книги хакеры / журнал хакер / 177_Optimized

«Вредоносный» код успешно внедрен

Способ 8. Остановка сервиса

Для нужного сервиса делаем OpenService c DesiredAccess равным SERVICE_STOP, далее используем функцию ControlService с параметром Control равным SERVICE _CONTROL_STOP:

hSCM = OpenSCManager

(NULL, NULL, SC_MANAGER_CONNECT);

hServiceHandle = OpenService(hSCM,

ProcessName, SERVICE_STOP);

ControlService(hServiceHandle,

SERVICE_CONTROL_STOP, &ServiceStatus);

Способ 9. Удаление сервиса

Открываем нужный сервис с DesiredAccess равным DELETE, далее используем API DeleteService:

hSCM = OpenSCManager(NULL, NULL,

SC_MANAGER_CONNECT);

hServiceHandle = OpenService(hSCM,

ProcessName, DELETE);

DeleteService(hServiceHandle);

Программа-приманка

Для проверки работоспособности антивируса после наших манипуляций с его процессами и сервисами мы воспользовались маленькой программкой, написанной на FASM’е и имитирующей вредоносное воздействие. Все очень просто: внедряем посторонний код в explorer.exe созданием удаленного потока. В предыдущем тесте про крипторы мы использовали точно такую же, шифруя ее всякими разными способами.

Испытание антивируса будет заключаться в сравнении реакции на программу-приманку до нашего воздействия на процессы и сервисы антивируса и после него. Если после воздействия антивирус позволит выполниться нашей приманке, то ставим этому антивирусу жирный минус. Итак, начинаем...

360 INTERNET SECURITY 2013

Этот антивирус определил нашу приманку как Detected a suspicious activity. Для выполнения своих задач он создает четыре процесса:

•360rp.exe,

•360sd.exe,

•ZhuDongFangYu.exe,

•360Tray.exe

и два сервиса:

•360rp,

•ZhuDongFangYu.

Как мы ни старались, но ни один процесс и ни один сервис победить не удалось. Антивирус стойко продолжал реагировать на нашу подставную угрозу. Зачет.

][-краш-тест

GITHUB

На GitHub лежат исходники утилиты, реализующей все описанные в статье способы уничтожения процессов, остановки и удаления сервисов, а также исходник программы — имитатора вредоносного воздействия.

Останавливаем оба сервиса восьмым способом, убиваем RSAgent.rse, посылая WM_QUIT окну процесса, и можем беспрепятственно внедрять свой код в explorer.exe. Опять незачет.

ZONEALARM FREE ANTIVIRUS

Программа-приманка определилась этим антивирусом как HEUR:Trojan.Win32.Invaider. В составе имеет процессы:

•vsmon.exe,

•ZAPrivacyService.exe,

•zatray.exe

и сервис:

•ZAPrivacyService.

Останавливаем сервис восьмым способом, убиваем zatray.exe, уничтожая все его потоки (способ 2), с остальными двумя процессами расправляемся последовательным вызовом APIфункций:

•CreateJobObject;

•AssignProcessToJobObject;

•TerminateJobObject (способ 6).

Плохо, незачет.

ИТОГ

Четыре антивируса из семнадцати проверенных стойко сопротивлялись нашим попыткам их обезвредить, два (Comodo и avast) спросили разрешение на проведение этих операций, а оставшиеся одиннадцать сдались не таким уж и сложным способам уничтожения процессов и остановки и удаления сервисов. Особенно удручает наличие в этом списке довольно распространенных у нас антивирусов от Microsoft, Avira и Panda.

Те, кто не выдержал испытаний на прочность

Кодинг

Библиотека антиотладчика

WARNING

Вся информация предоставлена исключительно в ознакомительных целях. Ни редакция,

ни автор не несут ответственности за любой возможный вред, причиненный материалами данной статьи.

push 0x4

push FlagPointer

//ProcessInformationClass =

//ProcessDebugPort

push 0x7

push ProcessID

call NtQueryInformationProcess

}

if (Flag)

return true;

else

return false;

...

Однако к популярным отладчикам написано множество плагинов и скриптов, нейтрализующих действия этих API. В большинстве случаев это достигается их перехватом, поэтому перед применением этих функций желательно проверить их код на целостность и отсутствие перехвата.

ОБРАБОТКА ИСКЛЮЧЕНИЙ

Достаточно известный и применяемый способ. Некоторые API-функции, команды или последовательности команд процессора вызывают исключения, и, если программа не запущена под отладчиком, управление передается заранее установленному обработчику исключений. В то же время если запустить такую программу под отладчиком, то эти же самые функции, команды или последовательности никаких исключений вызывать не будут.

Общий принцип применения способа:

...

__try

{

Нейтрализация CheckRemoteDebuggerPresent и NtQueryInformationProcess в плагине Olly Advanced для OllyDbg

Значения для RaiseException, которые можно использовать для антиотладки

Кодинг

...

//В этом месте нужно написать

//что-нибудь, что может вызвать

//нужное нам исключение

...

return true;

}

__except(EXCEPTION_EXECUTE_HANDLER)

{

return false;

}

...

В качестве нужных команд или API сгодятся:

•int 0x3 (одним байтом 0xCC);

•int 0x3 (двумя байтами 0xCD, 0x03);

•int 0x2d;

•int 0x2c (работает только под Win Vista и выше);

•так называемая точка заморозки (команда с опкодом 0xf1);

•API-функция DebugBreak (или DbgBreakPoint из ntdll.dll);

•API-функция RaiseException с некоторыми входными значениями;

•флаг трассировки (trap flag). Код для trap flag:

...

__asm

{

pushfd

or word ptr[esp], 0x100

popfd

nop

}

...

ЗАМЕР ВРЕМЕНИ ВЫПОЛНЕНИЯ КОМАНД

Когда отладчик присутствует и выполняет пошаговую трассировку, появляется существенная задержка между выполнением отдельных команд по сравнению с обычным выполнением.

В системе есть довольно много способов измерения временных промежутков. Вот некоторые из них:

•команда RDTSC;

•API-функция GetTickCount;

•API-функция timeGetTime (из winmm.dll);

•API-функция QueryPerformanceCounter;

•API-функция GetSystemTimeAsFileTime;

•API-функция GetProcessTimes;

•API-функция KiGetTickCount (или вызов прерывания int 0x2A);

•API-функция NtQueryInformationProcess (ProcessInformationClass = ProcessTimes (0x04);

•API-функция NtQueryInformationThread (ThreadInformationClass = ThreadTimes (0x01);

•поля структуры KUSER_SHARED_DATA.

...

DWORD TimeStart = GetTickCount();

...

DWORD TimeEnd = GetTickCount();

if ((TimeEnd - TimeStart) > TimeLimit) return true;

else

return false;

...

Команду RDTSC могут перехватывать и нейтрализовать некоторые плагины для OllyDbg. Побороть этот перехват можно, замерив какойнибудь большой (примерно 10 с) промежуток вре-

Библиотека антиотладчика

Заголовки и классы окон, по которым можно определить наличие отладчиков

Значения флагов NtGlobalFlag, Flags и ForceFlag, показывающие наличие отладчика

за переполнением. Это также может быть использовано для обнаружения отладчика:

...

_asm

{

mov eax, fs:[0x30]

mov ebx, [eax + 0x18]

//Адрес начала кучи mov StartHeapAddr, ebx mov ecx, [ebx + 0x38]

//Адрес конца кучи mov EndHeapAddr, ecx

}

Heap = (DWORD*)StartHeapAddr;

//Сканируем кучу на предмет наличия

//0xabababab

for(DWORD index = 0; index <= EndHeapAddr - StartHeapAddr; index++)

{

if (Heapindex / 4 ( == 0xabababab)

return true;

}

...

Если так поступить с кучей, выделяемой для процесса по умолчанию, то можно обойти корректировку NtGlobalFlag, производимую некоторыми плагинами для OllyDbg (в частности, Olly Advanced и Hide Debugger).

Кроме всего этого, можно использовать APIфункции RtlQueryProcessHeapInformation или Rtl QueryProcessDebugInformation, с помощью которых можно посмотреть значения флагов кучи.

Флаги

•KdDebuggerEnabled,

•KdDebuggerNotPresent

можно лекго проверить, воспользовавшись функцией NtQuerySystemInformation, вызвав ее с InformationClass, равным 0x23.

SEH (VEH) ОБРАБОТЧИКИ

Если установить свой обработчик событий с помощью функций SetUnhandledExceptionFilter или

AddVectoredExceptionFilter, а затем сделать в программе какое-нибудь исключение, то под отладчиком установленный нами обработчик вызываться не будет, и эта особенность может помочь нам зафиксировать факт отладки.

Используя контекст, передаваемый в обработчик, можно подправить счетчик команд и после выхода из обработчика продолжить выполнение команд в нужном нам направлении (код, который позволит это сделать, смотри на диске).

ОСОБЕННОСТИ ОТЛАДОЧНОГО РЕЖИМА WINDOWS

Очень многие API-функции (или их последовательности) по-разному себя ведут при обычном выполнении или при выполнении под отладчиком.

К примеру, уже упомянутая функция DbgPrintEx (или OutputDebugString) при выполнении под отладчиком вызывает API ZwQueryDebugFilterState, а без отладчика вызова этой функции не происходит (за счет чего она, собственно, под отладчиком дольше и выполняется). Перехватив и отследив вызов этой функции, можно засечь факт отладки.

Благодаря возможности подгружать файлы с отладочными символами вместе с загружаемой библиотекой в отладчике WinDbg и встроенном в Visual Studio отладчике можно легко распознать их наличие:

...

HMODULE hLibrary = LoadLibrary

(L"ntdll.dll");

if (int(CreateFileA("ntdll.dll",

GENERIC_READ,0,0,3,0,0)) == -1)

return true;

...

// Или вот так

HMODULE hLibrary = LoadLibrary

(L"ntdll.dll");

HANDLE hRes = BeginUpdateResourceA

("ntdll.dll",0);

if (EndUpdateResourceA(hRes,0) == 0)

return true;

...

Суть этого кода заключается в том, что под отладкой при открытии библиотеки, к примеру ntdll. dll, отладчик ждет загрузки файла с символами

идругих манипуляций с файлом открываемой библиотеки некоторое время делать не позволяет.

Если для существующего файла сделать CreateFile с параметром OPEN_EXISTING, затем установить для него HANDLE_FLAG_PROTECT_ FROM_CLOSE с помощью SetHandleInformation

идалее попытаться закрыть все это дело с помощью CloseHandle, то под отладчиком вылезет исключение, чем мы с успехом можем воспользоваться:

...

_try

{

HANDLE hFile = CreateFileA

("d:/x_files.txt", 0, 0, 0,

OPEN_EXISTING, 0, 0);

SetHandleInformation(hFile,

HANDLE_FLAG_PROTECT_FROM_CLOSE,

HANDLE_FLAG_PROTECT_FROM_CLOSE);

CloseHandle(hFile);

return false;

}

__except(EXCEPTION_EXECUTE_HANDLER)

{

return true;

}

...

Если учитывать, что отлаживаемый процесс должен иметь привилегии отладчика, да и отладчик, как правило, без административных прав запускается редко, то мы можем поиметь нужный нам результат.

Это можно сделать, попробовав открыть системный процесс csrss.exe. Если удалось, значит, у испытуемого процесса с привилегиями отладчика все в порядке:

...

_asm

{

Кодинг

call CsrGetProcessId // Получаем Id

// csrss.exe

mov CSRSSId, eax

}

// Пытаемся открыть csrss.exe

if (OpenProcess(PROCESS_ALL_ACCESS,

0, CSRSSId) != 0)

return true;

...

Для этих же целей можно задействовать функцию DbgSetDebugFilterState, которая возвращает ненулевое значение, если процесс выполняется с админскими правами и имеет отладочные привилегии:

...

_asm

{

call DbgSetDebugFilterState

mov Flag, eax

}

if (Flag == 0)

return true;

...

Еще можно попытаться отсоединить отлаживаемый поток от отладчика с помощью

функции NtSetInformationThread с параметром ThreadInformationClass, равным 0x11 (ThreadHideFromDebugger):

...

_asm

{

push 0

push 0

push 0x11

push -2

call NtSetInformationThread

}

...

ПРОЦЕССЫ, ОКНА, БИБЛИОТЕКИ И ДРУГИЕ ОТЛАДОЧНЫЕ АРТЕФАКТЫ

Как нетрудно догадаться из заголовка раздела, любой отладчик имеет какое-нибудь имя процесса, открытые окна, загруженные библиотеки и драйверы.

Все это достаточно легко выявить, просто задействовав некоторые функции, любезно предоставленные в наше распоряжение операционной системой.

Это, к примеру, CreateToolhelp32Snapshot совместно с Process32First и Process32Next для поиска нужного процесса или FindWindow для поиска нужного окна.

Если надумаешь использовать этот прием, то следует учесть наличие плагинов к OllyDbg, которые контролируют эти функции. В некоторых случаях можно использовать функцию GetLastError после вызова нужных функций. Дело в том, что некоторые плагины просто имитируют неудачное срабатывание этих функций, и несоответствие возвращенного ошибочного значения значению, возвращаемому GetLastError, поможет это выявить.

Использовав функцию NtQueryInformationProcess 0x1f (ProcessDebugObjectHandle) или 0x1e (ProcessDebugFlags), можно определить факт отладки по наличию различных объектов отладки (соответствующий код ты найдешь на диске, прилагаемом к журналу).

Кроме всего этого, можно определить имя родительского процесса, и, если оно отлично от explorer.exe или cmd.exe, возможно, стоит заподозрить неладное.

ЗАКЛЮЧЕНИЕ

Конечно же, это не все. Это далеко не все. Тема антиотладки глубока, обширна и, наверное, бесконечна, а журнал и объем статьи, к сожалению, такими свойствами не обладают. Что ж, надеюсь, у меня будет возможность еще чем-нибудь с тобой поделиться по этой теме в следующих номерах.

ОТ ЭКСПЕРТА

Вячеслав Закоржевский, «Лаборатория Касперского» Чем знаменит: крутой парень, настоящий человек-дизассемблер

В статье приводится хорошая классификация антиотладочных приемов и соответствующие примеры. Подобные техники активно используются в разном программном обеспечении. Однако стоит отметить, что в использовании антиотладки больше заинтересованы те, кто хочет защитить код программы. И это далеко не всегда вирусописатели. Множество техник защиты от отладки используется в коммерческих упаковщиках, которые применяются для защиты легального ПО от реверса. Злоумышленники, конечно, тоже не против усложнить разбор «начинки» своего поделья, но так как для них это не несет прямого ущерба (в отличие от софта, для которого можно разобрать, например, генерацию кода активации), то и много времени на это не тратится. Вирусописатели в первую очередь думают о монетизации и защите детектирования своих продуктов, поэтому акценты при написании защитных механизмов несколько смещены в сторону обфускации и прочего.

Александр Матросов, ESET

Чем знаменит: очень крутой парень

Антиотладочные приемы встречаются практически в любой вредоносной программе. И если раньше разработчики вредоносных программ стремились главным образом усложнить антивирусным компаниям анализ и тем самым замедлить выход вакцины, то на сегодняшний день засилье разношерстных троянцев не требует зачастую досконального изучения вредоносной программы для добавления ее в антивирусные базы. И сегодня основная цель разработчиков вредоносных программ состоит уже не в противостоянии с аналитиком, а в противодействии различным авторизированным системам для анализа новых образцов вредоносных программ, так называемым песочницам. Да и сами антиотладочные трюки ведут себя порой не очень стабильно на различных ОС или зависят от конкретной версии сервис-пака или ядра. Поэтому в современных вредоносных программах мы чаще встречаем что-нибудь интересное с точки зрения обнаружения выполнения на виртуальных машинах, нежели хитрые антиотладочные трюки.

ГОЛУБОЙ

Р А С П Р Е Д Е Л