Техника выживания в мутной воде или как обуть антивирус

       

>>>> Info чего мы не будет делать плохие идеи или чего не надо делать


Подмена вирусной сигнатуры зараженного файла – это худшая из идей, которая только может придти вирусописателю в голову. Уродский, крайне трудоемкий, да к тому же требующий высокой квалификации способ – вот что это такое. Что отличает зараженный файл он незараженного? Сигнатура. Чтобы пройти сквозь все антивирусные заслоны, следует загрузить пациента в HEX-редактор, найти эти байтики и заменить их чем-то другим. Правильно? Нет!

Начнем с того, что сигнатуры прямым текстом нигде не хранятся. Современные антивирусные базы представляют собой весьма навороченные структуры данных, на реконструкцию формата которых легко потратить всю оставшуюся жизнь. При наличии неограниченного свободного времени сигнатуру можно найти и вручную, просто затирая различные байтики в зараженном файле и скармливая его антивирусу, дожидаясь когда это животное перестанет ругаться. Только учтите, что детектирование вируса обычно осуществляется по нескольким независимым сигнатурам, живописно размазанных по всему файлу и, что самое неприятное, варьирующихся от антивируса к антивирусу.

При наличии некоторого опыта, область перебора можно существенно сократить, поскольку антивирусы предпочитают привязываться к необычным последовательностям, нехарактерных для незараженного файла. Но всякий, умеющий определять, что обычно, а что нет, скорее напишет свой собственный вирус, чем будет пачкаться с плагиатом. К тому же, правка исполняемых файлов в hex-редакторе – занятие не для слабонервных. Для сокрытия сигнатуры необходимо переписать один или несколько фрагментов вируса, заменяя сигнатурные ячейки аналогичными им командами/данными, но имеющими другое машинное представление. А если вирус использует самомодифицирующийся код или тем или иным способом контролирует целостность своего тела? Зашифрованные же вирусы непосредственной модификации вообще не поддаются, а для их расшифровки опять-таки необходима квалификация. В общем мрак… Но мы будем действовать по плану (да! у нас есть два мешка отличного плана!)



Содержание раздела