Malware Analysis - Writing Code Signatures

Анализ вредоносных программ - Написание Сигнатур кода

00:00 Введение в создание подписей кода

• Создание подписей кода с помощью YARA.
• Важность использования шаблонов кода для гибкого анализа.
• Пошаговое руководство и краткое изложение советов.

00:47 Пример частного загрузчика

• Открытие файла в YARA и переход к точке входа.
• Обнаружение динамического импорта и функции разрешения API.
• Использование перекрестных ссылок для определения местоположения функции.

03:05 Анализ исполняемого файла

• Разбор исполняемого файла и экспорт данных.
• Определение типа заголовка PE и сравнение с магическим значением.
• Использование каталога экспорта для создания подписи.

07:00 Создание подписи

• Использование подстановочных знаков для адресов и переходов.
• Сохранение информации о коде в комментариях.
• Важность подстановочных знаков для устойчивости к изменениям.

16:08 Проверка и тестирование подписи

• Сохранение и проверка подписи.
• Обнаружение частного загрузчика и его местоположения.
• Тестирование подписи в игре "Распакуй меня".

17:51 Проблемы с подписью

• Единственный образец для подписи может быть слишком строгим.
• Рекомендуется использовать несколько образцов для улучшения подписи.
• Разделение подписи на части может помочь избежать ложных срабатываний.

20:09 Тестирование и корректировка

• Проверка соответствия образцов и корректировка подписи.
• Важно убедиться, что все результаты соответствуют цели обнаружения.
• Тестирование на большой базе чистого кода для улучшения обнаружения вредоносных программ.

21:51 Анализ шаблонов

• Использование шаблонов для улучшения подписи.
• Проверка совпадений и различий в шаблонах.
• Анализ различий в регистрах и использование подстановочных знаков.

27:01 Использование регулярных выражений

• Применение регулярных выражений для точного соответствия.
• Использование альтернативных вариантов для кодирования регистров.
• Проверка улучшений в обнаружении после корректировки.

31:26 Финальная проверка

• Проверка соответствия всех шаблонов.
• Устранение различий и проверка последовательных шаблонов.
• Применение улучшений к оригинальной подписи для точного обнаружения.

36:10 Заключение

• Проверка и создание новой версии правила.
• Использование новой версии правила для охоты на вредоносные программы.
• Надежда на улучшение результатов и получение новых образцов для анализа.

36:59 Итоги и советы по созданию шаблонов кода

• Предпочитайте области с меньшим количеством подстановочных знаков для более длинных кодовых последовательностей.
• Используйте хотя бы одну последовательность длиной в четыре байта для эффективной работы YARA.
• Проверяйте свои подписи, особенно для общедоступных подписей, чтобы избежать строгих условий.
• Используйте подстановочные знаки для значений локальных переменных и добавляйте хэш эталонного образца в метаданные.

38:02 Дополнительные советы по улучшению подписей

• Не используйте эпилог и пролог в качестве шаблонов.
• Добавляйте дизассемблирование в качестве общего для сигнатур кода.
• Разбивайте шаблон кода на несколько фрагментов и определяйте подмножество этих фрагментов для улучшения подписи.
• Используйте точное название банки и избегайте использования семейства вредоносных программ, если обнаруживаете технику, используемую несколькими семействами.

39:23 Полезные параметры и инструменты

• Используйте параметры -s для просмотра совпадений шаблонов и -n для определения файлов, не распознаваемых подписью.
• Применяйте code rex для просмотра или получения вариантов кодировок команд, но учитывайте компромисс с производительностью.
• Поделитесь своими подписями и пройдите по ссылке в описании видео для обучения анализу вредоносных программ с нуля.