heyheytowerスマートフォン用の表示で見るheyheytower日々のメモです。誰かのお役に立てれば幸いです。標準の機能を用いた、マルウェアのアンチデバッグ機能を逆手に利用したマルウェア対策この広告は、90日以上更新していないブログに表示しています。目的マルウェアのアンチデバッグ機能を利用して、マルウェアの活動を抑制する仕組みをセットアップします。EMDIVI)、これは逆にマルウェアの活動抑止に利用できるのでは...と考えたところ、すでに先人がいっらっしゃいました。2009年にLACの松木さんという方が、下記の論文を提出されてました。APIフックしたいなと考えていた折、同様の手法で論文ではかなり掘り下げられておりました。標準の機能だけでマルウェア対策を行うことを目的としました。標準の機能(コマンドプロンプト、ショートカット機能)を用いてデバッガが動いるように見せかけます。ショートカットのプロパティは下記の設定を行います。pic.1も参考にしてください。画面バッファー・ウインドウサイズを最小の設定(邪魔にならないよう小さく設定するだけなので任意です。ついては、下記より意図などを説明をいたします。あると逆に偽装します。『OllyDbg』のプロセスを検出して解析を妨害するタイプのウイルスを解析したい基本的なOllyDbgのプロセス検出手法としては、Windows上で実行されているプロセスの一覧を取得して、各プロセス名のチェックによりOllyDbgが起動されているかを判断します。API関数を用いてプロセス一覧を取得する方法は5種類ありますが、通常は以下の3つの方法のいずれかを使用します。簡単なプロセス検出回避アプローチとしては、Windowsが把握するプロセス名はプロセスの実行ファイル名となるため、単純にOllyDbgの実行ファイル名を別のものに変更すれば、起動時にエラーメッセージは出るもののプロセス名も変更されOllyDbgのプロセスは検出されなくなります。Travesia)また、下記の調査を鑑みますと、プログラムの配置場所は任意で良さそうです。(自分は折角なので、OllyDbgのフォルダを参考にそれっぽい場所に配置しましたが。コマンドを利用してウインドウタイトルを変更します。マルウェアは、可視ウィンドウを列挙し、各ウィンドウのタイトルバーの文字を以下の文字列と比較します。Monitor・SoftICE・W32Dasm・WireShark=ウィンドウのタイトルバーの文字が上述の文字列のいずれかを含んでいた場合、マルウェアは、スリープコマンドを実行することで、自身の不正活動の実行を中断します。本件のおとりプロセスを起動させてから、コマンドtasklistを利用して起動状態を確認してみます。起動状態と同じでした。ウイルスによってはプログラムの強制停止を行うものもあるようなので、本件のおとりのプロセスが停止されていたら注意しないとですね。・以下のセキュリティ関連のツール、その他のプロセスを終了します。利用できますので、下記を参考にスタートアップフォルダにバッチファイルを設置し、バックグラウンド(ウインドウ非表示)で自動実行するようにしました。こちらでしたらタスクバーもすっきりしますね。実現させておりました。Blogsレジストリ値追加・ファイル作製・プロセス作製など実機への影響範囲が大きい点は考慮しないといけませんが、とても興味深い実験結果が報告されていたため共有いたします。最後にこんなことを書くのもあれですが、本件のおとりプロセスの有効性はお守り程度と考えて、皆さんはきちんとウイルス対策ソフトとEMET*1を導入してください。最新のウイルスに対するパターンファイルの作成が早いように感じます。CPUなので感染しないかもですね。