Секреты маскировки

Крис Касперски

Xakep, номер #066, стр. 066-032-7

Напоследок – подсунем виртуальной машине не известную ей инструкцию. Что-нибудь из набора мультимедийных команд P-III+. Вот хотя бы prefectch [eax], которой соответствует следующий опкод: 0F 18 00, и которая осуществляет упреждающую предвыборку данных в кэш. Вряд ли антивирусы станут ее эмулировать. Но разве они не могут просто пропустить ее? В том-то и дело, что не могут! Неизвестная инструкция имеет неизвестную длину, и определить ее границы эвристическими методами невозможно. Эмулятор просто не будет знать, откуда ему продолжать разбор кода…

Приведенный выше код раскалывается всеми современными антивирусами, но стоит изменить первые три байта на 0F 18 00, как эмуляторы склеят ласты. Кстати говоря, у hiew'а тоже едет крыша:

Подытожив наши достижения, мы получим табличку, которой по праву можем гордиться.

Заключение

Тот, кто пользуется системами удаленного администрирования, джойнерами, клавиатурными шпионами и тому подобными приложениями, знает, что лучшие представители этой братии очень быстро попадают в «черные списки» антивирусных прог, после чего их ценность падает практически до нуля. Это неприятное обстоятельство заставляет большинство юзеров впустую тратить свое свободное время. Кто-то начинает искать софт на замену, кто-то замирает в ожидании свежих версий, которые антивирусам пока еще не известны. Но это – неправильный подход! Этой статьей я хотел показать тебе, что есть способ лучше. Ну, в самом деле, зачем скакать с проги на прогу, когда свой любимый, проверенный временем софт можно модифицировать так, что все антивирусы пойдут гулять лесом?!! Тем более если учесть, что методы модификации, о которых я тебе говорил, настолько просты, что воспользоваться ими может любой более-менее продвинутый пользователь.

Криптография на пеньке

Упаковываем «паленую» прогу любым подходящим архиватором, поддерживающим шифрование, и отправляем архив пользователю вместе с паролем и инструкцией по его расшифровке. Пользователь распаковать файл сможет, а антивирус – нет. Правда, при активном антивирусном мониторе зараженный файл будет автоматически проверен после его извлечения (а у большинства пользователей монитор активен). К тому же параноидально настроенные юзеры склонны проверять все запускаемые файлы вручную. Так что, увы, предложенная идея годится лишь для обхода почтовых сторожей, чтобы те не прибили вложения еще на подлете.

Как вариант, можно упрятать вирус в самораспаковывающийся архив, а для автоматизации ввода пароля использовать такую штуку, как bat-файл. Хрен какой антивирус его расшифрует! Применительно к zip'у, шифрование и упаковка целевого файла выглядит приблизительно так: "pkzip.exe –add –maximum –Sfx password=M$sux dst.exe src.exe", а распаковка (с автоматическим запуском!) так: "dst.exe –password=M$sux & src.exe", где M$sux – пароль, dst.exe – упакованный файл, а src.exe – файл-носитель. Если не хочешь возиться с командными файлами – юзай RAR – он позволяет автоматически запускать распакованную программу после ее расшифровки.