图标查杀免杀技术

一、现象分析

  在分析样本时,发现图标类恶意程序还是比较常见的,比如伪装成JPG、DOC文件的病毒,基本的特征都是把图标替换为Windows默认的图标,病毒运行后释放文件并显示,然后在后台运行恶意代码。下图是一个典型的伪装成Word文档的病毒文件,运行后释放一个doc文件并打开:

1

  出于好奇心,使用金山毒霸和瑞星测试了一下,发现都可以对其进行查杀,金山毒霸报“云启发病毒”,而瑞星则报“FakeDOC”,如下图所示:

2

3

  对于这两款软件的检测机制很是好奇,所以我使用了其他普通图标替换了病毒的WORD图标,再次扫描,静态扫描都不报毒,而且执行起来也不会存在任何提示,看来,不过就是对图标进行了检测而已,真正的代码逻辑没有任何检测。

二、图标免杀处理

  能不能对图标进行一下处理,来绕过杀毒软件的检测呢?只有想不到,没有做不到。既然查杀点在图标,那么尝试对图标上的像素点进行处理,是不是就可以绕过了呢?

  随便找个ico图标编辑器,将word图标上的部分像素点涂成其他颜色,再测试一下,依然被杀。那就继续处理像素点,测试继续被杀,一直涂到图标都面目全非了,才逃过了检测。但这个姿势肯定不对,人眼都能看出图标有问题来了,这时候才能绕过杀软检测已经没有意义了。

  为何杀毒软件这么牛逼?想着在对比两个图片的时候,经常使用StegSolve进行XOR操作,那么如果将两个图标进行XOR操作,差异就显而易见了。比如,下面两个Word图标进行XOR操作之后,从得到的结果中可以看出相似度还是极高的:

4

这里处理的图标是48*48像素的,第二个ico图标涂掉了32个像素点,那么相似度计算:1 – 8*4/(48*48) = 98.6%,想想还是挺高的,怪不得杀得那么厉害。

  可以这么认为,如果图标像素的相似度达到某一个阈值,就认为是病毒。在检测条件十分严格的情况下,只有把图标改的面目全非时,才可以绕过杀毒软件的检测;但是这个时候,图标已经可以明显的人肉眼分辨了。

  现在的目标:

  1. 杀软认为完全不一样;
  2. 人眼认为基本上一样;

  这个目标当然很容易实现!打乱所有坐标点的RGB值,这样当绝大部分的像素点的RGB值都不一样了,不超过阈值就会认为是正常的图标了。至于人眼就更容易忽悠了,把整个坐标系移动一个像素点即可。

  在下图中,左侧图标为原始图标,右侧图标在左侧图标的基础上向上和向左均移动一个像素点,保存之后人眼基本分辨不出来二者的区别,但是对于杀毒软件而言已经是两个完全不同的图标了。

5

  将样本的图标替换为处理后的图标,扫描测试,发现金山毒霸和瑞星都不吭声了,有图有真相:

6

7

  对于其他的图标,可以采用同样的方案进行处理。

 

发表评论

电子邮件地址不会被公开。 必填项已用*标注