Эксперты обнаружили новый способ маскировать вредоносный контент

Эксперты обнаружили новый способ маскировать вредоносный контент

Эксперты обнаружили новый способ маскировать вредоносный контент

Киберпреступники могут упаковывать вредоносные программы в файлы с цифровой подписью, не нарушая ее, это позволяет обойти детектирование антивирусной продукцией, предупреждают эксперты.

В официальном документе, представленном на конференции Black Hat USA 2016, исследователи Deep Instinct показали, что можно скрыть вредоносный файл внутри другого файла с возможностью выполнения, не нарушая при этом структуру (без шифрования основных разделов файла).

Авторы вредоносных программ постоянно ищут новые способы обхода детектирования антивирусными средствами. Часто они прибегают к таким способам как упаковщики или различные техники шифрования, потому что антивирусы способны обнаружить вредоносный контент только тогда, когда есть возможность его распаковать, если он в сжатом или зашифрованном виде. Исследователи утверждают, что обнаруженный ими недавно метод решает проблему детектирования.

Упаковщики были созданы не только для того, чтобы уменьшить размер, занимаемый файлами на диске, но и затруднить обратный инжиниринг (reverse engineering) исполняемых файлов. Несмотря на их изначальную цель, упаковщики вскоре стали инструментом в руках авторов различных вредоносных программ. По подсчетам экспертов, до 80% вредоносных программ используют упаковщики и методы сжатия.

Большинство создателей вредоносных программ используют известные упаковщики, для которых есть обратные решения (распаковщики, unpackers), используемые разработчиками антивирусных решений в процессе сканирования. Тем не менее, существует ряд вредоносных приложений, которые пользуются упаковщиками, сделанными на заказ и неизвестными производителям антивирусных программ.

Windows использует технологию Authenticode для проверки происхождения и целостности двоичных файлов и сертификаты X.509 v3, чтобы привязать подписанный Authenticode двоичный файл к определенному издателю программного обеспечения.

Чтобы проверить целостность файла и убедиться, что он не был подделан, Windows также вычисляет его хэш и сравнивает его с хэшем, указанным в структуре SignedData. Тем не менее, исследователи обнаружили, что можно внедрить код без изменения сертификата.

«Поскольку Windows исключает три поля из вычислений хэша, мы можем вводить данные в таблицу сертификатов, не повреждая сертификат файла. Добавляя вредоносный контент в конец таблицы сертификатов, можно изменить файл без последствий» - утверждают исследователи.

По словам исследователей, этот метод позволяет вредоносному файлу пройти проверку антивирусными решениями, даже если он не использует шифрование. Таким образом, можно прятать вредоносный контент внутри других файлов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В России предложили штрафовать за поиск экстремистских материалов и VPN

Ко второму чтению законопроекта №755710-8 предложены поправки, вводящие штрафы за умышленный поиск и получение доступа к «заведомо экстремистским материалам», а также за рекламу VPN-сервисов и других технических средств, позволяющих обходить блокировки.

Поправки внесены в законопроект о внесении изменений в КоАП, изначально касавшийся исключительно регулирования транспортно-экспедиционной деятельности. Документ был принят в первом чтении 20 января 2025 года.

Как сообщает «Интерфакс», предлагается дополнить КоАП РФ новой статьёй 13.53, устанавливающей ответственность за умышленный поиск в интернете «заведомо экстремистских материалов», включённых в соответствующий список, а также за получение доступа к ним, в том числе с использованием VPN. За это предусмотрен штраф для граждан в размере от 3 до 5 тысяч рублей.

Реклама технических средств доступа к информационным ресурсам, доступ к которым ограничен, повлечёт административную ответственность: штраф для граждан составит от 50 до 80 тысяч рублей, для должностных лиц — от 80 до 150 тысяч рублей, для юридических лиц — от 200 до 500 тысяч рублей.

Неисполнение владельцем VPN-сервиса требований по взаимодействию с Роскомнадзором или отказ от подключения к государственной информационной системе учёта ресурсов повлечёт аналогичные штрафы: для граждан — от 50 до 80 тысяч рублей, для должностных лиц — от 80 до 150 тысяч, для юридических лиц — от 200 до 500 тысяч рублей. При повторных нарушениях размер штрафов увеличится в 2–4 раза.

Как отметил юрист Станислав Селезнёв в комментарии для Forbes, ранее в российском законодательстве отсутствовала ответственность за потребление контента. Сведения о поисковых запросах и доступе к сайтам правоохранительные органы могут получать у владельцев поисковых систем и операторов связи — если пользователь не шифрует трафик.

По словам источника Forbes, доказать факт такого правонарушения затруднительно без изъятия устройства.

«К тексту очень много вопросов и замечаний. Можно лишь пожелать, чтобы для думских инициатив были предусмотрены процедуры, аналогичные тем, что применяются к правительственным законопроектам — это могло бы значительно повысить качество депутатских инициатив», — отметил собеседник Forbes из отрасли.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru