Win32 / कॉर्को बैंकिंग ट्रोजन विश्लेषण

इससे पहले, हमने जटिल Win32 / कॉर्को बैंकिंग मैलवेयर के बारे में लिखा था , जिसका उपयोग साइबर क्रिमिनल बैंकिंग डेटा चोरी करने के लिए करते हैं। यह मैलवेयर 2011 से सक्रिय उपयोग में है और पिछले साल जारी गतिविधि को दिखाया है, जिससे हजारों उपयोगकर्ता प्रभावित हुए हैं। Win32 / Corkow मॉड्यूल के विभिन्न संस्करणों की खोज की गई थी, जो इस उपकरण के लिए एक सतत विकास चक्र को भी इंगित करता है।



हमलावरों ने ड्राइव-बाय डाउनलोड के माध्यम से दुर्भावनापूर्ण कोड वितरित करने की एक विशिष्ट विधि का उपयोग किया। हमने 2013 की अपनी रिपोर्ट में इसका संकेत दिया और उल्लेख किया कि यह दुर्भावनापूर्ण कोड पहुंचाने के लिए सबसे आम तरीका है जो आज हमलावरों द्वारा उपयोग किया जाता है। Win32 / Corkow का मामला केवल इस डेटा की पुष्टि करता है। इस पोस्ट में, हम इस दुर्भावनापूर्ण कार्यक्रम के विश्लेषण के तकनीकी विवरण प्रकाशित करेंगे, बैंकों को इंगित करेंगे कि Win32 / Corkow का उद्देश्य है, और इसकी अन्य विशेषताओं का भी वर्णन करें जो पहले पोस्ट में उल्लेख नहीं किए गए थे।

सामान्य जानकारी

अन्य बैंकिंग ट्रोजन के साथ, उदाहरण के लिए, Win32 / Spy.Hesperbot , Win32 / Corkow में मुख्य मॉड्यूल और कई प्लग-इन होते हैं जो संबंधित क्षमताओं को लागू करते हैं। प्रत्येक ऐसे प्लग-इन या मॉड्यूल को DLL- लाइब्रेरी के रूप में बनाया जाता है। वास्तव में, अधिकांश अन्य प्लगइन्स मुख्य DLL में एम्बेडेड होते हैं, जबकि अन्य को C & C सर्वर को नियंत्रित करने से लोड किया जाता है। किसी भी स्थिति में, यह कोर DLL सिस्टम पर चल रही प्रक्रियाओं में अन्य मॉड्यूल को इंजेक्ट करेगा। नीचे दी गई तालिका विभिन्न मॉड्यूल दिखाती है जो हमने सभी विश्लेषण किए गए Win32 / कॉर्को नमूनों में देखे थे। कृपया ध्यान दें कि सभी मैलवेयर नमूनों में इनमें से प्रत्येक मॉड्यूल शामिल नहीं है।



इस तथ्य के बावजूद कि कोर मॉड्यूल "कोर डीएलएल" C & C से कॉन्फ़िगरेशन डेटा को निष्पादित और लोड करने के लिए अन्य मॉड्यूल लॉन्च करने के लिए जिम्मेदार है, इनमें से प्रत्येक मॉड्यूल में सीधे डेटा लोड करने के लिए C & C सर्वर की अपनी सूची है।

जैसा कि आप ऊपर दी गई तालिका में देख सकते हैं, Win32 / Corkow malicious code में ऐसी विशेषताएं हैं जो बैंकिंग ट्रोजन की विशिष्ट हैं, जिसमें ऑनलाइन बैंकिंग से प्रमाणीकरण डेटा चोरी करने के लिए एक keylogger, एक स्क्रीनशॉट कैप्चर मॉड्यूल और वेब फॉर्म धरनेवाला शामिल हैं। फिर भी, अंतिम तीन मॉड्यूल उन कार्यों को लागू करते हैं जो अक्सर बैंकिंग ट्रोजन कार्यक्रमों में नहीं मिल सकते हैं। Win32 / Corkow iBank2 RBS एप्लिकेशन और Sberbank एप्लिकेशन से समझौता करने के लिए दो अलग-अलग मॉड्यूल का उपयोग करता है, जिसका उपयोग कॉर्पोरेट उपयोगकर्ता अपने खाते तक पहुंचने के लिए करते हैं। अंतिम डीसी मॉड्यूल का उपयोग निम्नलिखित प्रकार की सूचनाओं के संबंध में उपयोगकर्ता गतिविधि के संकेतक खोजने के लिए किया जाता है:

• व्यापार मंच अनुप्रयोगों;
• ट्रेडिंग प्लेटफ़ॉर्म साइट्स (ब्राउज़र इतिहास);
• व्यक्तिगत बैंकिंग अनुप्रयोग;
• बैंकिंग साइटें (ब्राउज़र इतिहास);
• बिटकॉइन साइट्स
• Android अनुप्रयोग विकास उपकरण।

स्थापना

Win32 / Corkow में एक दिलचस्प और अपेक्षाकृत जटिल इंस्टॉलेशन प्रक्रिया है। ट्रोजन आमतौर पर पीड़ित को ड्रॉपर निष्पादन योग्य के रूप में वितरित किया जाता है, जिसमें संसाधन अनुभाग में मुख्य कोर डीएलएल होता है।


अंजीर। सिस्टम में एक ड्रॉपर स्थापित करना।

जब ड्रॉपर को निष्पादन के लिए लॉन्च किया जाता है, तो यह निम्न चरणों का उपयोग करके सिस्टम में खुद को स्थापित करता है:

1. संसाधन अनुभाग में स्थित मुख्य DLL का प्रयास करता है और इसे DllMain फ़ंक्शन के लिए कॉल के माध्यम से निष्पादित करता है, इसे एक तर्क के रूप में एक पथ से गुजरता है। यह पथ निर्धारित करता है कि ट्रोजन को कैसे और किस स्थान पर स्थापित किया जाना चाहिए। आपके द्वारा चुने गए पथ पर निर्भर करता है कि ड्रॉपर किस खाते के तहत शुरू किया गया था, नियमित उपयोगकर्ता या व्यवस्थापक। संभव स्थापना पथ नीचे तालिका में दिखाए गए हैं।
2. जब मुख्य DLL कोड निष्पादित किया जाता है, तो यह संक्रमण के लिए एक सिस्टम फ़ाइल की खोज करता है। ऐसा करने के लिए, Corkow% SystemRoot% \ System32 निर्देशिका से एक वैध DLL के लिए एक निश्चित मानदंड द्वारा खोज करता है। खोज मानदंड में वांछित पुस्तकालय की असुरक्षा ( SfcIsFileProtected ) और कुछ विशिष्ट फ़ाइल नाम, साथ ही DLL से कुछ आयातों की अनुपस्थिति शामिल है।
3. इसके बाद, दुर्भावनापूर्ण कोड चयनित DLL को उसके शरीर को एन्क्रिप्ट करके और इस एन्क्रिप्टेड डेटा को चयनित DLL के संसाधन अनुभाग में लिखकर संक्रमित करता है। शरीर के डिक्रिप्शन के फ़ंक्शन (स्टब) को फ़ाइल में भी लिखा जाता है और इसका पता निर्यात तालिका में जोड़ा जाता है। इस निर्यात का नाम स्थापना पथ पर भी निर्भर करता है।
4. संक्रमित DLL चयनित स्थापना पथ पर सहेजा गया है। ध्यान दें कि system32 निर्देशिका में मूल DLL अपरिवर्तित रहता है।
5. दुर्भावनापूर्ण कोड एक रिबूट के बाद कोड उत्तरजीविता सुनिश्चित करने के लिए उपयुक्त रजिस्ट्री कुंजी स्थापित करता है। रजिस्ट्री कुंजी भी स्थापना पथ पर निर्भर करती है, जो नीचे दी गई तालिका में सूचीबद्ध हैं।

दुर्भावनापूर्ण कोड इंस्टॉल करने के संभावित तरीके।

DLL को OS में लोड करने के कई तरीके हैं, और Win32 / Corkow ऊपर वर्णित तीन तरीकों में से एक का उपयोग कर सकते हैं। इनमें से प्रत्येक विधि अलग-अलग नामों के साथ निर्यात कॉल के माध्यम से DLL को लोड करती है। ये सभी नाम एक फ़ंक्शन से संबंधित हैं जो संसाधन अनुभाग से दुर्भावनापूर्ण कोड के मुख्य निकाय को डिक्रिप्ट करता है।

जैसा कि हमने ऊपर बताया, मुख्य कॉर्को डीएलएल मूल सिस्टम डीएलएल के संसाधन अनुभाग में एन्क्रिप्टेड रूप में लिखा गया है, इसके अलावा, इसके लिए aPLib संपीड़न लागू किया जाता है। एन्क्रिप्शन के लिए, XOR का उपयोग कुंजी के साथ किया जाता है, जो ड्राइव C के वॉल्यूम सीरियल नंबर के डेटा से बनता है: मल्टीप्ले-विथ-कैरी एल्गोरिदम का उपयोग करते हुए। स्थापना के बाद, संक्रमित कॉर्को पुस्तकालय संक्रमित कंप्यूटर को बांधता है और दूसरे कंप्यूटर पर लॉन्च नहीं किया जा सकता है। इस तरह, दुर्भावनापूर्ण कोड वायरस विश्लेषकों द्वारा विश्लेषण से खुद को बचाता है।

कोर DLL और C & C के साथ काम करते हैं

मुख्य Win32 / Corkow मॉड्यूल अपने अन्य मॉड्यूल को निकालने और उन्हें प्रासंगिक प्रक्रियाओं में पेश करने के साथ-साथ C & C सर्वर के साथ काम करने के लिए जिम्मेदार है। दुर्भावनापूर्ण कोड में URL की एक सूची होती है जिसे वह संपर्क करने की कोशिश कर रहा है। सर्वर को भेजे गए प्रारंभिक HTTP अनुरोध में सिस्टम, कुछ मॉड्यूल के संस्करण और बॉट आईडी के बारे में बुनियादी जानकारी शामिल है। उसी चरण में, सर्वर के साथ बाद के संदेशों को एन्क्रिप्ट करने के लिए एक कुंजी का चयन किया जाता है, जो C & C डोमेन नाम और बॉट आईडी पर आधारित है। सर्वर तब एक या अधिक कमांड का उपयोग करके प्रतिक्रिया करता है। निम्नलिखित सूचीबद्ध आदेश हैं।

• सिस्टम को रिबूट करें।
• एक निष्पादन योग्य या DLL डाउनलोड और निष्पादित करें।
• बॉट को रिफ्रेश करें।
• व्यक्तिगत मॉड्यूल के लिए कॉन्फ़िगरेशन फ़ाइल डाउनलोड करें।
• डिस्क पर एक मनमानी फ़ाइल को नष्ट करें (इसे मनमाना डेटा के साथ अधिलेखित करें)।
• अपने आप को सिस्टम से हटा दें (सिस्टम को निष्क्रिय करने की क्षमता के साथ, यानी इसके संचालन को बाधित करना)।

अंतिम दो आदेशों से संकेत मिलता है कि डेटा चोरी के अलावा, Win32 / Corkow OS को गंभीर नुकसान पहुंचा सकता है। जब सर्वर सिस्टम से खुद को हटाने के लिए बॉट को एक कमांड भेजता है, तो यह एक विशेष पैरामीटर पास कर सकता है जो बॉट को बताता है कि सिस्टम को महत्वपूर्ण सिस्टम फ़ाइल को हटाने और एमबीआर या एनटीएफएस एमएफटी को मनमाने डेटा के साथ अधिलेखित करने की आवश्यकता है। इस तरह के संचालन के बाद, सिस्टम अप्राप्य हो जाता है।

कोर DLL में डेस्कटॉप स्क्रीनशॉट्स को कैप्चर करने, कुछ एप्लिकेशन लॉन्च करने और सिस्टम में स्थापित स्मार्ट कार्ड्स को सूचीबद्ध करने की सुविधाएँ भी हैं। एप्लिकेशन लॉन्च ब्लॉकिंग पॉलिसी बॉट कॉन्फ़िगरेशन द्वारा निर्धारित की जाती है। एक अंतहीन लूप में दुर्भावनापूर्ण कोड CreateToolhelp32Snapshot के माध्यम से सिस्टम पर चलने वाली प्रक्रियाओं की गणना करता है, और फिर कॉन्फ़िगरेशन में निर्दिष्ट प्रक्रियाओं को समाप्त करने की कोशिश करता है। यह प्रक्रिया समाप्ति उपयोगकर्ता मोड से होती है, इसलिए एक सफल समापन की संभावना सीमित है। इस प्रथा का उपयोग संभवतः दुर्भावनापूर्ण कोड द्वारा किया जाता है ताकि उपयोगकर्ता को बैंकिंग एप्लिकेशन लॉन्च करने से रोका जा सके, उदाहरण के लिए, उनके खाते की शेष राशि की जांच करने के लिए।

अन्य , अधिक जटिल ट्रोजन के विपरीत, कॉर्को को यह नहीं पता है कि स्मार्ट कार्ड के साथ बातचीत कैसे करें, लेकिन केवल उन्हें सूचीबद्ध करता है। दिलचस्प है, स्मार्ट कार्ड के बारे में जानकारी प्राप्त करने के लिए, दुर्भावनापूर्ण कोड विंडोज एपीआई का उपयोग नहीं करता है, बल्कि कार्ड के भौतिक उपकरणों (इसके लिए SetupDi एपीआई का उपयोग करके) को सूचीबद्ध करता है, आगे दिए गए डिवाइस नामों की खोज करता है।

व्यक्तिगत बैंकिंग अनुप्रयोगों का समझौता

हमने पहले ही लिखा है कि Corkow का उद्देश्य iBank2 RBS प्रणाली से समझौता करना है। iBank2 एक जावा अनुप्रयोग है, बदले में, दुर्भावनापूर्ण कोड इस ऑनलाइन बैंकिंग प्रणाली के डेटा को जावा वर्चुअल मशीन में अपने स्वयं के दुर्भावनापूर्ण जावा वर्ग को पेश करने की कोशिश करता है, जिसके संदर्भ में iBank2 काम करता है। इस कार्य को पूरा करने के लिए, प्रत्येक जावा प्रक्रिया (java.exe या jav.exe.exe) में Corkow IB2 मॉड्यूल (ऊपर देखें) एम्बेड करता है।


अंजीर। दुर्भावनापूर्ण Corkow कोड जो खुद को जावा वर्चुअल मशीन (JVM) प्रक्रियाओं में इंजेक्ट करता है।

कार्यान्वित कोड आगे आवश्यक संचालन करने के लिए जावा नेटिव इंटरफ़ेस (JNI) फ़ंक्शन का उपयोग करता है: एक काम करने वाले JVM को एक संकेतक प्राप्त करना, उसमें इंजेक्शन लगाना और एक दुर्भावनापूर्ण जावा वर्ग लोड करना। नीचे दिया गया आंकड़ा एक विघटित जावा वर्ग का हिस्सा दिखाता है। इस वर्ग में पीड़ित के बैंक खाते की वर्तमान शेष राशि प्राप्त करने के तरीके, डेस्कटॉप के स्क्रीनशॉट लेने के लिए एक कोड और कुंजी फ़ाइलों को कॉपी करने के लिए एक कोड होता है, जिसका उपयोग उपयोगकर्ता को ऑनलाइन बैंकिंग प्रणाली में प्रमाणित करने के लिए किया जाता है।


अंजीर। दुर्भावनापूर्ण जावा वर्ग iBank2 पर हमला करता था। यह देखा जा सकता है कि कोड iBank2 एप्लिकेशन के अंग्रेजी, रूसी और यूक्रेनी संस्करणों का समर्थन करता है।

वर्णित जावा कोड इंजेक्शन विधि iBank2 अनुप्रयोग में किसी भी भेद्यता पर निर्भर नहीं करता है। हमने अन्य बैंकिंग ट्रोजन देखे हैं जो इस RBS से समझौता करने के उद्देश्य से हैं, उदाहरण के लिए, Win32 / Spy.Ranbyus और Win32 / Carberp , दोनों अपने लक्ष्य को प्राप्त करने के लिए विभिन्न तरीकों का उपयोग करते हैं। SBRF मॉड्यूल का उपयोग Sberbank (Win32 प्लेटफ़ॉर्म) के बैंकिंग एप्लिकेशन से समझौता करने के लिए किया जाता है। IBank2- उन्मुख मॉड्यूल की तरह, SBRF कोड स्क्रीनशॉट बना सकता है और क्लाइंट को प्रमाणित करने के लिए उपयोग की जाने वाली महत्वपूर्ण फ़ाइलों को चुरा सकता है।

डीसी मॉड्यूल

यह मॉड्यूल निम्नलिखित जानकारी की खोज करके उपयोगकर्ता गतिविधि को पहचानता है।

• प्रक्रियाएं चल रही हैं।
• ब्राउज़िंग इतिहास - इंटरनेट एक्सप्लोरर, मोज़िला फ़ायरफ़ॉक्स, Google क्रोम और सफारी ब्राउज़रों के ब्राउज़िंग इतिहास का उपयोग करने के लिए, कॉर्को ने एक तृतीय-पक्ष एप्लिकेशन, BrowsingHistoryView लॉन्च किया है। ओपेरा ब्राउज़र के मामले में, इतिहास फ़ाइल सीधे खुलती है।
• इंस्टॉल किए गए एप्लिकेशन - इंस्टॉल किए गए एप्लिकेशन की उचित निर्देशिकाओं में फाइलों को सूचीबद्ध करके।
• अंतिम उपयोग किए गए एप्लिकेशन - प्रासंगिक रजिस्ट्री कुंजियों को सूचीबद्ध करके।

एक दिलचस्प तथ्य यह है कि दुर्भावनापूर्ण कोड दूरस्थ सर्वर पर पूर्ण खोज परिणाम नहीं भेजता है। इसके बजाय, वह डेटा का विश्लेषण करता है और कुछ लाइनों को खोजने की कोशिश करता है जो वित्त के साथ काम करने के लिए आवेदन की पहचान कर सकते हैं। विश्लेषण किए गए कॉर्को के नमूने में बैंकिंग और ट्रेडिंग प्लेटफॉर्म के साथ-साथ डिजिटल मुद्राएं (वेबसाइटों और बिटकॉइन से संबंधित सॉफ़्टवेयर सहित), विभिन्न भुगतान प्रणाली और Google Play (Google Play डेवलपर गतिविधि) के लिए संभावित डेवलपर गतिविधि की पहचान शामिल हैं।


अंजीर। कॉर्को डीसी मॉड्यूल द्वारा लक्षित विभिन्न वित्तीय अनुप्रयोग और वेबसाइट।

आप देख सकते हैं कि रूसी और यूक्रेनी बैंकों पर केंद्रित सॉफ्टवेयर और वेबसाइटों के अलावा, सूची में स्विट्जरलैंड, सिंगापुर, लातविया, लिथुआनिया, एस्टोनिया, डेनमार्क, क्रोएशिया, यूके, ऑस्ट्रिया और साइप्रस के बैंकों की एक विस्तृत श्रृंखला शामिल है (कुछ बैंकों सहित) अब काम नहीं करता)।

निष्कर्ष

Win32 / कॉर्को मालवेयर इस बात का एक उदाहरण है कि हमलावर कैसे लीक हुए कार्बर स्रोतों का लाभ उठा सकते हैं। कॉर्को के विश्लेषण से विभिन्न प्रोग्रामिंग शैलियों का पता लगाना काफी आसान हो जाता है, विशेष रूप से कोड के उन हिस्सों को जो स्वयं मैलवेयर के लेखकों द्वारा लिखे गए थे या जिन्हें अन्य मैलवेयर से कॉपी किया गया था। इस तथ्य के बावजूद कि कॉर्को तकनीकी रूप से कम जटिल हो सकता है, जो कि पहले किए गए कुछ अन्य दुर्भावनापूर्ण कार्यक्रमों की तुलना में है, इसमें उपयोगकर्ता गोपनीय डेटा चोरी करने के लिए सभी आवश्यक विशेषताएं शामिल हैं।

ऑनलाइन बैंकिंग प्रणाली के उपयोगकर्ताओं पर विशेष रूप से ध्यान देने के साथ, कॉर्क बॉटनेट का संचालन करने वाले अपराधियों के पास एक सुविचारित कार्ययोजना है। हम पुष्टि कर सकते हैं कि 2013 में रूस और यूक्रेन में कई हजार उपयोगकर्ता पहले से ही इस दुर्भावनापूर्ण कोड के शिकार थे।

संक्रमण की रोकथाम

अक्सर, उपयोगकर्ता इस तरह के दुर्भावनापूर्ण कार्यक्रमों से संक्रमण से खुद को बचाने के तरीके में रुचि रखते हैं, इसलिए यहां हम कुछ सिफारिशें देंगे।

• विंडोज 7+ x64 काम में उपयोग करें । विंडोज -7 के साथ शुरू होने वाले विंडोज के 64-बिट अप-टू-डेट संस्करण ड्राइव-बाय डाउनलोड (रिमोट कोड निष्पादन) के मुख्य संक्रमण वेक्टर के प्रति बहुत कम संवेदनशील हैं, क्योंकि उनके पास शोषण के खिलाफ सुरक्षा के लिए विशेष तकनीकें हैं।
• अपने OS (डिफ़ॉल्ट रूप से सक्षम) और सॉफ़्टवेयर को नियमित रूप से अपडेट करें । Microsoft नियमित रूप से अपने कार्यक्रमों के सिस्टम पुस्तकालयों को अपडेट करता है, जिसमें उनके लिए ASLR समर्थन भी शामिल है। स्थिर आरओपी श्रृंखला बनाने के लिए कुछ ड्राइव-बाय डाउनलोड शोषण गैर-भरोसेमंद एएसएलआर मॉड्यूल (जैसे .NET फ्रेमवर्क, ऑफिस के कुछ संस्करण) का लाभ उठाते हैं जिनका उपयोग विंडोज या ऑफिस के एक या अधिक संस्करणों के भीतर डीईपी को बायपास करने के लिए किया जा सकता है। नियमित अपडेट ऐसे सहित कई कारनामों से रक्षा करेगा।
• व्यवस्थापक अनुमोदन मोड का लाभ उठाएं और किसी भी स्थिति में UAC को अक्षम न करें, और अंतर्निहित व्यवस्थापक खाते (जब UAC शक्तिहीन हो) के तहत काम न करें। जब यूएसी सक्षम होता है, तो विंडोज एक उपयोगकर्ता खाते के लिए एक सहायक एक्सेस टोकन उत्पन्न करता है जो प्रशासक समूह का सदस्य है। इस अतिरिक्त टोकन का उपयोग सिस्टम में उपयोगकर्ता को दर्शाने के लिए किया जाता है और इसमें निष्क्रिय प्रशासक समूह (Deny SID) होता है, जो आपको प्रशासक अधिकारों की आवश्यकता वाले कार्यक्रमों द्वारा शुरू किए गए कार्यों को स्वीकृत या अस्वीकार करने की अनुमति देता है। दुर्भावनापूर्ण प्रोग्रामों में UAC को दरकिनार करने या OS (उपयोगकर्ता-मोड प्रतिबंधों से बचने) द्वारा कर्नेल-मोड प्रतिबंध स्थापित करने के लिए LPE कारनामे होते हैं, लेकिन ऐसे तरीके केवल आउट-ऑफ-डेटेड (पुराने) OS पर काम करते हैं, जिस पर वे समय पर अद्यतन स्थापित नहीं करते हैं। सामान्य उपयोगकर्ताओं के उद्देश्य से दुर्भावनापूर्ण कोड के लिए 0day LPE / RCE का उपयोग करने की प्रथा इतनी अधिक नहीं है, इसलिए समय पर ओएस का अद्यतन और यूएसी का उपयोग संक्रमण के जोखिम को काफी कम कर देगा।
• अपने OS की सुरक्षा के लिए एक सुरक्षा / AV उत्पाद का उपयोग करें। यह आपको फ़ाइल सिस्टम स्तर पर संचालन को नियंत्रित करने की अनुमति देगा, इंटरनेट से स्थानांतरित डेटा, साथ ही साथ ओएस में किए गए अन्य लेनदेन। आज, इन उत्पादों में से कई में शोषण के खिलाफ अंतर्निहित सुरक्षा शामिल है। उदाहरण के लिए, ईएसईटी स्मार्ट सिक्योरिटी 7 के नवीनतम संस्करण में एक विशेष एचआईपीएस सेटिंग शामिल है जिसे "एक्सप्लॉइट ब्लॉकर" कहा जाता है और आपको अनुप्रयोगों में होने वाले कारनामों के समय का पता लगाने की अनुमति देता है।
• सैंडबॉक्स और अन्य तकनीकों का समर्थन करने वाले ब्राउज़र का उपयोग करें जो अपने कार्यों में टैब प्रक्रियाओं को प्रतिबंधित करते हैं। यहां तक ​​कि अगर शोषण में आरसीई भेद्यता का उपयोग करते हुए ब्राउज़र के लिए कोड होता है, जबकि एक अलग प्रक्रिया में, यह बुनियादी कार्यों को करने में सक्षम नहीं होगा, उदाहरण के लिए, एक रिमोट सर्वर से पेलोड को लोड करें या इसकी फ़ाइल को फ़ाइल सिस्टम में डंप करें।
• तिथि करने के लिए, सबसे सुरक्षित समाधान विंडोज 8+ x64 का उपयोग सिस्टम में एकीकृत ओएस-स्तर स्मार्टस्क्रीन और सक्रिय ईएमईटी के साथ करना है, जो कि ब्राउज़र, विशेष रूप से 32-बिट की सुरक्षा के लिए कॉन्फ़िगर किया गया है। ध्यान दें कि डिफ़ॉल्ट रूप से, अधिकांश ब्राउज़र 32-बिट संगत मोड में काम करते हैं (Google क्रोम और मोज़िला फ़ायरफ़ॉक्स में 64-बिट विकल्प नहीं हैं। नवीनतम इंटरनेट एक्सप्लोरर 11 डिफ़ॉल्ट रूप से 32-बिट के रूप में अपनी प्रक्रियाएं शुरू करता है)। इस विन्यास में एवी उत्पाद का उपयोग करने का अभ्यास भी आवश्यक है, क्योंकि यह आपको एंटीवायरस हस्ताक्षर और हेरास्टिक के आधार पर ओएस में "भूमि" दुर्भावनापूर्ण कोड के प्रयासों को ट्रैक करने की अनुमति देगा। SmartScreen आपको पुनः प्राप्त Microsoft ब्लैकलिस्ट-बेस के कारण समान कार्य करने देता है।
• ध्यान दें कि कोई भी स्टैंडअलोन ऐप या इन-ब्राउज़र आरबीएस सिस्टम दुर्भावनापूर्ण कोड के हमले का विरोध नहीं कर सकता है या यदि ओएस खुद समझौता कर रहा है तो मेमोरी में इसके कोड की अखंडता को सुनिश्चित कर सकता है। जब आप ओएस से समझौता करते हैं, तो आप स्वचालित रूप से आपके सिस्टम पर चल रहे सभी अनुप्रयोगों से समझौता करते हैं, जिसमें ऑनलाइन बैंकिंग या आपके ब्राउज़र के साथ काम करने के लिए आवेदन शामिल हैं। लगभग किसी भी दुर्भावनापूर्ण कोड में ऑन-द-फ्लाई प्रक्रिया कोड संशोधन तंत्र (रनटाइम-पैचिंग / इंजेक्शन) होता है, जिसे एप्लिकेशन अपनी अखंडता सुनिश्चित करने के लिए सामना नहीं कर सकता है। HIPS जैसे सिस्टम आपको दुर्भावनापूर्ण कोड के इस व्यवहार को ट्रैक करने में मदद करेंगे।