כיצד להשיג גוף וירוס של תוכנות זדוניות פולימורפיות

user1744108

2013-07-07 22:17:44 UTC

view on stackexchange narkive permalink

אני רוצה לפענח תוכנות זדוניות פולימורפיות ורוצה להשיג גוף נגיף ממשי שעומד לעשות זיהום. ניסיתי לפענח את virut.ce (זו תוכנה זדונית פולימורפית אחת) ב- ollyDbg אבל היא משתמשת בטכניקת אנטי-איתור באגים ואנטי-הדמייה ולכן קשה מאוד למצוא גוף וירוס.

אני מסוגל לקבל נגיף. גוף של וירוס מוצפן. אך במקרה של נגיף פולימורפי, שגרת הפענוח משתנה ולכן קשה להשיג גוף וירוס.

האם מישהו יכול להציע לי גישה טובה יותר להשיג גוף וירוס. או יכול להציע תוכנות זדוניות פולימורפיות פשוטות אחרות שאוכל לבצע ניפוי באגים ב- OllyDbg. המטרה שלי היא להשיג גוף נגיף מתוכנות זדוניות פולימורפיות.

אם יש לך מחשב שמאפשר IVT (רוב המחשבים של ימינו), תוכל להתקין את [Ether] (http://ether.gtisc.gatech.edu/): ניתוח תוכנות זדוניות באמצעות הרחבות וירטואליזציה של חומרה עם Debia-lenny-5 האינטרנט גם מספק שירות פריקה. כידוע, רק נגיפים המיועדים למטרות מחקר יכולים לעקוף את כלי האתרים. השתמשתי בכלי זה בעבודת המחקר שלי. זה מדהים

האם ניסית את הכלי הזה ניתן לפענח את רוב וירוסי ההצפנה שלך. האם אוכל לדעת מה מקור הנגיפים שלך ??

מכיוון ששאלתך קשורה גם לאבטחה תוכל לפרסם את שאלתך בכתובת [IT-Security: tag: Malware] (http://security.stackexchange.com/questions/tagged/malware?sort=votes&pagesize=15)

אני לוקח וירוסים פולימורפיים ממחשוב פוגעני. לקחתי וירוסים כמו virut.ce, בולצאנו. עכשיו אני מנסה את הכלי שציינת. אך כפי שאמרת רק וירוסים המיועדים למטרת מחקר יכולים לעקוף את אתר, אינני בטוח אם הנגיפים הללו יועברו. היכן אוכל לראות את הנגיפים המשמשים למטרות מחקר או שיכולים לעבור אתר?

אתר הוא כלי טוב מאוד, והוא נותן לך זבל עבור כל נקודת כניסה במכונה ** מארחת **. כן זה קצת קשה להתחיל לעבוד עם זה אבל זה יחזיר לכם את עלות הזמן. על ידי עקיפתי אמצעי נגיף כלשהו יכול לזהות אפילו אתר ולמנוע עצמו מפענוח. מאמר זה של וירוס [דני קוויסט] (http://www.offensivecomputing.net/?q=blog/4). - מערך הנתונים שלי היה מורכב מ (1) וירוסים אמיתיים: נתונים מורשים (על ידי חברה), כמה וירוסים שקיבלתי מ [מארק בול] (http://www.cs.sjsu.edu/~stamp/cv/ mss.html) אדוני (2) עשיתי גם ניתוח כלים על נגיפים סינתטיים. עמים בתעשייה יודעים פחות על הכלי הזה

[זיהוי מבוסס תוכנה זדונית באמצעות ניתוח דינמי] (http://www.stat.lanl.gov/staff/CurtStorlie/malware_JCV.pdf)

נשמע כמו אתגר מהנה!

כדי להשיג את גוף התוכנה הזדונית אני ממליץ לך להשתמש ב- IDA Pro במקום באולי (אבל זו באמת בחירה שלך). בכל מקרה, ראשית הייתי ממליץ להתחקות אחר מה שהוא עושה, לעשות זאת באמצעות ארגז חול. למד כיצד תוכנה זדונית מזהה זאת וחשוב על דרך לעקוף מנגנון זיהוי זה. קרא מאמרים אחרים ולמד כיצד פועל קוד פולימורפי ואפילו מטמורפי. תמיד אהבתי את נייר המטמורפיזם ב- OpenRCE http://www.openrce.org/articles/full_view/29

הגעה לשם

על מנת תעבור את זה אני ממליץ לכתוב הרבה תוספים לפרק וכו 'עבור IDA. ראה בתוכנות זדוניות איגודים. ראשית יש לנתח את השכבה הראשונה, לבנות תוסף כדי לפרק אותה באופן אוטומטי (סטטי) (שוב IDA) ולהמשיך לעשות זאת עד שתשיג את כל העניין להפוך. הסר את הטכניקות (bytepatch) נגד ניפוי באגים ובאמת הכיר כיצד הדבר הזה מתפקד.

תוכנות זדוניות קשות באופן בסיסי הוא תהליך מייגע ארוך שלא ניתן לאוטומציה. עושה את זה ממש כיף לנתח אותם. אם אתה רוצה ניתוחים מהירים יותר אתה יכול להסתכל על TitaniumCore או להגיש את הדגימה לאתר VirusExchange כמו מחשוב פוגע :)

שיהיה לך טוב וטוב!