ЛК запатентовала технологию распознавания упакованных и зашифрованных зловредов

ЛК запатентовала технологию распознавания зашифрованных вирусов

«Лаборатория Касперского» получила патент на систему, которая помогает обнаружить вредоносные программы, модифицированные c помощью не встречавшихся ранее упаковщиков или шифровщиков. Технология уже интегрирована в ключевые защитные решения компании для домашних и корпоративных пользователей.

Упаковщики и шифровщики (которые можно рассматривать как частный случай упаковщиков) создают файл-контейнер, в который помещается версия исходной вредоносной программы и необходимый для ее распаковки или расшифровки код. Злоумышленники пользуются этими инструментами для модификации вредоносного ПО, чтобы затруднить его поиск защитными решениями. Подобная модификация позволяет изменить бинарный вид программы, что является одним из способов обхода сигнатурной проверки. Даже если в антивирусной базе содержится сигнатура исходного образца вредоносного ПО, то с ее помощью не удастся детектировать сжатую версию программы.

С другой стороны, программы, измененные популярными упаковщиками, могут быть обнаружены с помощью эвристических правил. Но если злоумышленник создаст свой собственный упаковщик с уникальным алгоритмом, то детектировать угрозу будет значительно сложнее.

Запатентованная технология «Лаборатории Касперского» представляет собой способ анализа, в результате которого для каждого нового упаковщика создается специальный профиль – общее описание его поведения. Использование этого профиля впоследствии позволяет обнаружить вредоносную программу, модифицированную с помощью упаковщика, по тем операциям, которые он производит после запуска.

На практике технология работает следующим образом: сначала антивирусное решение, руководствуясь собственным набором правил, определяет, что подозрительный файл, попавший к нему на анализ, может быть модифицирован с помощью неизвестного ранее упаковщика, и после этого обращается к запатентованной «Лабораторией Касперского» технологии. Она в свою очередь запускает проверяемый файл в эмуляторе и протоколирует все действия, которые выполняет код, отвечающий за расшифровку и запуск вредоносного ПО. Эти операции сортируются и подвергаются машинному анализу для выявления шаблонов, описывающих поведение упаковщика. На заключительном этапе на основе полученных данных создается профиль, который впоследствии позволит успешно обнаруживать другие файлы, модифицированные этим упаковщиком.

«Раньше поведение упаковщиков по большей части оставалось скрытым для анализа, а наша технология делает возможной более полную проверку объектов и, как следствие, повышает уровень защиты пользователя. Кроме того, технология позволяет описать поведение неизвестного упаковщика в виде, который будет пригоден для использования в защитном решении и в то же время останется понятен аналитику», – рассказывает Максим Головкин, эксперт «Лаборатории Касперского» по вредоносному ПО и автор запатентованной технологии.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ГК «Солар» выпустила NGFW для ретейла, МСБ и филиалов корпораций

ГК «Солар» представила новую линейку межсетевых экранов Solar NGFW — решения с меньшей производительностью, рассчитанные на защиту филиалов, удалённых офисов и небольших сетей. Новинки — это ПАКи Solar NGFW S (до 10 Гбит/с) и Solar NGFW М (до 20 Гбит/с) — подойдут как для малого и среднего бизнеса, так и для крупных компаний с распределённой инфраструктурой.

По данным самой компании, 56% российских организаций используют NGFW для защиты периметра, а 72% из них — это региональные заказчики и филиалы с типичной нагрузкой до 6 Гбит/с.

При этом стандартные решения с высокой производительностью (например, на 100 Гбит/с) для таких сценариев часто оказываются избыточными. Новые модели как раз закрывают этот сегмент.

По задумке, компактные NGFW от «Солара» могут применяться в разных отраслях. Например:

  • телеком-операторы — для защиты границ сетей в каждом филиале;
  • ретейл — для касс самообслуживания и других точек взаимодействия с клиентами;
  • добывающие и нефтегазовые компании — для защиты сетей на скважинах, станциях и перерабатывающих объектах.

Решения обеспечивают базовую фильтрацию трафика, контроль доступа, мониторинг, обнаружение угроз и защиту от атак. При этом важна не только производительность, но и устойчивость к сбоям и отказам.

Отдельно в компании подчёркивают рост атак в 2024 году: по данным Solar JSOC, доля сетевых атак удвоилась — с 14% до 27% от всех подтверждённых инцидентов. Это тоже подтолкнуло разработку решений для распределённых систем с невысокой нагрузкой.

Новые NGFW продолжают линейку продуктов, которую «Солар» активно обновляет: в 2025 году уже вышли версии 1.5 и 1.6. Среди ключевых изменений — централизованное управление, интеграции через API, автоматическое обновление сигнатур и более 26 тысяч встроенных сигнатур (2000 от центра Solar 4RAYS и ещё 24 тыс. — из международной базы).

Весь стек Solar NGFW представлен как в виде виртуального решения, так и в виде ПАКов (всего 5 моделей), имеет сертификацию ФСТЭК по 4-му уровню доверия и включён в реестр отечественного ПО. Сейчас с NGFW от «Солара» работают более 100 крупных компаний, включая представителей госсектора, телекомов, нефтегаза, энергетики и промышленности.

По оценкам компании «Б1», рынок сетевой безопасности в России уже составляет около 88 млрд рублей — это 42% всего рынка ИБ-продуктов. До 2030 года ожидается рост этого направления на 15% в год, в том числе за счёт постепенного ухода от иностранных NGFW в пользу отечественных решений.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru