Recherche: quelles méthodes de contournement des antivirus sont utilisées par les pirates

La création de logiciels malveillants uniques nécessite beaucoup de ressources, de sorte que de nombreux groupes de pirates utilisent des logiciels malveillants massifs, souvent accessibles au public dans leurs attaques. Une utilisation généralisée conduit inévitablement au fait qu'un tel outil se retrouve sur le radar des éditeurs d'antivirus et que son efficacité diminue.

Pour résoudre ce problème, les pirates utilisent des techniques d'empaquetage, de cryptage et de mutation de code. Ces techniques sont souvent mises en œuvre par des outils distincts - des "crypteurs" ou simplement des "packers". Dans cet article, en utilisant le cheval de Troie bancaire RTM comme exemple, nous examinerons quels «packers» peuvent être utilisés par les cybercriminels et comment ces «packers» compliquent la détection des malwares.

La version complète de cette étude est disponible ici .

---

Packer en tant que service

Le groupe de hackers à l'origine de la distribution de RTM a régulièrement mené des e-mails de phishing de masse avec des pièces jointes malveillantes jusqu'à fin 2020. Ce processus, apparemment, s'est déroulé automatiquement.

Chacune de ces pièces jointes contenait des fichiers très différents, tandis que la charge utile finale restait pratiquement inchangée.

— «». , RTM, «», 2020 .

- , . , , packer-as-a-service. , . .

Rex3Packer

RTM, , 2019 . , , — 2020 .

- , : (recursion), (reverse) PE- (reflection) — Rex3Packer.

:

1. VirtualAlloc , .

   
   
   
   
   

2. ( , .text).

   
   
   
   
   

3. .

   
   
   
   
   

4. PE- ( ). ebx. . , , PE- , .

   
   
   
   
   

5. .

   
   
   
   
   

6. VirtualProtect RWX PE-.

   
   
   
   
   

7. .

   
   
   
   
   

8. .

   
   
   
   
   

9. PE .

   
   
   
   
   

10. — PE-. PE-, .

    
    
    
    
    

. : , .

16 , 4 4 :

• ,

  
  
  
  
  

• (PE-),

  
  
  
  
  

• (*), ,

  
  
  
  
  

• (1, 2, 4).

  
  
  
  
  

:

1. ( , 10011000 00011001).

   
   
   
   
   

2. (1, 2, 4), N = 9, 5, 3 . — (N – 1) ( 8, 4, 2).

   
   
   
   
   

3. N-1 : . , 00000001, 00010001 01010101 . . OR , .

   
   
   
   
   

, 4 . .

4.  PE-, (*) . , , . (*) .

, :

• WinAPI. , , , .

  
  
  
  
  

• — ( ), .

  
  
  
  
  

• . , .

  
  
  
  
  

RTM, Rex3Packer , .

Nemty, Pony, Amadey.  

HellowinPacker

2020 RTM — HellowinPacker, 2021 . . , .

. . .

, Rex3Packer, HellowinPacker . , , . , , — .

, — HKEY_CLASSES_ROOT\Interface\{b196b287-bab4-101a-b69c-00aa00341d07} ( ) (Default). .

GUID .

, .

, (, ). VirtualAlloc RWX. X . Y .

4 :

• (DWORD),

  
  
  
  
  

• ,

  
  
  
  
  

• xor , Z.

  
  
  
  
  

Rex3Packer, HellowinPacker WinAPI, . . , .

WinAPI imphash.

: ( ). WinAPI, (, 0 ).

HellowinPacker 2014 . . :

, . , («») . . : .

, , . : . . , , (, PT Sandbox) . , . , — , PT Network Attack Discovery.

: