतम डिक्रिप्शन चक्र को देखना मुश्किल नहीं है। हालाँकि, स्थैतिक विश्लेषण के मामले में, हम यह निर्धारित नहीं कर सकते कि किस कुंजी के साथ डिक्रिप्ट किया गया है। लेकिन! याद रखें कि HIEW क्रॉस-रेफरेंस की खोज का समर्थन करता है, कर्सर को डिक्रिप्शन चक्र की शुरुआत में ले जाएं, F6 दबाएं और हमारे लिए कोड ऑफ इंट्रेस्ट के कॉल को देखें:



यह बहुत संभावना है कि यह कोड है जो डिक्रिप्शन प्रक्रिया को कॉल करता है। इस स्थिति में, एन्क्रिप्टेड अनुभाग 0x0048c155 ([EAX]) पर स्थित है, और एक-बाइट कुंजी 0x0048c154 ([EAX-1]) पर स्थित है। ब्लॉक का आकार 0x12b2 बाइट्स है।

आईडीए को डिक्रिप्ट करने के लिए यूजर्स आईडी या अजगर में स्क्रिप्ट लिखने के लिए दौड़ेंगे। डिबगर में, सामान्य तौर पर, कुछ भी नहीं करना होगा। देखें उपयोगकर्ता अंतर्निहित डेटा ब्लॉक प्रसंस्करण का उपयोग करते हैं। हम आवश्यक एन्क्रिप्शन एल्गोरिथ्म का वर्णन करते हैं, हेक्साडेसिमल संपादक मोड में ब्लॉक सीमाओं का चयन करें और स्क्रिप्ट चलाएं।



बिल्ट-इन ब्लॉक प्रोसेसिंग टूल में इंटेल जैसा सिंटैक्स होता है और यह 8, 16, 32 और 64 बिट्स के साधारण रूपांतरण की अनुमति देता है। डिक्रिप्शन के परिणामस्वरूप, हम डेटा प्राप्त करते हैं जो विश्लेषण के लिए काफी उपयुक्त हैं:



आइए विश्लेषण को व्यक्त करने के लिए वापस जाएं। तीसरा विकल्प। प्रवेश बिंदु इंगित करता है कि यह कहां होना चाहिए - कोड अनुभाग में। संक्रमण का पता लगाने के लिए कम अनुभव की आवश्यकता होती है। आइए कुछ उदाहरण देखें।



निर्देश कॉल +5 स्पष्ट हैं; पॉप रेग। आधार-स्वतंत्र कोड लिखते समय यह तकनीक बहुत विशेषता है। यह ध्यान दिया जाना चाहिए कि वायरस शरीर में सीधे स्विच करने के बजाय, पुश रेग जैसे निर्देशों का अक्सर उपयोग किया जाता है; रिटन या मूव रेग, एड्र; इस विषय पर कॉल reg और अन्य बदलाव। सामान्य कंपाइलर आमतौर पर ऐसा नहीं करते हैं, कम से कम प्रवेश बिंदु पर नहीं, बल्कि कुछ वर्चुअल क्लास में। इस सब से हम यह निष्कर्ष निकाल सकते हैं कि यह उदाहरण फ़ाइल वायरस से भी संक्रमित है। इस मामले में, यह कुख्यात नम्रता है।

हम आगे बढ़ते हैं। मान लें कि हम निम्नलिखित कोड में आते हैं:



इस तथ्य के बावजूद कि प्रविष्टि बिंदु तुरंत कॉल और जेएमपी को इंगित करता है, फ़ाइल संक्रमित नहीं है, और यह Microsoft Visual Studio 2010 द्वारा संकलित C / C ++ प्रोग्राम की मानक शुरुआत है। यह उदाहरण अधिक संभावना एक अपवाद है। आमतौर पर, जब एक कोड अनुभाग संक्रमित होता है, तो दुर्भावनापूर्ण कोड या तो इसके अंत में जोड़ा जाता है (यदि पर्याप्त जगह है), या सीधे प्रवेश बिंदु से दुर्भावनापूर्ण कोड पर जेएमपी किया जाता है। कंपाइलर आमतौर पर मानक मानक वाले एक मानक फ़ंक्शन को कॉल करके प्रोग्राम निष्पादन शुरू करते हैं:



यहां हम विजुअल स्टूडियो C ++ 6.0 कंपाइलर का उपयोग करके संकलित प्रोग्राम की शुरुआत देखते हैं। प्रवेश बिंदु एक मानक प्रस्तावना की ओर इशारा करता है, इसके बाद इसके अपवाद हैंडलर की स्थापना होती है।

निम्नलिखित कोड पर विचार करें:



यहां, प्रवेश बिंदु पुश एड्र अनुक्रम को इंगित करता है जिसे हम पहले से जानते हैं; retn। हमसे पहले रस्टॉक है।

प्रवेश बिंदु का विश्लेषण करने के बाद, फ़ाइल अनुभागों और ओवरले को देखना अच्छा है। कभी-कभी निम्नलिखित उदाहरण पाए जाते हैं:



इस उदाहरण में, मूल प्रोग्राम का एन्क्रिप्टेड बॉडी संभवतः ओवरले में लिखा गया है। "संक्रमण" तंत्र का सार निम्नलिखित कोड से समझा जा सकता है:



वास्तव में, "वायरस" फ़ाइलों को निम्नानुसार संक्रमित करता है: यह पूरी तरह से मूल निष्पादन योग्य फ़ाइल को एन्क्रिप्ट करता है, डेटा को उसके ओवरले में ले जाता है, और परिणामी फ़ाइल के साथ मूल प्रोग्राम को ओवरराइट करता है। स्टार्टअप पर, प्रोग्राम मूल फ़ाइल को डिक्रिप्ट करता है, इसे एक अस्थायी निर्देशिका में डिस्क पर लिखता है, और मूल कमांड लाइन मापदंडों के साथ लॉन्च करता है।

यह वह जगह है जहां वायरल विश्लेषण समाप्त होता है। औद्योगिक विश्लेषक मोड (व्यक्तिगत राय) में थोड़े समय में अधिक जटिल संक्रमण का पता लगाना मुश्किल है। अगला विश्लेषण फ़ाइल की दुर्भावनापूर्ण कार्यक्षमता को निर्धारित करने के लिए कार्य है।

विभिन्न रैंसमवेयर, नकली एंटीवायरस आदि। जब किसी फाइल को टेक्स्ट मोड में देखा जाता है, तो उनका पता लगाया जाता है:



चूंकि यह किसी के लिए कोई रहस्य नहीं है कि रूस में पर्याप्त मात्रा में मैलवेयर का उत्पादन किया जा रहा है, इसलिए यह संभव है कि HIEW बॉक्स के बाहर रूसी एन्कोडिंग के साथ काम कर सकता है और वायरस विश्लेषकों के जीवन को बहुत सरल करता है।

देखने से आप किसी फ़ाइल के एन्क्रिप्ट किए गए अंशों को पहचान सकते हैं। कोड और डेटा की विशिष्टताएं ऐसी हैं कि उनमें बहुत अधिक अतिरेक है, और विशेष रूप से शून्य बाइट्स। इसलिए, उदाहरण के लिए, अगले डेटा ब्लॉक का पता लगाने पर ...



... हम यह निष्कर्ष निकाल सकते हैं कि यह डेटा एन्क्रिप्टेड है। क्या उन्हें वैधानिक रूप से डिक्रिप्ट किया जा सकता है? इस मामले में, हम भाग्यशाली थे, और फिर से हम खुद को एक दृश्य में सीमित कर लेंगे। आइए एन्क्रिप्ट किए गए डेटा की शुरुआत पर जाएं और क्रॉस-रेफरेंस देखें:



तुरंत आवश्यक डिक्रिप्शन साइकल ढूंढें। वह लगभग पूरा हो चुका है। एन्क्रिप्टेड ब्लॉक का चयन करें, एक स्क्रिप्ट लिखें:



और दुर्भावनापूर्ण कोड को डिक्रिप्ट करें:



यदि तेजी से डिक्रिप्शन संभव नहीं है, तो फ़ाइल को गहन विश्लेषण के लिए भेजा जाता है, लेकिन यह एक और कहानी है।

आगे की योजना में मानक ट्रोजन कार्यक्रमों की परिभाषा है जैसे ज़ीउस, स्पाईई, कार्बेर और अन्य। उनके अनुसार, एक अनुभवी वायरल विश्लेषक उन्हें एक नज़र में पहचानता है (लेखक इस कथन को सत्यापित करने में असमर्थ है)।

परिणामस्वरूप, हम लगभग अवास्तविक गति के साथ नमूनों का विश्लेषण और वर्गीकृत कर सकते हैं: 10 मिनट से कम समय में 1 वस्तु। जाहिर तौर पर यह HIEW जैसे दिग्गज कार्यक्रम की सफलता की कुंजी थी।

PS विस्तृत विवरण देखें Hicic unicornix.spb.ru/docs/prog/heap/hiew.htm