Hoe je PDF-malware echt moet verstoppen
De laatste tijd verschijnt er veel geobfusceerde PDF-malware, toch is er nog voldoende ruimte voor verbetering, aldus een beveiligingsonderzoeker. Volgens Sebastian Porst van beveiligingsbedrijf Zynamics is de obfuscatie die in het 'wild' wordt aangetroffen zeer beperkt en hebben virusschrijvers het niet goed uitgedacht. Porst onderzocht daarom hoe je echt PDF-malware moet obfusceren.
Adobe Reader
Op dit moment gebruiken virusschrijvers vier manieren om PDF-bestanden te misbruiken: gebroken PDF parsers, kwetsbare JavaScript engine, kwetsbare externe libraries en de /Launch functie. Om de exploit te verbergen passen de virusschrijvers obfuscatie toe. "Verschillende trucs voor verschillende doeleinden", aldus Porst. Het kan dan gaan om het bemoeilijken van handmatig analyse, het blokkeren van geautomatiseerde analyse of het voorkomen van detectie door virusscanners.
Daarbij botsen twee doelen, namelijk het voorkomen van detectie door er normaal uit te zien of het bemoeilijken van analyse door het bestand te misvormen. In zijn presentatie demonstreert Porst verschillende manieren om PDF-malware beter te verstoppen. De meeste trucs zijn bedoeld voor Adobe Reader, hoewel er ook tactieken zijn die voor andere PDF-lezers gelden.
En daar kom je nu mee. Die auteur over data verstoppen kon het geheel zelf uitzoeken. Er was slechts één reactie die er toe deed en later nog weg gehoond werd ook.
Ik krijg soms echt de pest aan mensen die graag alleen opscheppen en verder anderen laten doodvallen.
Mee eens, hoewel het probleem van malware die door virusscanners niet gevonden kan worden al van alle tijden is. Als het AV bedrijf aan de hand van PeterV's demo signatures of heuristics heeft kunnen ontwerpen om dergelijk stealth methods te kunnen pareren is het overigens wel goed geweest van hem :-)
Mee eens, hoewel het probleem van malware die door virusscanners niet gevonden kan worden al van alle tijden is. Als het AV bedrijf aan de hand van PeterV's demo signatures of heuristics heeft kunnen ontwerpen om dergelijk stealth methods te kunnen pareren is het overigens wel goed geweest van hem :-)
Leer het verschil tussen (nog) niet gedetecteerd en ondetecteerbaar.
Er bestaat niet zoiets als malware die niet gevonden kan worden. Je kunt bestaande malware wijzigen/obfusceren zodat die niet meer gevonden wordt, maar zodra er samples anti-virus leveranciers bereiken wordt het wel gedetecteerd.
Theoretisch gezien is het onmogelijk om automatisch alle malware te detecteren.
Fred Cohen heeft bewezen dat het automatisch detecteren van malware gelijkwaardig is aan het halt probleem (wat niet opgelost kan worden).
http://en.wikipedia.org/wiki/Fred_Cohen
http://en.wikipedia.org/wiki/Halting_problem
Theoretisch gezien is het onmogelijk om automatisch alle malware te detecteren.
Fred Cohen heeft bewezen dat het automatisch detecteren van malware gelijkwaardig is aan het halt probleem (wat niet opgelost kan worden).
http://en.wikipedia.org/wiki/Fred_Cohen
http://en.wikipedia.org/wiki/Halting_problem
Het gaat in AV niet om automatische detectie, detectie is al sinds het begin vooral reactief, al zijn er wel generieke (pro-actieve) detectiemethoden.
Het standaard weerwoord overigens voor beweringen dat niet alle malware gedetecteerd kan worden is piepkleine batch file met de naam scan.bat die roept dat malware is gevonden. Hiermee detecteer je alle malware. Echt waar. (Over de fp's hebben we het dan maar even niet.)
Terug in de werkelijkheid. Tot nu toe is er geen malware ondetecteerbaar gebleken. Het is wel zo dat sommige AV producten een afweging maken tussen praktisch nut en de resources die nodig zijn voor detectie. Sophos bijvoorbeeld heeft jarenlang veel Virus Bulletin awards aan zich voorbij laten gaan om die reden. Dat zegt misschien ook iets over het praktisch nut van Virus Bulletin awards destijds.
Is dat een voorwaarde dan?
Speciaal voor jou:
scan.bat
if %1==%1 echo gedecteerd
Zonder gekheid, je begrijpt kennelijk niet wat de bedoeling is. Simpel gezegd heeft een scanner een bereik van niet-malware naar malware, met alles wat daartussen in zit. De beslissing is geheel afhankelijk van manier waarop de scanner gemaakt is. Er is een relatie tussen een hoge detectiegraad en veel fp's. Wil je een scanner die alle malware detecteert? Prima, maar leer dan ook leven met de fp's.
Nu wil het geval dat de meeste scanners niet alles detecteren, althans niet zolang de er geen detectie voor gemaakt is. Traditioneel AV is vooral reactief, dat werkt goed tegen fp's.
Duidelijk?
"Mijn" BBcode? Als je goed oplet zie je dat de quotes in "Vandaag,13:47 doorAnoniem" staan. Het forum zet daarna alle quote processing af. Helaas ben ik niet te porren om andersmans fouten op te lossen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
