Эксперты Positive Technologies проанализировали 36 семейств ВПО, которые были активны в последние 10 лет и в которых присутствуют функции обнаружения и обхода средств виртуализации (песочниц). Анализ показал, что четверть всех вредоносных программ, вошедших в исследование, была активна в 2019―2020 годах, не менее 23 APT-группировок по всему миру использовали в своих атаках программы из этой выборки, 69% ВПО использовалось с целью шпионажа.
Специалисты проследили изменения в методах обхода песочниц и средств анализа и отметили, что одно и то же ВПО в разные годы использует разные методы. Кроме того, злоумышленники стараются использовать одновременно несколько технологий. В случае если один из методов не сработает и будет перехвачен песочницей, ВПО попытается по какому-то другому признаку определить, что выполняется в среде виртуализации, чтобы вовремя прекратить свою работу.
По данным исследования, чаще всего техники обхода песочниц и обнаружения средств анализа внедряют в ВПО для удаленного доступа (56% среди рассмотренного ВПО) и загрузчики (14%). «Это объясняется тем, что подобные программы используются в разведке и при сборе информации о целевой системе, — комментирует результаты анализа старший аналитик Positive Technologies Ольга Зиненко. — Если злоумышленники обнаружат, что ВПО начало исполнение в виртуальной среде, то они не станут развивать этот вектор атаки и загружать на компьютер жертвы вредоносную нагрузку, а постараются скрыть свое присутствие, прекратив работу ВПО».
Анализ показал, что 25% всех вредоносных программ, вошедших в исследование, были активны в 2019―2020 годы. Кроме того, согласно полученным данным, в 2018―2019 годах увеличилось количество ВПО, которое применяет методы обхода песочниц. Однако, по мнению экспертов, причиной этого вероятнее всего является увеличение числа исследований образцов ВПО экспертами безопасности.
Среди наиболее часто встречающихся способов обхода песочниц эксперты назвали отправку WMI-запросов[1] (25% ВПО) или иные проверки окружения (33% ВПО), а также проверку списка запущенных процессов (19% ВПО). По данным анализа, 69% рассмотренного ВПО применялось в атаках, совершаемых с целью шпионажа. В таких атаках для преступников особенно важно длительное скрытое присутствие в системе жертвы, поэтому они ищут способы как можно дольше оставаться незамеченными.
Специалисты отмечают, что разработчики ВПО применяют методы обфускации (запутывания) кода и стараются затруднить экспертами по безопасности его анализ, в результате чего становится все сложнее проводить статический анализ вредоносных файлов, сопоставлять подозрительные файлы с известными сигнатурами и хеш-суммами.
«Мы видим, что в последние годы разработчики ВПО особенно стали избегать анализаторов кода, — говорит руководитель отдела обнаружения вредоносного ПО Positive Technologies Алексей Вишняков. — Злоумышленники стараются тщательно скрыть вредоносные функции от исследователей безопасности и минимизировать вероятность обнаружения ВПО по известным индикаторам компрометации (indicators of compromise, IOC). Поэтому классические средства защиты могут не справиться с обнаружением вредоносных программ, и мы рекомендуем для выявления современных образцов ВПО анализировать поведение файла в безопасной виртуальной среде. Кроме того, использование песочниц позволяет обогащать базу IOC и применять полученную информацию для реагирования на киберугрозы».
[1] Запросы WMI (Windows Management Instrumentation) используются для обращения к устройствам, учетным записям, сервисам, процессам, сетевым интерфейсам и другим программам.
