傳統(tǒng)反病毒產(chǎn)品正在走向沒落

責(zé)任編輯:sjia

2012-09-26 10:24:29

摘自:51CTO

反病毒產(chǎn)品開發(fā)人員必需在實驗室運行惡意代碼,才能找到并建立惡意代碼的識別信息(簽名)。

反病毒產(chǎn)品開發(fā)人員必需在實驗室運行惡意代碼,才能找到并建立惡意代碼的識別信息(簽名)。如果無法運行惡意代碼,將發(fā)生什么情況呢?

傳統(tǒng)反病毒產(chǎn)品的開發(fā)者需要以下前提才能順利開發(fā)反病毒產(chǎn)品:

·能夠在實驗室運行惡意代碼。

·能夠自動對惡意代碼進(jìn)行分析。

如果沒有這樣的前提,會怎么樣呢?

為什么必需要這兩個前提?

傳統(tǒng)反病毒軟件的客戶端需要不斷將截獲的代碼與數(shù)據(jù)庫中保存的惡意代碼識別標(biāo)志進(jìn)行比對,才能發(fā)現(xiàn)惡意代碼。建立惡意代碼識別標(biāo)志的數(shù)據(jù)庫需要對惡意代碼進(jìn)行分析。如果無法對惡意代碼進(jìn)行分析,無法獲取惡意代碼的特征,反病毒軟件就沒有用武之地了。

另一個問題是,如今網(wǎng)絡(luò)犯罪分子活動猖獗,每天新出現(xiàn)的惡意代碼超過5萬個。而對惡意代碼進(jìn)行分析是一個勞動密集型的工作,因此反病毒軟件廠商將分析流程進(jìn)行了自動化設(shè)計,以便能夠提高分析速度,讓惡意代碼特征數(shù)據(jù)庫保持最新。

如果無法對惡意代碼樣本進(jìn)行自動化分析,新出現(xiàn)的惡意代碼數(shù)量將會迅速讓反病毒軟件廠商的惡意代碼特征庫與時代脫節(jié)。

壞消息

“我們經(jīng)過技術(shù)測算,如果惡意代碼在地下大范圍擴(kuò)散,將會對自動化惡意代碼分析帶來致命的打擊,惡意代碼分析將變得毫無效率和實用性。”

以上言論摘自喬治亞理工學(xué)院信息安全中心的Chengyu Song和Paul Royal所作的論文。在論文結(jié)尾,他們是這樣總結(jié)的:“Flashback使用被感染系統(tǒng)的獨特硬件特征(UUID)作為密鑰的方法,意味著惡意代碼編造者已經(jīng)開始通過本文所述的方法保護(hù)自身代碼了。”

我想大家可能還記得Flashback。它是蘋果Mac系統(tǒng)上第一款真正的惡意代碼。更重要的是,它使用了具有開創(chuàng)性的加密技術(shù)。

德州大學(xué)的Daryl Ashley在自己的文章中解釋了Flashback 惡意代碼是如何利用被感染電腦硬件UUID(Universally Unique Identifier)將其自身部分加密的細(xì)節(jié)。雖然加密技術(shù)并不新,但是將加密技術(shù)與特定電腦的特征結(jié)合用來模糊或偽裝惡意代碼,就很新鮮了。

基于主機(jī)標(biāo)示的加密

這種代碼模糊技術(shù)被稱作基于主機(jī)標(biāo)示加密(Host Identity-based Encryption,HIE)。它與音像行業(yè)預(yù)防CD拷貝的技術(shù)類似,然我們看看它是如何工作的:

首先使用某種手段,讓惡意代碼下載器(loader)能夠成功進(jìn)入電腦。接下來,下載器會收集該主機(jī)的特定硬件信息,利用收集來的信息創(chuàng)建一個加密密鑰,并用這個密鑰修改和加密遠(yuǎn)端的惡意代碼主程序。

接下來就是下載被加密后的惡意代碼主程序。

然后下載器會重新收集相同的硬件信息,并生成相同的密鑰。這是該程序的奇怪之處。接下來下載器會用密鑰解密惡意代碼主程序,進(jìn)行安裝并實施犯罪活動。

開始我覺得先加密再解密有些多余,但是仔細(xì)想想,又覺得這是個避免觸發(fā)任何報警的絕妙方法。更重要的是,在安裝過程中,如果惡意代碼被任何反病毒程序截獲,也沒有什么關(guān)系。

因為反病毒軟件所截獲的惡意代碼,只是針對該主機(jī)的惡意代碼,換一臺主機(jī),這個代碼就失效了,因為代碼無法被正確解密。這就意味著,那些依靠逆向工程還原代碼的專家,必須先想辦法對代碼進(jìn)行正確解密。Song 和 Royal在論文中對HIE的優(yōu)勢進(jìn)行了總結(jié):

使用了先進(jìn)的加密技術(shù)。就算反病毒專家知道密鑰是如何生成的,也不會影響該惡意代碼的保護(hù)效果。除非專家們能生成同樣的密鑰,否則無法解密惡意代碼樣本。

任意兩個惡意代碼樣本使用的是不同的密鑰,這意味著就算成功分析了一個代碼樣本,對于另一個代碼樣本的分析,也沒有任何幫助。

生成密鑰需要主機(jī)的哪些信息?

研究人員發(fā)現(xiàn),收集主機(jī)的哪些信息用來生成密鑰,完全是惡意代碼開發(fā)者決定的。為了驗證他們的這一觀點,他們使用了一下硬件ID進(jìn)行測試:

Environment Block: 當(dāng)信息收集進(jìn)程創(chuàng)建后,Windows存儲環(huán)境信息會進(jìn)入該進(jìn)程的地址空間。在我們的設(shè)計中,我們使用了進(jìn)程擁有者的用戶名,計算機(jī)名以及CPU編碼。由于代碼可以直接讀取環(huán)境塊中的信息,因此這些信息獲取起來很容易。

MAC address:網(wǎng)卡的MAC地址可以通過GetAdaptersInfo API函數(shù)獲取。

Graphics Processing Unit (GPU) 信息: GPU的信息可以通過IDirect3D9Ex接口的GetAdapterIdentifier方法得到。在我們的設(shè)計中,我們使用了設(shè)備描述。

User Security Identifier (SID): 所使用的進(jìn)程令牌。通過GetTokenInformation API可以獲取當(dāng)前進(jìn)程擁有者的SID。在Windows域中,該代碼是唯一的。

更多壞消息

如果以上信息還不算壞的話,我們可以看看今年初Dancho Danchev為WebRoot寫的一篇博客。其中他指出惡意代碼制造者一直在努力隱藏惡意代碼,以下是兩個例子:

Fully Undetectable cryptors: 設(shè)計用來掩蓋惡意代碼的工具,防止電腦中的安全軟件檢測到惡意代碼。其原理是不斷改變cryptor直到惡意代碼無法被反病毒程序發(fā)現(xiàn)為止。

Server-side polymorphism: 惡意代碼每運行一次就改變一些。這種改變是受服務(wù)器端控制的,防止被安全軟件廠商研究出代碼改變方法。

隱藏與反隱藏

在我閱讀論文的時候,我想這兩個研究人員是不是給我們提供了應(yīng)對方案呢?果然他們在論文后面提供了兩點建議:

直接在被感染的肉雞上分析惡意代碼。

收集主機(jī)和網(wǎng)絡(luò)環(huán)境信息,并在受控的實驗室環(huán)境將這些環(huán)境完全復(fù)制出來。

總結(jié)

我并不想危言聳聽,但是我們必須意識到其中的危險信號。基于HIE技術(shù)的惡意軟件,比如Flashback 正在四處傳播。另外我要強(qiáng)調(diào)的是,正如我在之前很多文章中提到的,對終端用戶進(jìn)行安全教育,阻斷惡意代碼進(jìn)入電腦的第一步,是最關(guān)鍵的。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號