Методы определения полиморфик-вирусов

На рис. 6 показана работа программы, инфи­цированной вирусом (а), и программы, инфи­цированной зашифрованным вирусом (б). В первом случае схема работы вируса выглядит следующим образом, идет выполнение про­граммы, в какой-то момент начинает выпол­няться код вируса и затем опять идет выпол­нение программы. В случае с зашифрованной программой все сложнее.

Идет выполнение программы, потом вклю­чается дешифратор, который расшифровы­вает вирус, затем отрабатывает вирус и опять идет исполнение кода основной программы. Код вируса в каждом случае зашифрован по-разному. Если в случае нешифрованного ви­руса эталонное сравнение позволяет «узнать» вирус по некоторой постоянной сигнатуре, то в зашифрованном виде сигнатура не видна. При этом искать дешифратор практически не­возможно, поскольку он очень маленький и детектировать такой компактный элемент бес­полезно, потому что резко увеличивается ко­личество ложных срабатываний.

В подобном случае прибегают к технологии эмуляции процессора (антивирусная програм­ма эмулирует рабо­ту процессора для того, чтобы проана­лизировать испол­няемый код виру­са). Если обычно условная цепочка состоит из трех ос­новных элементов: ЦПУ à ОС à Программа (рис. 7),— то при эмуляции процессора в такую цепочку добавляется эмулятор, о котором программа ничего не знает и, условно говоря, «считает», что она работает с центральной операционной систе­мой. Таким образом, эмулятор как бы вос­производит работу программы в некотором виртуальном пространстве или реконструиру­ет ее оригинальное содержимое. Эмулятор всегда способен прервать выполнение про­граммы, контролирует ее действия, не давая ничего испортить, и вызывает антивирусное сканирующее ядро.

Рис. 7 Схема работы эмулятора процессора

Эвристический анализ

Дата добавления: 2015-06-30; просмотров: 233; Нарушение авторских прав

Мы поможем в написании ваших работ!