Investigación: qué métodos de eludir los antivirus utilizan los piratas informáticos

La creación de malware único requiere muchos recursos, por lo que muchos grupos de piratas informáticos utilizan malware masivo, a menudo disponible públicamente, en sus ataques. El uso generalizado conduce inevitablemente al hecho de que una herramienta de este tipo entra en el radar de las empresas antivirus y su eficacia disminuye.

Para resolver este problema, los piratas informáticos utilizan técnicas de empaquetado, cifrado y mutación de código. Estas técnicas a menudo se implementan mediante herramientas independientes: "criptadores" o simplemente "empaquetadores". En este artículo, utilizando el troyano bancario RTM como ejemplo, veremos qué "empaquetadores" pueden utilizar los ciberdelincuentes y cómo estos "empaquetadores" complican la detección de malware.

La versión completa de este estudio está disponible aquí .

---

Empaquetador como servicio

El grupo de hackers detrás de la distribución de RTM llevó a cabo regularmente correos electrónicos de phishing masivo con archivos adjuntos maliciosos hasta finales de 2020. Este proceso, aparentemente, se llevó a cabo de forma automática.

Cada uno de estos archivos adjuntos contenía archivos significativamente diferentes, mientras que la carga útil final se mantuvo prácticamente sin cambios.

— «». , RTM, «», 2020 .

- , . , , packer-as-a-service. , . .

Rex3Packer

RTM, , 2019 . , , — 2020 .

- , : (recursion), (reverse) PE- (reflection) — Rex3Packer.

:

1. VirtualAlloc , .

   
   
   
   
   

2. ( , .text).

   
   
   
   
   

3. .

   
   
   
   
   

4. PE- ( ). ebx. . , , PE- , .

   
   
   
   
   

5. .

   
   
   
   
   

6. VirtualProtect RWX PE-.

   
   
   
   
   

7. .

   
   
   
   
   

8. .

   
   
   
   
   

9. PE .

   
   
   
   
   

10. — PE-. PE-, .

    
    
    
    
    

. : , .

16 , 4 4 :

• ,

  
  
  
  
  

• (PE-),

  
  
  
  
  

• (*), ,

  
  
  
  
  

• (1, 2, 4).

  
  
  
  
  

:

1. ( , 10011000 00011001).

   
   
   
   
   

2. (1, 2, 4), N = 9, 5, 3 . — (N – 1) ( 8, 4, 2).

   
   
   
   
   

3. N-1 : . , 00000001, 00010001 01010101 . . OR , .

   
   
   
   
   

, 4 . .

4.  PE-, (*) . , , . (*) .

, :

• WinAPI. , , , .

  
  
  
  
  

• — ( ), .

  
  
  
  
  

• . , .

  
  
  
  
  

RTM, Rex3Packer , .

Nemty, Pony, Amadey.  

HellowinPacker

2020 RTM — HellowinPacker, 2021 . . , .

. . .

, Rex3Packer, HellowinPacker . , , . , , — .

, — HKEY_CLASSES_ROOT\Interface\{b196b287-bab4-101a-b69c-00aa00341d07} ( ) (Default). .

GUID .

, .

, (, ). VirtualAlloc RWX. X . Y .

4 :

• (DWORD),

  
  
  
  
  

• ,

  
  
  
  
  

• xor , Z.

  
  
  
  
  

Rex3Packer, HellowinPacker WinAPI, . . , .

WinAPI imphash.

: ( ). WinAPI, (, 0 ).

HellowinPacker 2014 . . :

, . , («») . . : .

, , . : . . , , (, PT Sandbox) . , . , — , PT Network Attack Discovery.

: