Detecting malware by signature dete

Detecting malware by signature detection is still used, but it is not very efficient. More and more malware use polymorphism, metamorphism, encryption or code obfuscation in order to make itself extremely hard to detect using the old detection methods. Most new generation AV software implement behavioral detection analysis. They monitor every running process on the PC and look for suspicious activity patterns that may indicate the computer was infected with malware.

As an example, let's imagine a program that doesn't create any user interface (dialogs, windows etc.) and as soon as it starts, it wants to connect and download files from external server in Romania. This kind of behaviour is extremely suspicious and most AV software with real-time protection, will stop such process and flag it as dangerous even though it may have been seen for the first time.

Now you may ask - how does such protection work and how does the AV know what the monitored process is doing? In majority of cases, AV injects its own code into the running process, which then performs Windows API hooking of specific API functions that are of interest to the protection software. API hooking allows the AV to see exactly what function is called, when and with what parameters. Cuckoo Sandbox, for example, does the same thing for generating the detailed report on how the running program interacts with the operating system.

Let's take a look at how the hook would look like for CreateFileW API imported from kernel32.dll library.

This is how the function code looks like in its original form:

Kết quả (Việt) 1:

Phát hiện phần mềm độc hại bởi chữ ký phát hiện vẫn còn được sử dụng, nhưng nó không phải là rất hiệu quả. Nhiều hơn và nhiều phần mềm độc hại sử dụng đa hình, biến chất, mã hóa hoặc mã obfuscation để làm cho bản thân vô cùng khó khăn để phát hiện bằng cách sử dụng các phương pháp phát hiện cũ. Thế hệ mới nhất, phần mềm AV thực hiện các phân tích hành vi phát hiện. Họ theo dõi mỗi tiến trình đang chạy trên máy tính và xem xét cho các mô hình hoạt động đáng ngờ có thể cho thấy các máy tính đã bị nhiễm phần mềm độc hại.Ví dụ, hãy tưởng tượng một chương trình mà không tạo ra bất kỳ giao diện người dùng (hộp thoại, windows vv) và ngay sau khi nó bắt đầu, nó muốn kết nối và tải các tập tin từ các máy chủ bên ngoài tại Rumani. Loại hành vi này là rất đáng ngờ và hầu hết các phần mềm AV với bảo vệ thời gian thực, sẽ ngừng quá trình như vậy và đánh dấu nó là nguy hiểm mặc dù đã được nhìn thấy lần đầu tiên.Bây giờ bạn có thể yêu cầu - bảo vệ như thế nào và làm thế nào AV có biết quá trình theo dõi làm gì? Trong đa số trường hợp, AV injects mã riêng của mình vào quá trình đang chạy, sau đó thực hiện Windows API hooking cụ thể chức năng API quan tâm để bảo vệ phần mềm. API hooking cho phép AV để xem chính xác những gì chức năng được gọi là, khi nào và với những gì các thông số. Chim cu Sandbox, ví dụ, thực hiện điều tương tự để tạo ra các báo cáo chi tiết về cách chương trình hoạt động tương tác với các hệ điều hành.Chúng ta hãy xem làm thế nào các móc sẽ trông giống như cho CreateFileW API được nhập khẩu từ thư viện kernel32.dll.Đây là cách mã chức năng như ở dạng bản gốc của nó:

Kết quả (Việt) 2:

Phát hiện phần mềm độc hại bằng cách phát hiện chữ ký vẫn được sử dụng, nhưng nó không phải là rất hiệu quả. Hơn và phần mềm độc hại hơn sử dụng đa hình, biến chất, mã hóa hoặc hoang mang mã để làm cho bản thân rất khó phát hiện bằng cách sử dụng phương pháp phát hiện cũ. Hầu hết các phần mềm hệ AV mới thực hiện phân tích phát hiện hành vi. Họ theo dõi mọi tiến trình đang chạy trên máy tính và tìm kiếm các mô hình hoạt động đáng ngờ có thể chỉ ra các máy tính đã bị nhiễm phần mềm độc hại.

Ví dụ, hãy tưởng tượng một chương trình mà không tạo ra bất kỳ giao diện người dùng (hộp thoại, cửa sổ vv) và ngay khi nó bắt đầu, nó muốn kết nối và tải các tập tin từ máy chủ bên ngoài ở Romania. Loại hành vi này là rất đáng ngờ và hầu hết các phần mềm AV với bảo vệ thời gian thực, sẽ ngừng quá trình như vậy và cờ nó là nguy hiểm mặc dù nó có thể được nhìn thấy lần đầu tiên.

Bây giờ bạn có thể yêu cầu - làm thế nào công tác bảo vệ như vậy và làm thế nào không AV biết những gì quá trình được giám sát đang làm gì? Trong đa số trường hợp, AV tiêm nhiễm đoạn code của nó vào các tiến trình đang chạy, sau đó thực hiện của Windows hooking API chức năng API cụ thể được quan tâm đến các phần mềm bảo vệ. API hooking cho phép các AV để xem chính xác những gì được gọi là chức năng, khi nào và với các thông số gì. Cuckoo Sandbox, ví dụ, làm điều tương tự để tạo ra các báo cáo chi tiết về làm thế nào các chương trình chạy tương tác với hệ điều hành.

Chúng ta hãy xem làm thế nào các móc sẽ như thế nào cho CreateFileW API nhập khẩu từ thư viện kernel32.dll.

Đây là cách mã chức năng giống như trong hình thức ban đầu của nó: