200MB groot virus verrast onderzoekers
Werden er vorig jaar nog digitale bankrovers van slechts 20KB waargenomen, recentelijk zijn verschillende malware-exemplaren ontdekt die vele megabytes groot zijn. Door de grotere omvang zou het lastiger voor virusscanners zijn om de malware te detecteren. Op de Franse website Malekal.com werden twee Trojan Droppers onthuld, die tussen de 16MB en 200MB op besmette machines in beslag namen.
De malware van 16MB werd door een exploit-kit op een systeem geplaatst. Bij een ander incident werd een kwaadaardig uitvoerbaar bestand van 205MB aangetroffen. De malware zou ingepakt slechts 205KB groot zijn. Grotere uitvoerbare bestanden zouden de real-time detectie door virusscanners kunnen dwarsbomen.
Cloud
De meeste anti-virusprogramma's sturen verdachte bestanden naar de cloud, waarna er een nieuwe signature wordt gemaakt. Deze controles zijn gebaseerd op en gebouwd rondom uitvoerbare bestanden van beperkte omvang. Grote bestanden die in de tientallen of honderden megabytes lopen zouden cloudgebaseerde servers kunnen verstoppen, aldus de SecurityLedger.
Veel anti-virusbedrijven accepteren daarnaast bestanden die via e-mail worden verstuurd, wat met een bestand van 200MB wat lastig wordt, en uiteindelijk de detectie bemoeilijkt.
Het lijkt dat een groot bestand op een systeem eerder opvalt, maar het Flame-virus van 20MB groot wist jaren onopgemerkt op systemen aanwezig te zijn.
200MB aan null-bytes is comprimeerd: een paar bytes.
Is natuurlijk wel héél goed gevonden door die malwareschrijvers. Padden van effectieve executable code met random rommel kan wel eens een heel vernuftig trucje blijken te zijn.
Ik denk dat Hugo hier dus ook een beetje de bal misslaat; ik vermoed dat die grootte heel bewust wordt nagestreeft, de effectieve payload zit vermoedelijk nog altijd even vernuftig in elkaar
Leuker zelfs Een virus van over de 100mb kun je niet uploaden naar virustotal of bijvoorbeeld een thread scanner online zoals anubis of threat expert en malwr aka cuckoo sandbox. Dit zou niet verbazingwekkend mogen zijn voor onderzoekers tenzij ze echt geen benul hebben van malware, of geen blackhat zijn of zijn geweest. En ja natuurlijk kan het ook een manier zijn geweest om de mensen die het gedownload hebben te foppen met de size van het content. Idd 200kb lijkt echt heel erg nep.
Gewoon een filepumper erover los laten en klaar is kees. Een null-byte file pumper is sowieso Fully undetected. Als je een bestand pumpt met onzin of random chars @ EOF tsja dan is het zeer waarschijnlijk detected als een virus.
Ik denk dat Hugo hier dus ook een beetje de bal misslaat; ik vermoed dat die grootte heel bewust wordt nagestreeft, de effectieve payload zit vermoedelijk nog altijd even vernuftig in elkaar
Een vb.net project kan nooit 200mb zijn. Normaliter rond the 200kb - 5000kb.
Tenzij je hem vol perst met onzinnige dummy data zoals images en resources met dummy data. Maar dan nog haal je bijna nooit 200mb. Dat is bijna onmogenlijk als je een normaal project maakt. Als het een game is kan dat best. Maar games maak je niet in .NET maar in C++ met DirectX en OpenGL.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
