Finjan heeft gelijk dat het vaker voorkomt, en ze beweren ook niet dat het
niet gescand kan worden (dit security.nl artikel geeft dat onjuist weer). Ze
zeggen dat signature scanners er steeds een nieuwe signature voor
moeten maken. En dat is volkomen waar. Het is ook mede een reden dat
het aantal signatures explosief stijgt.

Perry en Marcus hebben gelijk dat de techniek niets nieuws is en dat anti-
virus het toch wel kan detecteren, maar dat neemt niet weg dat er
momenteel te weinig aan generieke detectie wordt gedaan.

Polymorphisme is zooooo 1993 XD

Was dat niet de reden voor AV ontwikkelaars om met signatures te gaan werken..? Of vergis ik mij...

Signatures zijn oorspronkelijk een aantal opeenvolgende bytes. Niet lang
daarna werden al andere methoden gebruikt, die je ook als signatures kan
omschrijven. :)

Is David Perry van mening dat dynamic code obfuscation alleen door
middel van verborgen bestanden en versleutelen gebeurd?

Obfuscatie methodes:
Een obfuscatie method voor programma code heeft als doel de code er
anders of onleesbaar uit te laten zien. De geobfusceerde programma
code moet het zelfde beoogde resultaat opleveren als de originele code.

Layout obfuscatie
- Namen van variable aanpassen
- Programma code indeling aanpassen
- Commentaar aanpassen
Gegevens obfuscatie methodes
-Gegevens opslag obfuscatie
-Gegevenscoderings obfuscatie
-gegevensrangschikking obfuscatie (gegevensgroeperings obfuscatie en
gegevensvolgorde obfuscatie)
Programma instructie doorloop obfuscatie
- instructie volgorde
- instructies groeperen (inlining/outlining)
up-coversion /down-coversion
epo(entry point obscursion)

"Alleen de manier waarop de payload versleuteld wordt zou nieuw kunnen
zijn, maar in dit geval is het schrijven van een nieuwe unpacker de
oplossing"
Laat het nu eens zijn dat de packers/obfuscators dynamische worden
gegenereerd bij iedere infectie. En je dus voor iedere infectie een nieuwe
unpacker/deobfuscator moet schrijven.

De volgende technieken zouden een oplossing moeten bieden
Gedragsanalyse
detectie van dinamische decryptor
sandboxing
analyse van dll inports & function calls

maar malware schrijvers hebben daar al weer een antwoord op:
- deobfuscatie/unpack systemen voor de gek houden.(Bij deobfuscatie
veranderd bijvoorbeeld vaak de lengte van de code; als de decryptie
afhankelijk is van de lengte van de code dan heb je een probleem)
-deobfuscatie systemen exploiten
-anti sandboxing (doorloop tijd controleren , offsets van dll-functies
controleren en fingprinting dll functions)

Ik heb zelf toevallig nog een keygen.exe proberen te onderzoeken in
vmware maar ik kreeg een alert in de trand van; this program can not run in
vmware :P

Ik ben trouwens bezeig met een onderzoek naar Dynamisch
geobfusceerde programma code. wat je hier boven leest zijn zo'n beetje de
inhoudsopgave.

Greetingz,
Jacco