Эмулятор. Защита юзермодных процессов из ядра. Поиск нетривиальных руткитов и механизмы, позволяющие нормально устанавливать ваш продукт на заражённую машину и т.д.
1) Сигнатуры бывают основаны не только на хешах. Часто за сигнатуру берутся определенные байты (или маски) с определёнными смещениями. Например: B8DCFB5E00???B8*B201
Кроме статических, есть поведенческие сигнатуры — обычно, наборы вызовов определенных API с определёнными параметрами.
2) Упакованные файлы распаковываются эмулятором. Без него антивирус практически бессилен.
Изложено очень поверхностно. Я ожидал увидеть хотя бы фрагменты исходного кода.
Реверс-инженерить его и так сложно из-за объема кода. Особого смысла защищать вирус от анализа нету — если нужно будет проанализировать семпл, его просто кинут в песочницу/эмуль и изучат трассу (если нужен будет полный анализ, то вручную снять защитные механизмы тоже не сложно). А сигнатура и без обратного анализа кладется за пару минут.
А почему бы и нет? Над вирусом трудилась команда и каждый отвечал за свой модуль. Всю низкоуровневую начинку написали на C/Assembler. Логику высокого уровня проще и быстрее писать на ЯВУ.
Спасибо за статью. Разобрал, вытащил аж 5 грузиков! Еще нашел внутри штуку круглую с лопастями. Когда ноут работает, эта штука крутится и шуршит немного. Я тоже её вытащил — теперь все отлично работает, я так думаю. Завтра соберу и проверю.
Касательно Сибири: мне один мужик по секрету рассказывал, что там на самом деле. Там еще в 90-х начали строить сверхзвуковую радиокиб…
один момент, в дверь стучат, я быстро
Нет, конечно все сидят с Linux'а, запущенного на виртуалке, работающей на хосте с грамотно настроенными FireWall'ом, HIPS'ом, антивирусом со 100% детектом и всегда свежим ПО. Особенно домохозяйки.
Чудесно.
Кроме статических, есть поведенческие сигнатуры — обычно, наборы вызовов определенных API с определёнными параметрами.
2) Упакованные файлы распаковываются эмулятором. Без него антивирус практически бессилен.
Изложено очень поверхностно. Я ожидал увидеть хотя бы фрагменты исходного кода.
Эта уязвимость использовалась для удаления своих флагов (чтобы соперники не смогли их получить).
один момент, в дверь стучат, я быстро