Mitenkäs yleistä on, että kriminaalit kehittelevät haittaohjelmia, jotka vaativat toimiakseen monta eri tiedostoa, ts. haittakoodi on pilkottu useisiin eri tiedostoihin? Ideana siis se, että kun yhden näistä tiedostoista skannaa virustentorjuntaohjelmistolla tai lähettää vaikkapa VirusTotaliin, niin mitään epäilyttävää ei löydy.
Kun kerran joskus 10v sitten en erästä peliä löytänyt legitiimeiltä videopelien jakelu-, moninpeli- ja viestintäalustoilta kuten Steamistä, enkä tuota peliä halunnut tilata rannikon takaa CD:llä kiskurihintaan, niin latasin pelin erään blogin kautta leviteltyjen linkkien avulla. Kopioin pelin sisältävät pakatut tiedostot ns. hiekkalaatikkoon (eristävään turvaohjelmistoon) sekä purin pelin noista kompressoiduista tiedostoista. Skannasin kaikki tiedostot ja vein kunkin niistä VirusTotaliin. Mitään ei löytynyt. Tämän jälkeen asensin pelin hiekkalaatikon sisään ja skannasin asennuksen jäljiltä muodostuneet tiedostot yksi kerrallaan VirusTotalissa ja Jotissa. Tulos oli muistaakseni, että muut tiedostot olivat "puhtaita", mutta "Uninstall.exe" oli selvästi troijalaisia sisältävä tiedosto (oletan, että oli tyypillistä "kone zombiksi" -koodia). Tuossa siis haittaohjelman levittäjä saattoi edellyttää, että käyttäjä näkee hieman vaivaa ja vieläpä uninstalloi pelin... Tajusin viimeistään tämän jälkeen, että haittisten levittelijät yrittävät kyllä kaikkea, vaikka yksinkertaisempaa kai olisi korkata koneita käyttämällä perinteistä "yksi tiedosto ja yksi haitake" -tapaa.
Kun kerran joskus 10v sitten en erästä peliä löytänyt legitiimeiltä videopelien jakelu-, moninpeli- ja viestintäalustoilta kuten Steamistä, enkä tuota peliä halunnut tilata rannikon takaa CD:llä kiskurihintaan, niin latasin pelin erään blogin kautta leviteltyjen linkkien avulla. Kopioin pelin sisältävät pakatut tiedostot ns. hiekkalaatikkoon (eristävään turvaohjelmistoon) sekä purin pelin noista kompressoiduista tiedostoista. Skannasin kaikki tiedostot ja vein kunkin niistä VirusTotaliin. Mitään ei löytynyt. Tämän jälkeen asensin pelin hiekkalaatikon sisään ja skannasin asennuksen jäljiltä muodostuneet tiedostot yksi kerrallaan VirusTotalissa ja Jotissa. Tulos oli muistaakseni, että muut tiedostot olivat "puhtaita", mutta "Uninstall.exe" oli selvästi troijalaisia sisältävä tiedosto (oletan, että oli tyypillistä "kone zombiksi" -koodia). Tuossa siis haittaohjelman levittäjä saattoi edellyttää, että käyttäjä näkee hieman vaivaa ja vieläpä uninstalloi pelin... Tajusin viimeistään tämän jälkeen, että haittisten levittelijät yrittävät kyllä kaikkea, vaikka yksinkertaisempaa kai olisi korkata koneita käyttämällä perinteistä "yksi tiedosto ja yksi haitake" -tapaa.
Vastaukset 13
Vanhimmat
Varmasti hyvin tavallista.
Yksi kätevä tapa piilottaa haittaohjelma olisi käyttää vaikka kuvatiedostoa ja käyttää tämän pikseleitä ohjelman tallennukseen. Saa valtavat määrät koodia jemmaan eikä virustutka voi helposti sanoa onko kuva vaikka äidistäsi haittaohjelma vai ei.
Sitä ei sitten tarvitse montaa tavua koodia joka lukee sitä kuvatiedostojen pikseleihin upotettua koodia, että saa siis helposti jemmattua mielivaltaiset määrät haittaohjelman koodia.
Samallalailla se virustorjunta osaa etsiä tunnisteiden mukaisen koodin siitä kuvastakin.
Ei ole mahdollista. Kyseessä on täysin sama tilanne kuin kryptatusta tiedostosta pitäisi purkaa sisältö ilman tietoa miten on kryptattu, ilman purkuavainta ja ilman että tiedettäisiin että mitään koodia on olemassakaan.
Kyllä siinä kuvassa olevassa haittaohjelmassa on kryptaamaton osa joka saa itsensä ajettua ajolistalle jonkun aukon avulla.
Ei tarvitse olla jos se on toisessa tiedostossa.
Älä puhu paskaa rakkula.
En puhu missään paskaa. Otsikon aiheena on haittaohjelman pilkkominen useaan tiedostoon ja se on erittäin järkevää koska voidaan ajaa valtavat määrät haittakoodia koneelle niin että on täysin mahdotonta tehdä tunnistetta virustutkiin tai muutenkaan havaita ja sitten vain semmoinen pieni kikkare missä on avaimet haittakoodin lukemiseksi. Sekin voidaan toki sotkea eri tavoin ja kätkeä.
Tämmöiset kikat on yksi syy siihen miksi virustutkat eivät oikein toimi kun on niin helppo huijata niitä tai tehdä koodia jota ei ole edes mahdollista virustutkan havaita vaikka tietäisivät miten se toimii. Se cryptografia on semmoinen juttu että jos virustutkien valmistajat keksivät keinon murtaa ne suojaukset niin se on vähän isompi juttu kuin mikään haittaohjelma missään.
Jännä tapa tuo, että kuvan pikselit toimivat haittakoodina. Oikeastaan siinä ei tarvita edes ns. vesileimaa, joka muuttelisi sopivasti osan pikselien väreistä tms. vastaamaan kutakin koodinpätkää. Tuossa tapauksessa itse kuvahan on täysin puhdas haittakoodista ja olennaisinta on se "kikkare", joka sisältää avaimet tms. haittakoodin lukemiseksi. Tällä vältetään hyvin todennäköisesti tunnistus etukäteen ennen kuin ajetaan haittakoodia, mutta ei tälläkään keinolla pystytä täysin ohittamaan virustentorjuntaohjelmaa, joka kyllä analysoi sen haittakoodin, jota yritetään ajaa. Käyttäjän kannalta on toki aika riskialtista, että haittakoodin ajovaiheessa pitäisi tehdä tunnistus. Olisiko, että antiviraalit tunnistavat pelkästään kolmasosan haittakoodista?
Kolmasosa on yläkanttiin... Ja kun kyse on kuvasta niin sehän voi olla edelleen samannäköinen kun käytetään vain vähiten merkitseviä bittejä informaation välittämiseen.
Virustutkillehan tuosta tulee semmoinen iso hankaluus, että varsinaista ohjelmakoodia tarvitsee ujuttaa vain muutama tavu kun kaikki jännä on toimitettu jonkun kuvan tms. yhteydessä.
Se virustutkan analysointi ei paljoa haittaa. Uuden haittaohjelman kirjoittaa minuutissa ja virustutka ei tiedä mitään siitä onko se haittaohjelma vai ei.
"En puhu missään paskaa."
Et ehkä omasta mielestäsi, mutta usein puhut kakkaa siitä huolimatta.
Todista.
Hiiteen koko windows.
Rikos ei kannata.