211service.com
Najnowsze zagrożenie: wirus stworzony specjalnie dla Ciebie
Wirus komputerowy Flashback zyskał rozgłos na początku tego roku jako pierwsze złośliwe oprogramowanie, które poczyniło postępy przeciwko stosunkowo nietkniętemu systemowi operacyjnemu Apple, Mac OS X, infekując około 600 000 komputerów ofiar w szczytowym momencie epidemii.
Ale informatycy i specjaliści od bezpieczeństwa bardziej martwili się o inny aspekt złośliwego oprogramowania. Autorzy Flashbacka wykorzystali technikę, którą Hollywood często stosuje, aby zapobiec kopiowaniu plików filmowych i muzycznych — dodali funkcje, które wiążą wirusa z każdym zainfekowanym systemem. Zastosowanie tej techniki uniemożliwiło firmom ochroniarskim uruchomienie wirusa w ich laboratoriach.
Nowe badania pokazują, że udoskonalenie tej techniki może sprawić, że automatyczna analiza złośliwego oprogramowania będzie prawie niemożliwa. Paul Royal, naukowiec z Centrum Bezpieczeństwa Informacji Georgia Institute of Technology , planuje ujawnić pracę na Konferencja Black Hat w Las Vegas w tym tygodniu.
Royal i jego koledzy z Georgia Tech pokazują, że forma ochrony przed kopiowaniem, zwana szyfrowaniem opartym na tożsamości hosta, może szyfrować krytyczne części szkodliwego programu za pomocą kluczy opartych na informacjach zebranych z systemu ofiary, co jeszcze bardziej utrudnia analizę okazu na inna maszyna.
Analiza złośliwego oprogramowania wykorzystywanego przez przestępców do infekowania komputerów ludzi jest operacją czasochłonną, ale niezbędną. Twórcy oprogramowania antywirusowego regularnie zbierają próbki złośliwego oprogramowania, a następnie wykorzystują zautomatyzowaną analizę w celu wygenerowania zbioru identyfikujących cech, zwanej potocznie sygnaturą.
Podczas gdy indywidualny analityk może ominąć ograniczenia nałożone przez autorów złośliwego oprogramowania — w taki sam sposób, w jaki piraci mogą obejść zabezpieczenia przed kopiowaniem filmów — uniemożliwienie firmom zajmującym się bezpieczeństwem automatycznego przetwarzania dużych ilości plików zaszkodzi ich zdolności do nadążania za atakującymi.
W przypadku modelu antywirusowego znacznie komplikuje to uwzględnienie ilości złośliwego oprogramowania z węża strażackiego i odsadzenie go do podzbioru, który może być praktycznie przeanalizowany przez ludzkiego analityka, mówi Royal.
Ponieważ oprogramowanie antywirusowe jest uzależnione od wykorzystywania takich sygnatur do przechwytywania złośliwego oprogramowania, przestępcy internetowi regularnie próbują utrudnić analizę. Na przykład w ciągu ostatniej dekady osoby atakujące wykorzystywały polimorfizm — technikę zmiany programów za każdym razem, gdy są one kopiowane na nową maszynę — w celu utrudnienia identyfikacji. Ten trend przyspieszył w ostatnich latach (patrz Era antywirusów już się skończyła ).
Baza danych złośliwego oprogramowania utrzymywana przez Symantec zawiera około 19 milionów podpisów . W opublikowanym na początku tego roku corocznym Raporcie o zagrożeniach bezpieczeństwa w Internecie firma Symantec stwierdziła, że jej zautomatyzowane systemy analizy przeanalizowały w 2011 roku 403 miliony unikalnych wariantów szkodliwych programów, co stanowi 41-procentowy wzrost w porównaniu z 286 milionami przeanalizowanymi w 2010 roku. trudniej.
Jeśli ludzie od złośliwego oprogramowania mogą dojść do etapu, w którym, nawet jeśli masz [plik], jest on powiązany z konkretną maszyną, to komplikuje nam to życie, mówi Roel Schouwenberg , starszy pracownik naukowy dla Kaspersky , inna firma zajmująca się bezpieczeństwem oprogramowania. W 2011 roku firma Kaspersky przetworzyła ponad miliard próbek za pośrednictwem swoich zautomatyzowanych systemów.
Jeśli Flashback jest wskazówką przyszłości, a automatyzacja nie może już powstrzymać napływu plików do analizy, to firmy antywirusowe mogą zobaczyć, jak ich koszty gwałtownie wzrosną.
Z naszej perspektywy analizujemy setki tysięcy próbek dziennie – mówi Dean De Beer, dyrektor ds. technologii w ZagrożenieGRID , firma zajmująca się analizą złośliwego oprogramowania. Teraz rzucają tę podkręconą piłkę, a my musimy usiąść i powiedzieć: „Co musimy zrobić, aby upewnić się, że możemy pobrać próbkę?”
Firmy antywirusowe mogą próbować udaremnić takie złośliwe oprogramowanie, tworząc maszynę wirtualną, która wygląda identycznie jak system ofiary. Może to jednak budzić obawy użytkowników o prywatność. Aby utrudnić analizę, autorzy złośliwego oprogramowania mogliby tworzyć funkcje interpretujące polecenia z serwerów kontrolno-zarządzających za pomocą klucza utworzonego na podstawie informacji o lokalizacji sieciowej komputera. Znana jako lokalizacja zestawu instrukcji, technika ta sprawi, że polecenia przeznaczone dla maszyny znajdującej się w San Francisco będą nierozpoznawalne dla maszyny znajdującej się w Bostonie.
Firmy antywirusowe mają nadzieję, że Royal utrzyma dyskusję na wysokim poziomie, aby uniknąć udzielania atakującym dokładnych porad, jak poprawić ich zdolność do blokowania złośliwego oprogramowania na zainfekowanych maszynach. Retrospekcja była uciążliwa, mówi Schouwenberg. Jeśli mówi się o tym, jak bardzo ułatwić to napastnikowi, to nie czekam na to.
Royal ma nadzieję, że prezentacja będzie ostrzeżeniem, że obrońcy muszą szybko rozwiązać ten problem. Ta prezentacja nie jest powodem do wyrzucania narzędzi do analizy złośliwego oprogramowania, mówi. To ma być ostrzeżenie. Wszyscy musimy się przygotować.