Virusii criptati fac inutila detectia bazata pe liste de semnaturi

Denumit "cod dinamic", metoda este folosita de atacatori pentru a instala aplicatii nocive pe sistemele victimelor, zadarnicind eforturile producatorilor de programe antivirus, a declarat dl. Yuval Ben-Itzhak, CTO (chief technology officer) in cadrul companiei de securitate Finjan. Spre exemplu, daca doi utilizatori viziteaza simultan un site compromis, fiecare va fi contaminat cu variante diferite de cod criptat, generat in timp real, cu seturi diferite de nume de functii si parametri. Camuflarea dinamica face listele cu semnaturi virus inutile, din moment ce cheile de criptare diferite schimba aspectul codului malware existent pe statia contaminata a utilizatorului.

"Producatorii de solutii de securitate care asigura actualizarea programelor antivirus oferite ar trebui teoretic sa creeze milioane de semnaturi" apreciaza dl. Ben-Itzhak. De fiecare data cand un utilizator viziteaza un site web compromis, pe statia sa sunt instalate noi variante ale aplicatiilor nocive criptate.

In plus cercetatorii de securitate intentioneaza sa lanseze un utilitar numit VOMM -eVade o" Matic Module, care asigura modificari aleatoare ale programelor prin adaugarea de spatii, comentarii, nume de variabile si functii aleatoare, precum si alte metode de disimulare a codului nociv.

"Dupa ce aceasta aplicatie va fi lansata, producatorii de aplicatii antivirus bazate pe liste de semnaturi vor intampina mari dificultati in detectarea acestor aplicatii nocive camuflate" apreciaza dl. Ben-Itzhak. O metoda in combaterea acestora ar fi analiza de securitate bazata pe anomalii de comunicatie si particularitati de comportament ale aplicatiilor, indiferent de continutul surselor acestora. "Cercetatorii vor putea descompune aplicatiile nocive pentru a stabili ordinea de executie si functiile apelate. In consecinta, aplicatiile nocive ar putea fi blocate inainte de intrarea in retea si nu lasate pe seama aplicatiilor de securitate de pe sistemele desktop din reteaua locala."

Pentru anul 2007, specialistii Finjan estimeaza ca site-urile Web 2.0 in continuare vor constitui tinte predilecte ale atacatorilor, in special cele care folosesc Ajax. Ajax combina JavaScript si DHTML pentru a obtine aplicatii Web interactive. In 2006 cercetatorii au descoperit ca Ajax era folosit pentru a solicita cod nociv fara ca utilizatorii sa fie notificati, continand trimiteri catre locatii web care nu erau indexate de motoarele de cautare.

Despre autor:

Redactia 9am

Mai multe