Maskiranje teretaPayload Obfuscation
Maskiranje tereta je preoblikovanje zlonamernog koda tako da ga alati i analitičari teže prepoznaju pre pokretanja. Kod se pakuje, šifruje, kodira ili deli u više slojeva, dok njegova stvarna namena ostaje ista.
Pojam
opis · primeri · napomeneMaskiranje tereta je preoblikovanje zlonamernog koda tako da ga alati i analitičari teže prepoznaju pre pokretanja. Kod se pakuje, šifruje, kodira ili deli u više slojeva, dok njegova stvarna namena ostaje ista.
Opis
Napadač bira koliko slojeva mu je potrebno. Svaki dodatni sloj otežava analizu, ali povećava veličinu, vreme izvršavanja i verovatnoću greške. Cilj nije potpuna nečitljivost, već da sadržaj prođe dovoljno dugo neprimećen.
Isti teret zato često dobija novo pakovanje za svaku kampanju. Pravi kod se otkriva tek tokom izvršavanja, najčešće u memoriji, a zatim nastavlja rad kao i ranije.
Primeri
- PowerShell komanda krije sadržaj iza dugog kodiranog niza.
- Izvršni fajl koristi program za pakovanje koji sakriva nizove i funkcije.
- Skripta sastavlja komandu iz više delova neposredno pre pokretanja.
- Loader dešifruje glavni teret u memoriji i zatim ga izvršava.
Napomene
- Pakovanje i kodiranje koriste i legitimni programi, pa sami po sebi nisu dokaz napada.
- Teret može ostati na disku; otkrivanje u memoriji ne čini ga malverom bez fajlova.
Spomenuto u vestima
Pretnje
koriste 4Pretnje koje je koriste. Klik vodi na stranicu pojma.
Odbrane
suzbija 3Kako se suzbija. Klik vodi na stranicu pojma.