Поделиться
«Лаборатория Касперского» запатентовала технологию распознавания упакованных и зашифрованных зловредов
«Лаборатория Касперского» сообщила о получении патента на систему, которая помогает обнаружить вредоносные программы, модифицированные c помощью не встречавшихся ранее упаковщиков или шифровщиков. Патент №8555392, подтверждающий новизну технологии, разработанной «Лабораторией Касперского», выдан Бюро по регистрации патентов и торговых марок США.
Упаковщики и шифровщики (которые можно рассматривать как частный случай упаковщиков) создают файл-контейнер, в который помещается версия исходной вредоносной программы и необходимый для ее распаковки или расшифровки код. Злоумышленники пользуются этими инструментами для модификации вредоносного ПО, чтобы затруднить его поиск защитными решениями. Подобная модификация позволяет изменить бинарный вид программы, что является одним из способов обхода сигнатурной проверки, пояснили CNews в «Лаборатории Касперского».
«Даже если в антивирусной базе содержится сигнатура исходного образца вредоносного ПО, то с ее помощью не удастся детектировать сжатую версию программы, — указали специалисты компании. — С другой стороны, программы, измененные популярными упаковщиками, могут быть обнаружены с помощью эвристических правил. Но если злоумышленник создаст свой собственный упаковщик с уникальным алгоритмом, то детектировать угрозу будет значительно сложнее».
Запатентованная технология «Лаборатории Касперского» представляет собой способ анализа, в результате которого для каждого нового упаковщика создается специальный профиль — общее описание его поведения. Использование этого профиля впоследствии позволяет обнаружить вредоносную программу, модифицированную с помощью упаковщика, по тем операциям, которые он производит после запуска.
На практике технология работает следующим образом: сначала антивирусное решение, руководствуясь собственным набором правил, определяет, что подозрительный файл, попавший к нему на анализ, может быть модифицирован с помощью неизвестного ранее упаковщика, и после этого обращается к запатентованной «Лабораторией Касперского» технологии. Она, в свою очередь, запускает проверяемый файл в эмуляторе и протоколирует все действия, которые выполняет код, отвечающий за расшифровку и запуск вредоносного ПО. Эти операции сортируются и подвергаются машинному анализу для выявления шаблонов, описывающих поведение упаковщика. На заключительном этапе на основе полученных данных создается профиль, который впоследствии позволит успешно обнаруживать другие файлы, модифицированные этим упаковщиком, рассказали в компании.
«Раньше поведение упаковщиков по большей части оставалось скрытым для анализа, а наша технология делает возможной более полную проверку объектов и, как следствие, повышает уровень защиты пользователя, — отметил Максим Головкин, эксперт «Лаборатории Касперского» по вредоносному ПО и автор запатентованной технологии. — Кроме того, технология позволяет описать поведение неизвестного упаковщика в виде, который будет пригоден для использования в защитном решении и, в то же время, останется понятен аналитику».
Запатентованная технология уже работает в таких флагманских продуктах «Лаборатории Касперского», как Kaspersky Internet Security для всех устройств и Kaspersky Security для бизнеса.
Поделиться
Короткая ссылка
