Сообщение администратору
Имя:
Почта:
Сообщение:
Вход на сайт
Логин:
Пароль:

Поддержка  •  Дневник  •  О сайте  •  Реклама  •  Поставить баннер  •  Прислать  •  Хроника  •  Translate  •  Рекомендованное  •  Написать администратору Гости: 5    Участники: 0 Авторизация Авторизация   Регистрация 
Метод Научного Тыка
RULVEN
Поиск  
Blackball iMag | интернет-журнал
RSS-лента
Поделиться ссылкой:
Каталог


Начало » [Приёмный покой] » Обфускация кода: двойной агент в мире информационной безопасности

Обфускация кода: двойной агент в мире информационной безопасности


Обфускация кода: двойной агент в мире информационной безопасности
Добавлено: Чт 19.09.2024 • Sergeant
Источник: SecurityLab.ru
Просмотров: 34
Комментарии: 0


Чего здесь больше – пользы или рисков? Разбираемся, как защитить свои цифровые активы.

В наше время, когда информационная безопасность играет ключевую роль в каждой крупной компании, обфускация стала мощным инструментом в арсенале как защитников, так и злоумышленников.

Эта техника, позволяющая сделать код или данные трудными для восприятия, служит двойственной цели: с одной стороны, она защищает интеллектуальную собственность и усложняет работу хакеров, а с другой — может использоваться для маскировки вредоносного ПО.

В этой статье мы разберём, что вообще такое обфускация, рассмотрим её особенности, многогранное влияние на безопасность, а также обсудим способы защитить свои системы, если она используется в злонамеренных целях.

Что такое обфускация?

Обфускация — это техника намеренного усложнения информации для чтения, особенно в компьютерном коде. Одним из частых вариаций её использования является такая обфускация, при которой конфиденциальные данные делаются нераспознаваемыми, чтобы защитить их от несанкционированного доступа.

Обфускация может быть самых разных видов. Например, отображение последних четырёх цифр номера кредитной карты, когда остальные цифры заменяются на иксы или звёздочки — тоже является обфускацией.

Однако в мире программного обеспечения наиболее распространённым вариантом обфускации является полное шифрование данных в нечитабельный вид. Лишь дешифровка при помощи специального ключа может вернуть такой информации исходную форму.

Обфускация в коде

При обфускации компьютерного кода используются сложные языковые конструкции и избыточная логика, чтобы сделать код трудным для понимания. В процессе обфускации определённые части кода шифруются, метаданные удаляются, а осмысленные элементы заменяются бессмысленными. Вставка неиспользуемого или даже мусорного кода также является распространённой практикой для маскировки реального содержимого.

Специальные программы-обфускаторы могут автоматизировать эти процессы и в два клика изменить исходный код так, чтобы он по-прежнему работал, но стал гораздо труднее для восприятия и понимания. Другие методы обфускации включают сжатие всей программы, что делает код нечитаемым, а также изменение потока управления для создания неструктурированной, сложной в обслуживании логики.

Зачастую при обфускации используется комбинация из сразу нескольких техник для достижения многоуровневого эффекта и повышения безопасности кода.

Обратная сторона обфускации

К сожалению, обфускация — это не только защита, но ещё и большой вызов для ИБ-специалистов, так как её используют не только легитимные разработчики программного обеспечения, но и авторы вредоносных программ.

Цель злонамеренной обфускации — анонимизировать киберпреступников, снизить риск обнаружения и скрыть вредоносное ПО, изменяя общую сигнатуру и отпечаток вредоносного кода, даже если полезная нагрузка является уже известной угрозой и хорошо определяется антивирусными решениями.

Фактически, сигнатура — это хэш, уникальное буквенно-цифровое представление элемента вредоносного ПО. Однако уже известный хэш станет совсем иным, если добавить в код обфускацию. Именно поэтому вместо попыток создать новую сигнатуру путём модификации вредоносного ПО, злоумышленники просто многократно обфусцируют один и тот же код, каждый раз отличными друг от друга способами.

Разнообразные методы обфускации, используемые хакерами

Во время злонамеренной обфускации киберпреступники зачастую комбинируют различные техники для сокрытия вредоносного ПО и создания нескольких слоёв маскировки. Одна из таких техник — использование упаковщиков, программных пакетов, которые сжимают вредоносное ПО, чтобы скрыть его присутствие и сделать оригинальный код нечитаемым.

Затем в ход идут криптографы, которые шифруют вредоносное ПО или определённые его части, чтобы ограничить доступ к коду, который могли бы засечь антивирусные программы.

Другой метод — вставка мёртвого кода. То есть применение абсолютно бесполезного набора символов для визуальной маскировки реального кода. Атакующие также могут использовать модификацию команд, которая включает изменение командных кодов в программах вредоносного ПО. Это также меняет внешний вид кода, но не его поведение.

Обфускация коммуникаций

Обфускация в коде — это лишь первый шаг длительного процесса маскировки. Независимо от того, сколько времени и сил хакер потратил на реализацию обхода EDR, вредоносное ПО как-то должно общаться и с внешним миром для обмена командами и информацией с C2-сервером. Значит и эти коммуникации также должны быть обфусцированы.

Если раньше киберпреступники никак себя не ограничивали в сканировании сетей и выгрузке больших объёмов данных, то сейчас, с появлением специализированных средств защиты, они стараются сделать всю коммуникацию максимально «тихой» и незаметной, чтобы не создать в целевой сети видимых аномалий.

Яркие примеры атак с обфускацией из прошлого

  • Известным примером обфускации является громкая атака на SolarWinds в 2020 году. Тогда хакеры использовали обфускацию для обхода защиты и сокрытия своих действий.
  • Ещё один пример — знаменитая фишинговая атака XLS.HTML. В ней хакеры использовали сложные техники обфускации для сокрытия своей вредоносной деятельности. Они меняли свои методы шифрования как минимум десять раз в течение года, чтобы избежать обнаружения. Их тактика включала простой текст, экранирующее кодирование, кодирование Base64 и даже азбуку Морзе.
  • В другой вредоносной кампании атакующие эксплуатировали уязвимости в ThinkPHP для выполнения удалённого кода на серверах. Они установили обфусцированную веб-оболочку «Dama», которая давала хакерам постоянный доступ и возможность для дальнейших атак.

Почему при защите не стоит полагаться на одни лишь сигнатуры?

Обнаружение на основе сигнатур довольно надёжно, когда дело касается известных угроз. Однако, если речь идёт о новых, неизвестных угрозах, оно может не принести никаких результатов. Кроме того, как мы уже выяснили выше, хакеры легко могут генерировать новый хэш при каждом новом процессе обфускации, не меняя при этом ни единой строчки вредоносного кода.

Авторы вредоносных программ по своей сути — настоящие «мастера игры в прятки». Они используют изощрённые техники для маскировки своих вредоносных программ. Кроме того, нельзя забывать также и про полиморфное и метаморфное вредоносное ПО, способное гибко менять свою структуру и код, сводя на нет все усилия сигнатурного сканирования.

Эксплойты нулевого дня также неподвластны системам на основе сигнатур, так как банально не содержатся в базе. Помимо всего вышеперечисленного, когда решение на основе сигнатур возвращает слишком много ложных срабатываний, оно становится неэффективным. Всё потому, что бесконечный поток ложных оповещений напрямую влияет на работу команды безопасности, попусту растрачивая её драгоценные ресурсы.

В двух словах, обнаружение по сигнатурам, например, в EDR, — полезный инструмент, но самого по себе его недостаточно для отражения всех типов угроз. Именно поэтому и необходима более комплексная стратегия безопасности, которая также включает поведенческий анализ, машинное обучение и другие современные техники обнаружения.

NDR-инструменты как универсальный способ борьбы с большинством угроз

Популярные нынче IDS-решения (Intrusion Detection System) на основе аномалий — подобны детективам, которые следят за нормальным поведением системы и поднимают тревогу, едва учуяв необычную активность.

Однако NDR-инструменты (Network Detection and Response) идут ещё дальше: они постоянно адаптируются, чтобы оставаться на шаг впереди меняющегося ландшафта киберугроз, и предлагают значительно более высокий уровень безопасности, чем традиционные подходы на основе сигнатур, благодаря своему продвинутому анализу и интеграции. Они способны обнаруживать как известные, так и неизвестные угрозы, эффективно защищая от них ваш бизнес.

Преимущества NDR-инструментов

NDR-решения, о которых мы, кстати, когда-то делали отдельную большую статью, обладают обширным перечнем преимуществ, среди которых:

  • Поведенческий анализ. NDR-инструменты отслеживают сетевой трафик и тщательно анализируют его поведение. Они быстро обнаруживают необычные паттерны, такие как нерегулярные передачи данных, которые могут указывать на тайную C2-коммуникацию.
  • Мониторинг протоколов. NDR-решения исследуют HTTP-запросы, DNS-трафик и другие протоколы для обнаружения подозрительного поведения или коммуникации, которые могут быть связаны с обфусцированным вредоносным ПО.
  • Анализ метаданных. NDR-инструменты анализируют метаданные для обнаружения необычных паттернов, указывающих на подозрительную активность. Модели машинного обучения помогают идентифицировать типичные техники обфускации, которые видны через подозрительное поведение в сетевом трафике.
  • Долгосрочный мониторинг коммуникаций. Хакеры всё чаще используют медленные и скрытные техники для обхода систем обнаружения. В ответ на это, инструменты NDR анализируют сетевой трафик за длительные периоды времени, например, до 3 дней, что позволяет выявлять аномалии и нерегулярности в поведении сети, которые могут указывать на атаку. При этом NDR-решения не ограничивается только долгосрочным анализом и способны проводить и быстрые проверки, выполняя пакетные запуски за считанные минуты. Такой комплексный подход позволяет избежать ложных срабатываний, которые могли бы возникнуть при постоянном мониторинге в режиме реального времени.
  • Mitre ATT&CK. Эти протоколы предоставляют ценную информацию об угрозах, использующих обфускацию. Их интеграция с решениями NDR значительно улучшает возможности по обнаружению угроз.
  • Обмен данными об угрозах. NDR-инструменты обмениваются данными об угрозах с другими решениями безопасности. Это позволяет быстрее обнаруживать известные техники обфускации и подозрительное поведение. Интеграция с инструментами EDR позволяет им коррелировать подозрительную активность на конечных точках с сетевым трафиком, что значительно улучшает анализ безопасности.

Заключение

В эпоху цифровой трансформации обфускация стала не просто техническим приёмом, а ключевым элементом в сложной игре между защитниками и атакующими. Она символизирует постоянную эволюцию методов киберпреступности и защиты от неё, напоминая нам о необходимости непрерывного обучения и адаптации.

Будущее кибербезопасности лежит не столько в создании непроницаемых цифровых стен, сколько в развитии «умной» экосистемы защиты, способной к самообучению и прогнозированию угроз.

Инструменты вроде NDR — лишь первый шаг к созданию по-настоящему адаптивных систем безопасности, которые смогут не только реагировать на атаки, но и предугадывать их, формируя проактивную стратегию защиты.

В конечном счёте, защитники должны не просто огородить организации от угроз, но и создать цифровую среду, где безопасность станет естественным состоянием. Достижение этой цели требует не только технологических инноваций, но и принципиально нового мышления в области кибербезопасности, где каждый элемент системы будет частью общей стратегии защиты.



Мне нравится 0   Мне не нравится 0



Комментарии

Чтобы добавить видео с YouTube, нужно написать [@youtube=xxxxx] , где xxxxx – ID видео.


Комментарии: 0
Нет ни одного комментария.

Новое
10 вкусных салатов с фасолью, которые хочется готовить снова и снова Сб 02.11.2024
10 вкусных салатов с фасолью, которые хочется готовить снова и снова
Пишем одностраничное приложение с помощью htmx Вт 29.10.2024
Пишем одностраничное приложение с помощью htmx
10 аппетитных салатов с консервированным тунцом Сб 26.10.2024
10 аппетитных салатов с консервированным тунцом
Двухфакторная аутентификация: что это и зачем она нужна Чт 24.10.2024
Двухфакторная аутентификация: что это и зачем она нужна
GPU победил математику: найдено рекордное простое число из 41млн цифр Ср 23.10.2024
GPU победил математику: найдено рекордное простое число из 41млн цифр
Что такое боты: виды, функции и способы защиты от вредоносных ботов Вс 20.10.2024
Что такое боты: виды, функции и способы защиты от вредоносных ботов
15 бесподобных рецептов утки в рукаве в духовке Сб 19.10.2024
15 бесподобных рецептов утки в рукаве в духовке
20 простых рецептов курицы с рисом в духовке Сб 12.10.2024
20 простых рецептов курицы с рисом в духовке
Виртуальные IP-адреса (VIP): Полное руководство Чт 10.10.2024
Виртуальные IP-адреса (VIP): Полное руководство
Пн 07.10.2024
Долма - лучший рецепт голубцов
Книги
Blazor in Action Вт 04.06.2024
Blazor in Action
Год: 2022
Security for Containers and Kubernetes Вт 28.05.2024
Security for Containers and Kubernetes
Год: 2023
Designing Data-Intensive Applications Вт 14.05.2024
Designing Data-Intensive Applications
Год: 2017
Fundamentals of Software Architecture Вт 07.05.2024
Fundamentals of Software Architecture
Год: 2020
Разработано на основе BlackNight CMS
Release v.2024-11-06
© 2000–2024 Blackball
Дизайн & программирование:
О сайтеРеклама
Visitors
Web-site performed by Sergey Drozdov
BlackballРекламаСтатистикаПоддержка
МузыкаПлейлистыКиноВидеоИгрыАудиоПрограммыСтатьиКартинкиЮморФорумДневник сайтаПрислать контентРекомендованное