Четыре антивируса, один ClamAV: КНДР выдала чужой движок за свой

Северная Корея нашла быстрый способ создать национальный антивирус: взять открытый движок ClamAV, пересобрать его и выпустить сразу под четырьмя местными названиями. Исследователи из StealthMole считают, что за разными вывесками скрывается одна и та же зарубежная технологическая основа.

ClamAV — антивирусный движок с открытым исходным кодом, который развивает команда Cisco Talos.

Он используется для проверки файлов, почтовых шлюзов и обнаружения вредоносных программ в Unix-подобных системах. Лицензия GPL разрешает модифицировать и распространять код, поэтому северокорейским разработчикам не пришлось собирать собственный антивирус с нуля.

По данным исследователей, все четыре продукта сохранили характерные черты ClamAV: логику сканирования, форматы баз, механизм обновления и систему названий сигнатур.

Различаются главным образом упаковка и целевая аудитория. Один вариант могли предназначить для военных, другой — для госорганов, третий — для научных учреждений, четвёртый — для промышленных предприятий.

Схема позволяет Пхеньяну демонстрировать сразу несколько якобы отечественных средств защиты, не тратясь на разработку отдельных движков. Четыре бренда, четыре легенды — и один ClamAV под капотом.

Подобные заимствования для КНДР не новость. Ранее исследователи обнаруживали сторонние технологии и в национальном антивирусе SiliVaccine. Однако нынешний случай особенно показателен: государство, которое старательно изображает технологическую самостоятельность, защищает свои закрытые сети с помощью иностранного open source.

Есть и обратная сторона. Разбирая ClamAV и перестраивая его под собственные задачи, северокорейские специалисты заодно получают знания о работе популярных защитных механизмов. А значит, так называемый национальный антивирус может оказаться не только щитом, но и учебным пособием по обходу чужой защиты.