Как работает EDR. Подробно разбираем механизмы антивирусной защиты

В статье про Process Ghosting я вкрат­це опи­сал, как работа­ют сис­темы EDR, а в этой поп­робую более под­робно рас­ска­зать о том, как EDR ловят злоб­ный код, и нем­ного о том, как эти методы обхо­дят соз­датели мал­вари и пен­тестер­ских инс­тру­мен­тов.

Статические сигнатуры

Это самый прос­той и ста­рый метод обна­руже­ния мал­вари. На раз­ных эта­пах сво­его раз­вития сиг­натур­ный метод обна­руже­ния пред­став­лял собой прос­то спи­сок кон­троль­ных сумм вре­донос­ных фай­лов, с которым све­рял­ся про­веря­емый обра­зец. Такой метод быс­тро изжил себя, ведь что­бы изме­нить кон­троль­ную сум­му фай­ла, дос­таточ­но малей­шей прав­ки в нем.

Со вре­менем сиг­натур­ный метод обна­руже­ния пре­тер­пел некото­рые изме­нения: ска­жем, сегод­ня впол­не могут исполь­зовать­ся бай­товые пос­ледова­тель­нос­ти, и не толь­ко ста­тич­ные, но и пла­вающие. Нап­ример, вот так выг­лядит детек­тиру­ющая пос­ледова­тель­ность YARA-скрип­та для одно­го из тво­рений груп­пы Lazarus:

Здесь пред­став­лена как раз пла­вающая бай­товая сиг­натура: на мес­те зна­ков воп­роса могут быть любые бай­ты, но детект все рав­но сра­бота­ет.

Сиг­натуры могут вклю­чать в себя не толь­ко шес­тнад­цатерич­ные бай­товые пос­ледова­тель­нос­ти, но и стро­ки, встре­чающиеся в мал­вари:

Кро­ме того, под детект могут попасть кон­троль­ные сум­мы таб­лицы импорта или, нап­ример, Rich-сиг­натуры. Сло­вом, все, что может однознач­но говорить, что перед нами имен­но иско­мый файл, а не какой‑то дру­гой. Подоб­ные сиг­натуры таким же спо­собом мож­но искать в памяти. Сегод­ня этот метод ска­ниро­вания час­то работа­ет в связ­ке с дру­гими метода­ми обна­руже­ния мал­вари.

Сканирование памяти

Ска­ниро­вание памяти тоже час­то исполь­зует­ся средс­тва­ми EDR, но работа­ет оно не пос­тоян­но (из‑за опти­миза­ций про­изво­дитель­нос­ти), а час­то запус­кает­ся из‑за ком­про­мети­рующих пос­ледова­тель­нос­тей дей­ствий, нап­ример:

• заг­рузка опре­делен­ных биб­лиотек;
• вы­пол­нение опре­делен­ной пос­ледова­тель­нос­ти WinAPI;
• за­пись дан­ных в память (свою или чужую);
• за­пись дан­ных в опре­делен­ные клю­чи реес­тра.

Дру­гими сло­вами, ска­ниро­вание час­то запус­кает­ся по сиг­налу от поведен­ческо­го ана­лиза­тора, который наб­люда­ет дос­таточ­ное количес­тво негатив­ных фла­гов в поведе­нии про­цес­са.