El mundo de antivirus

lunes, 9 de octubre de 2017

En WikiLeaks otra vez fue publicada la información sobre las herramientas (programas nocivos) de la CIA para recibir los datos desde PCs en Windows XP и 7. Entre estos “ayudantes” hay dos bastante interesantes.

¿Para qué los programas nocivos necesitarán sus propios sistemas de archivos? Es que siempre pueden grabar los datos en un archivo ordinario o transferirlos por Internet.

Se trata de la protección preventiva: hasta si un programa nocivo ha podido iniciarse (por ejemplo, si el usuario excluyo del escaneo los discos o el tráfico de aplicaciones), una vez iniciado, el funcionamiento de su proceso será supervisado por este componente del antivirus. La actividad del nuevo programa será de interés para la protección preventiva. Y los malintencionados inventaron cómo se puede esquivarlo.

Se puede crear un solo archivo, y en el mismo – un sistema de archivos propio. En el SO Linux se puede formatear el espacio dentro de un archivo con utilidades estándar que normalmente se usan para formatear el disco duro. En el SO Windows es un poco más complicado crear un disco virtual propio, pero no hay nada imposible para una utilidad especial.

Como resultado, la protección preventiva simplemente no notará las acciones de los malintencionados que en su mayoría se realizarán dentro del archivo y se interpretarán como trabajo con el mismo.

En estos almacenes se puede ocultar tanto los componentes del programa nocivo como la información robada.

Los malintencionados también pueden cifrar su sistema de archivos, y, como resultado, todos los intentos de recibir la información de su almacén no aportarán resultados. Lo hacía. Regin que creó su propio sistema de archivos virtual (EVFS) cifrado. Como método de cifrado EVFS, se usaba una variante de cifrado por bloques RC5. Y también se puede guardar el almacén creado fuera del sistema de archivos, al reducir su tamaño (es decir, al desplazar el borde de la sección). Por ejemplo, los rootkits TDL 3/4 crearon el sistema de archivos TDLFS en los últimos sectores del disco duro.