Ang Malware ay nagbibigay sa sarili sa pamamagitan ng pagsisikap na itago

Ang isang tao na tumatakbo mula sa isang eksena sa krimen na natural na nakakaakit ng interes ng mga tumutugon na opisyal. Kung ang yunit ng kanino ay lumiliko ang isang tao na nagtatago sa isang dumpster sa malapit, siguradong nais ng pulisya ang ilang mga katanungan na nasagot. Ang mga mananaliksik ng Intel na si Rodrigo Branco (nakalarawan sa itaas, pakaliwa, kasama si Neil Rubenking) at si Gabriel Negreira Barbosa ay inilapat ang parehong uri ng pag-iisip upang makita ang malware. Sa kumperensya ng Black Hat 2014 ipinakita nila ang isang kahanga-hangang kaso para sa pag-alis ng malware batay sa mismong pamamaraan na ginagamit nito upang maiwasan ang pagtuklas.

Sa totoo lang, ipinakita ng dalawa ang diskarteng ito sa Black Hat dati. "Ang aming inaasahan ay ang industriya ng AV ay gagamitin ang aming mga ideya (napatunayan sa mga numero ng pagkalat) upang makabuluhang mapabuti ang saklaw ng pag-iwas sa malware, " sabi ni Branco. "Ngunit walang nagbago. Samantala, pinahusay namin ang aming mga algorithm ng pagtuklas, naayos ang mga bug, at pinalawak ang pananaliksik sa higit sa 12 milyong mga sample."

"Nagtatrabaho kami para sa Intel, ngunit ginagawa namin ang pagpapatunay ng seguridad at pagsasaliksik ng seguridad sa hardware, " sabi ni Branco. "Kami ay nagpapasalamat sa lahat ng mahusay na mga talakayan sa mga Intel security guys. Ngunit ang anumang mga pagkakamali o masamang biro sa pagtatanghal na ito ay lubos na kasalanan namin."

Pag-iwas sa Pag-iwas sa Pagtuklas

Ang isang tipikal na produkto ng anti-malware ay gumagamit ng isang kumbinasyon ng deteksyon na nakabase sa lagda para sa kilalang malware, heuristic detection ng mga variant ng malware, at pag-uugnay sa batay sa pag-uugali para sa mga hindi alam. Ang mga mabubuting lalaki ay naghahanap ng kilalang malware at malisyosong pag-uugali, at ang mga masasamang tao ay nagsisikap na magkaila sa kanilang sarili at maiwasan ang pagtuklas. Ang diskarte nina Branco at Barbosa ay nakatuon sa mga diskarte na ito upang magsimula; sa oras na ito, nagdagdag sila ng 50 bagong "mga hindi nagtatanggol na mga katangian" at sinuri ang higit sa 12 milyong mga halimbawa.

Upang maiwasan ang pagtuklas, maaaring isama ng malware ang code upang makita na tumatakbo ito sa isang virtual machine, at pigilin ang pagtakbo kung gayon. Maaari itong isama ang code na idinisenyo upang maging mahirap ang pag-debug o disassembly. O maaaring ito ay naka-code lamang sa isang paraan upang malabo kung ano talaga ang ginagawa. Ito ay marahil ang pinaka madaling maunawaan na mga diskarte sa pag-iwas na sinusubaybayan ng mga mananaliksik.

Ang mga resulta ng pananaliksik at pagkalat ng database ay malayang magagamit sa iba pang mga mananaliksik ng malware. "Ang nakapailalim na database ng sample ng malware ay may isang bukas na arkitektura na nagbibigay-daan sa mga mananaliksik na hindi lamang makita ang mga resulta ng pagsusuri, kundi pati na rin upang bumuo at mag-plug sa mga bagong kakayahan sa pagsusuri, " paliwanag ni Branco. Sa katunayan, ang mga mananaliksik na nais na masuri ang data sa mga bagong paraan ay maaaring mag-email sa Branco o Barbosa at humiling ng isang bagong pagsusuri, o hilingin lamang ang hilaw na data. Ang pagsusuri ay tumatagal ng halos 10 araw, at ang pag-parse ng data pagkatapos ay tatagal ng isa pang tatlo, kaya hindi sila makakakuha ng agarang pag-ikot.

Sasamantalahan ba ng ibang mga kumpanya ang ganitong uri ng pagsusuri upang mapabuti ang pagtuklas ng malware? O balkonahe sila dahil sa palagay nila ay nagmula ito sa Intel at sa pamamagitan ng pagpapalawak mula sa subsidiary ng Intel na si McAfee? Sa palagay ko dapat bigyan sila ng isang seryosong hitsura.