Celem pierwszorzędnym większości szkodliwego oprogramowania jest wykonywanie swojego szkodliwego kodu, na drugie miejsce schodzi konieczność niezauważonego działania w systemie tak długo, jak to tylko możliwe. Twórcy oprogramowania zabezpieczającego stale ulepszają metody wykrywania i starają się zachować jeden krok przewagi. Czy to się udaje?

Jako przykład przytoczmy niedawno odkryte przez lab G Daty malware Poweliks. Jest to trojan, którego głównym celem jest pobieranie złośliwego oprogramowania do systemu. I nic w tym dziwnego na pierwszy rzut oka. Zazwyczaj, gdy mówi się o złośliwym oprogramowaniu, odnosi się do plików wykonywalnych w systemie komputerowym, które mają za zadanie np. kradzież poufnych danych. Pliki te mogą zostać skasowane przez silniki antywirusowe w sposób klasyczny.

Sęk w tym, że Poweliks jest w stanie przetrwać w systemie, pozostać niezauważony, ponieważ nie tworzy żadnego pliku.

Metoda działania

Początkowy plik, który uruchamia wszystkie szkodliwe aktywności w systemie komputerowym posiada cały kod niezbędny do ataku, jest zaszyfrowany i ukryty, czeka na swoje wywołanie. Zasada działania trojana Poweliks przypomina rosyjską lalkę matrioszkę.

  • Jako punkt wyjścia trojan ​​wykorzystuje podatności w zabezpieczeniach programu Microsoft Word przy pomocy spreparowanego dokumentu Word, który dystrybuowany jest za pośrednictwem poczty e-mail. 
  • Po uruchomieniu zainfekowanego pliku i ponownym uruchomieniu systemu, trojan tworzy zakodowany klucz rejestru w autostarcie pozostając niezauważony (klucze są ukryte).  
  • Następnie, trojan za pomocą powłoki wiersza poleceń Microsoft PowerShell instaluje dodatkowy kod, który jest skryptem PowerShell zakodowanym w Base64, wywołuje i wykonuje niskopoziomowy program (schellcode) napisany w asemblerze.
  • W końcowym etapie schellcode wykonuje binarny ładunek, który próbuje się połączyć z zakodowanymi adresami IP, aby otrzymać dalsze polecenia od hakera.
  • Wszystkie działania są przechowywane w rejestrze. Trojan Poweliks nie tworzy żadnych plików na dysku.

Tak więc, napastnicy są w stanie obejść klasyczne techniki anty-malware. Wszystkie polecenia trojana są wykonywane w pamięci.

Aby zapobiec atakom jak ten, programy antywirusowe muszą albo wykryć zainfekowany plik wordowski zanim zostanie wykonany, albo muszą korzystać z kolejnych linii obrony jakimi są kontrola rejestru i blokada nietypowych zachowań procesów.

źródło: G Data

AUTOR:

Adrian Ścibor

Podziel się