The API unhooking method may fool m

The API unhooking method may fool most of the AV products that perform their behavioral analysis in user-mode. This however does not fool enough, the automated sandbox analysis tools like Cuckoo Sandbox. Cuckoo apparently is able to detect if API hooks, it put in place, were removed. That makes the previous method ineffective in the long run.

I thought of another method on how to bypass AV/sandbox monitoring. I am positive it would work, even though I have yet to put it into practice. For sure there is already malware out there implementing this technique.

First of all, I must mention that ntdll.dll library serves as the direct passage between user-mode and kernel-mode. Its exported APIs directly communicate with Windows kernel by using syscalls. Most of the other Windows libraries eventually call APIs from ntdll.dll.

Let's take a look at the code of ZwCreateFile API from ntdll.dll on Windows 7 in WOW64 mode:

Kết quả (Việt) 1:

Phương pháp unhooking API có thể đánh lừa hầu hết các sản phẩm AV thực hiện phân tích hành vi của họ trong chế độ người dùng. Điều này tuy nhiên không đánh lừa đủ, công cụ phân tích tự động sandbox như chim cu Sandbox. Cu cu dường như có thể phát hiện nếu API móc, nó đưa ra, đã được gỡ bỏ. Điều đó làm cho các phương pháp trước đó không có hiệu quả trong thời gian dài.Tôi nghĩ ra một phương pháp trên làm thế nào để vượt qua AV/sandbox giám sát. Tôi là tích cực, nó sẽ làm việc, mặc dù tôi chưa đưa vào thực hiện. Có chắc chắn là đã phần mềm độc hại ra khỏi đó thực hiện kỹ thuật này.Trước hết, tôi phải đề cập đến thư viện ntdll.dll rằng phục vụ như thông qua trực tiếp giữa người sử dụng chế độ và chế độ hạt nhân. Các API xuất khẩu trực tiếp giao tiếp với hạt nhân Windows bằng cách sử dụng syscalls. Hầu hết các thư viện Windows khác cuối cùng gọi API từ ntdll.dll.Chúng ta hãy nhìn bộ luật của ZwCreateFile API từ ntdll.dll trên Windows 7 trong chế độ WOW64:

Kết quả (Việt) 2:

Phương pháp unhooking Bluetooth API có thể đánh lừa hầu hết các sản phẩm AV mà thực hiện phân tích hành vi của họ trong chế độ người dùng. Tuy nhiên điều này không đánh lừa đủ, các công cụ phân tích sandbox tự động như Cuckoo Sandbox. Cuckoo rõ ràng là có thể phát hiện nếu móc API, nó đưa ra, đã được gỡ bỏ. Điều đó làm cho các phương pháp trước đây không hiệu quả trong thời gian dài.

Tôi nghĩ đến một phương thức khác về làm thế nào để vượt qua AV / giám sát sandbox. Tôi tích cực nó sẽ làm việc, mặc dù tôi chưa đưa nó vào thực tế. Để chắc chắn có đã là phần mềm độc hại ra có thực hiện kỹ thuật này.

Trước hết, tôi phải đề cập rằng thư viện ntdll.dll phục vụ như là các đoạn trực tiếp giữa người dùng và chế độ kernel-mode. API xuất khẩu của nó trực tiếp liên lạc với Windows hạt nhân bằng cách sử dụng syscalls. Hầu hết các thư viện Windows khác cuối cùng gọi các API từ ntdll.dll.

Chúng ta hãy nhìn vào mã của ZwCreateFile API từ ntdll.dll trên Windows 7 ở chế độ WOW64: