gjf Mar 1 2011 at 18:23

Использование мьютексов для обнаружения активного заражения

2 min

1.9K

Antivirus protection*

+34

Comments 35

UFO just landed and posted this here

vilgeforce Mar 1 2011 at 20:48

Довольно большой, периодически вижу создание мьютексов троянами.

Colwin Mar 2 2011 at 08:27

ПриблИзительно.

a3x Mar 1 2011 at 21:07

А можно ли использовать эти мьютексы, чтобы избежать заражения? Специально все на целевой системе установить и все… profit!

+18

DiverOfDark Mar 1 2011 at 22:41

Главное чтобы антивирусы от такого не вопили удивленно :)

DenisO Mar 2 2011 at 01:21

И только самый храбрый антивирус дойдет до конца установки увидев все известные мьютексы сразу.

Jabberwok Mar 1 2011 at 22:23

Я не думаю, что серьезные вирусмейкеры будут использовать такой способ, больно топорный и легко обнаруживаемый. Так часто прикладные приложения препятствуют нескольким одновременным запускам.

gjf Mar 1 2011 at 23:40

Вы считаете авторов TDSS и Sality начинающими бойцами? ;)
Я сам удивлён, но тем не менее это работает. Кстати, некоторые консольные утилиты для лечения однотипной инфекции работают именно на детекте мьютексов.

Jabberwok Mar 1 2011 at 23:44

Я честно говоря не знаю, кто это. Просто очень примитивный метод, как только я прочитал, у меня тут же родилось несколько идей по довольно простому его усовершенствованию.

VadimKotov Jul 15 2011 at 14:32

Не забудьте прибавить и Kido/Conficker/Downadup к этому списку :)

UFO just landed and posted this here

Jabberwok Mar 1 2011 at 22:29

Можно, кстати, улучшить данный метод, например использовать не константу, а вычислимое значение. Например брать ID какого-нибудь девайса на компе и преобразовывать его по хитрому алгоритму. Это как минимум затруднит поиск.

DiverOfDark Mar 1 2011 at 22:41

Интересная идея, но… Был бы я вирмейкером — я бы просто альтернативный файловый поток к какому нибудь ntoskrnl.exe дописал и его проверял… Не так заметно ИМХО.

Jabberwok Mar 1 2011 at 22:46

по-моему все просто найти если знать где и что искать

DiverOfDark Mar 1 2011 at 22:49

«Знал бы прикуп — жил бы в Сочи» :)
Ясен хрен что найти можно все. Другой вопрос:
А) Кто будет искать?
Б) Кто будет перелопачивать огромную помойку файлов на винте?
Взял, приписал файловый поток к какому нибудь Desktop.ini в жопе диска — и хрен кто даже догадается туда полезть если знать не будет.

AFC Mar 1 2011 at 23:03

Не наю как с этим обстоит в Vista/7 но для XP применение системой альтернативных потоков нетипично и их появление уже может вызвать подозрения. И не забываем, что есть компьютеры где только FAT.

DiverOfDark Mar 1 2011 at 23:41

даже ХР по умолчанию ставится на NTFS. Виста/7 — только на нтфс. а насчет их появления — да кто их заметит? а ведь есть еще менее известные аналоги, которые остались как наследие чуть ли не от OS/2 емнип…

ruzzz Mar 4 2011 at 11:09

ntfs-потоки может показать Streams By Mark Russinovich.

Jabberwok Mar 1 2011 at 23:30

Суть статьи в том, что мьютексы для некоторых вирусов уже известны. Искать неизвестный мьютек не легче чем альт. поток.

DiverOfDark Mar 1 2011 at 23:40

в целом легче, так как список общесистемных именованных мьютексов не так велик…

Jabberwok Mar 1 2011 at 23:43

так любое невредоносное приложение может насоздовать мьютексов.

Anastasia_K Mar 1 2011 at 22:59

как то это неэлегантно. Любое изменение файла отследить легче, чем маркеры в памяти. Лучше уж регистрировать в системе какой нибудь хитрый хоткей, и проверять его наличие.

DiverOfDark Mar 1 2011 at 23:42

не легче, т.к. файлов намного больше. а если антивирус например будет перехватывать всякое обращение к файлу — представляете какие лаги будут? :)

-1

gjf Mar 1 2011 at 23:42

Палится на раз и давно известно (Русток и ещё какой-то винлокер был год назад, забыл название).

DiverOfDark Mar 1 2011 at 23:42

Да? Не знал, буду знать, спасибо

entze Mar 2 2011 at 11:25

Тема с альтернативными файловыми потоками уже по-моему разобрана несколько лет назад. К тому же прописывать в системных файлах заметно, а «в жопе диска» не надежно.

koljambo Mar 1 2011 at 23:06

Бреееееед же, не юзабельно ниразу.

-3

Benedict Mar 1 2011 at 23:06

по-моему достаточно просто какой-нибудь любой другой объект ядра вместо мьютекса регистрировать — в общем-то это изменение одной строки кода

gjf Mar 1 2011 at 23:43

UFO just landed and posted this here

DenisO Mar 2 2011 at 01:22

handle.exe -a > log.txt
handle.exe: команда не найдена

-6

soldovskij Mar 2 2011 at 04:00

Читайте внимательней — утилиту нужно скачать, что бы «команда была найдена».

moiseir Mar 2 2011 at 02:55

А где можно найти более обширный список известных «специфических» мьютексов?

darkslesh Mar 2 2011 at 11:02

Мьютексы это частный случай. Также довольно часто используется именованный CreateFileMapping, который по факту при этом использовании даёт те же результаты. Если разбирать проблему более подробнее, то можно выявить следующие варианты проверки зараженности:

Именованные мьютексы
Именованный FileMapping
Именованные Семафоры
Наличие определенного Атома
Ключ в реестре
Файл на винте
Наличие окна с определенным классом/именем

darkslesh Mar 2 2011 at 11:07

И еще много всего. Хотя судя по виду, сейчас вирмейкеры стали отказываться от постоянных имен. Недавно встретил трояна, который использовал именованный FileMapping, для которого имя генерировалось в зависимости от серийного номера тома на котором была установлена Windows. Таким образом на разных компьютерах были разные имена (оформленные в стиле GUID), что полностью мешало выявлению его на других компьютерах.

Show the best of all time