Недетские игры злоумышленников: 69% вредоносного ПО с функцией обхода песочниц использовалось для шпионажа

Эксперты Positive Technologies проанализировали 36 семейств ВПО, которые были активны в последние 10 лет и в которых присутствуют функции обнаружения и обхода средств виртуализации (песочниц). Анализ показал, что четверть всех вредоносных программ, вошедших в исследование, была активна в 2019-2020 годах, не менее 23 APT-группировок по всему миру использовали в своих атаках программы из этой выборки, 69% ВПО использовалось с целью шпионажа.

Специалисты проследили изменения в методах обхода песочниц и средств анализа и отметили, что одно и то же ВПО в разные годы использует разные методы. Кроме того, злоумышленники стараются использовать одновременно несколько технологий. В случае если один из методов не сработает и будет перехвачен песочницей, ВПО попытается по какому-то другому признаку определить, что выполняется в среде виртуализации, чтобы вовремя прекратить свою работу.

По данным исследования, чаще всего техники обхода песочниц и обнаружения средств анализа внедряют в ВПО для удаленного доступа (56% среди рассмотренного ВПО) и загрузчики (14%). «Это объясняется тем, что подобные программы используются в разведке и при сборе информации о целевой системе, — комментирует результаты анализа старший аналитик Positive Technologies Ольга Зиненко. — Если злоумышленники обнаружат, что ВПО начало исполнение в виртуальной среде, то они не станут развивать этот вектор атаки и загружать на компьютер жертвы вредоносную нагрузку, а постараются скрыть свое присутствие, прекратив работу ВПО».

Анализ показал, что 25% всех вредоносных программ, вошедших в исследование, были активны в 2019-2020 годы. Кроме того, согласно полученным данным, в 2018-2019 годах увеличилось количество ВПО, которое применяет методы обхода песочниц. Однако, по мнению экспертов, причиной этого вероятнее всего является увеличение числа исследований образцов ВПО экспертами безопасности.

Среди наиболее часто встречающихся способов обхода песочниц эксперты назвали отправку WMI-запросов (25% ВПО) или иные проверки окружения (33% ВПО), а также проверку списка запущенных процессов (19% ВПО). По данным анализа, 69% рассмотренного ВПО применялось в атаках, совершаемых с целью шпионажа. В таких атаках для преступников особенно важно длительное скрытое присутствие в системе жертвы, поэтому они ищут способы как можно дольше оставаться незамеченными.

Специалисты отмечают, что разработчики ВПО применяют методы обфускации (запутывания) кода и стараются затруднить экспертами по безопасности его анализ, в результате чего становится все сложнее проводить статический анализ вредоносных файлов, сопоставлять подозрительные файлы с известными сигнатурами и хеш-суммами.

«Мы видим, что в последние годы разработчики ВПО особенно стали избегать анализаторов кода, — говорит руководитель отдела обнаружения вредоносного ПО Positive Technologies Алексей Вишняков. — Злоумышленники стараются тщательно скрыть вредоносные функции от исследователей безопасности и минимизировать вероятность обнаружения ВПО по известным индикаторам компрометации (indicators of compromise, IOC). Поэтому классические средства защиты могут не справиться с обнаружением вредоносных программ, и мы рекомендуем для выявления современных образцов ВПО анализировать поведение файла в безопасной виртуальной среде. Кроме того, использование песочниц позволяет обогащать базу IOC и применять полученную информацию для реагирования на киберугрозы».

23 ноября, 2020

Подписаться на новости BIS Journal / Медиа группы Авангард

Подписаться
Введите ваш E-mail

Отправляя данную форму вы соглашаетесь с политикой конфиденциальности персональных данных

30.06.2025
Всё связать до 1 июля: «симку», биометрию, «Госуслуги»
30.06.2025
Нейросетям поставили задачу усовершенствовать бюджетный процесс
30.06.2025
Draugnet послужит демократизации отчётности по киберугрозам
30.06.2025
Россиян превращают в дропперов особо изощрённым способом
30.06.2025
Банк России сдал нулевой срез по цифровому рублю
30.06.2025
Половина безопасников хочет приостановить развёртывание GenAI
27.06.2025
«Корыстные цели и низкий уровень правовой культуры». Телеком-лицензии — только в чистые руки
27.06.2025
США опасаются усиления иранских кибератак после авиаударов
27.06.2025
«Можно было бы просто запретить импорт отдельных сегментов». «Аквариус» — о вечном
27.06.2025
ИИ позволяет бороться с телефонными мошенниками, сохраняя тайну связи

Стать автором BIS Journal

Поля, обозначенные звездочкой, обязательные для заполнения!

Отправляя данную форму вы соглашаетесь с политикой конфиденциальности персональных данных