Jak malware využívá rozlišení obrazovky, aby se vyhnul detekci

Vývojáři malwaru a experti na kybernetickou bezpečnost vedli roky napjaté konfrontace. Nedávno komunita zabývající se vývojem malwaru implementovala novou strategii, jak se vyhnout detekci: Zkontrolujte rozlišení obrazovky.

Pojďme prozkoumat, proč je rozlišení obrazovky pro malware důležité a co to pro vás znamená.

Proč se malware zajímá o rozlišení obrazovky?

Chcete-li pochopit, proč se malware zajímá o rozlišení obrazovky, zvažte jednoho z nepřítele malwaru: virtuální stroje .

Virtuální stroje jsou užitečným nástrojem pro výzkumníky virů. Fungují jako jeden počítač uvnitř druhého, takže můžete používat jiný operační systém, aniž byste potřebovali nový počítač.

Pokud například máte počítač se systémem Windows 10, ale chcete používat Linux, můžete v systému Windows 10 nastavit virtuální počítač na spuštění Linuxu. Bude fungovat jako počítač se systémem Linux, ale poběží v okně ve Windows 10.

• 7 způsobů, jak pomoci spouštět software Linux ve Windows

Virtuální stroje jsou velmi užitečné pro výzkumníky virů, protože fungují jako digitální past na mouchy. Pokud se výzkumník domnívá, že program nebo soubor obsahuje virus, může jej otestovat spuštěním ve virtuálním počítači.

Pokud soubor obsahuje virus, začne infikovat virtuální počítač. Protože je virtuální stroj nastaven tak, aby vypadal jako skutečný stroj, virus se domnívá, že infikoval skutečný počítač, nikoli virtuální stroj. Jako takový začne doručovat své užitečné zatížení a způsobit poškození virtuálního počítače. Naštěstí neexistuje žádné poškození, které by virus mohl způsobit hlavnímu počítači. Ovlivňuje pouze virtuální stroje.

Jakmile je virus odhalen, vědci se mohou naučit, jak funguje, a poté resetovat virtuální počítač. Poté vzali to, co se naučili z virtuálního stroje, a použili je k vytvoření definic virů k ochraně uživatelů na skutečných počítačích. Z tohoto důvodu jsou virtuální stroje nepřátelské vůči vývojářům malwaru.

Jakou roli v tom hraje rozlišení obrazovky?

Tato metoda testování aplikací má chybu. Když výzkumníci malwaru vytvoří virtuální stroj, ve skutečnosti se nezajímají o všechny funkce navíc. Vše, co potřebují k testování virů, je virtuální stroj, který funguje jako normální počítač, vše ostatní je pouze volitelné.

V důsledku toho výzkumníci někdy nenainstalují hostovaný software virtuálního počítače. Tento software umožňoval další funkce, jako je vyšší rozlišení obrazovky, které výzkumník ve skutečnosti nepotřeboval. Pokud uživatel nepoužívá klientský software, virtuální počítač uživatele obvykle uzamkne v jednom ze dvou nízkých rozlišení: 800x600 a 1024x768.

Tato dvě rozlišení jsou pro vývojáře malwaru velmi důležitá. Moderní počítače a notebooky často nemají obrazovky s tímto rozlišením. Ta velikost je hodně zastaralá.

Populární rozlišení zařízení

Jak malware využívá tato data, aby se vyhnul virtuálním počítačům?

Když se tedy malware objeví na hostitelském počítači a je zjištěno, že běží v rozlišení 800×600 nebo 1024×768, znamená to, že malware pravděpodobně běží na velmi zastaralém nebo potenciálně schopném hardwaru. monitorované možnosti ve virtuálním počítači .

Pokud virus funguje za těchto podmínek, bude vystaven. Abychom vás ochránili, malware se sám ukončí a nezpůsobí žádné škody.

Z pohledu výzkumníka program běžel a neinfikoval PC, takže to nebyl virus. Mohou pak vytvořit falešné předpoklady o programu, což umožní malwaru cestovat dále, než bude detekován.

Příklad testování malwaru v reálném rozlišení

Trickbot je skvělým příkladem této taktiky v akci. Vědcům se nedávno podařilo proniknout do řádku kódu TrickBot a analyzovat, jak funguje. Uživatel Twitteru Mak (@maciekkotowicz) našel v TrickBotu kód, který skenuje rozlišení 800×600 nebo 1024×768.

Kód v TrickBotu skenuje v rozlišení 800×600 nebo 1024×768

V tomto kódu virus vezme hodnoty X a Y rozlišení počítače a poté je zkombinuje, aby viděl výsledek. Pokud je výsledek 800×600 nebo 1024×768, kód vrátí 0. To znamená, že ve virtuálním počítači běží malware.

Jakmile malware ví, že je ve virtuálním počítači, sám se zničí, aby se vyhnul detekci. Výsledkem je, že každý, kdo kontroluje viry ve virtuálním stroji, jej bude považovat za bezpečný.

Co pro vás tato strategie znamená?

To samozřejmě znamená, že pokud používáte rozlišení 1024x768 nebo 800x600, budete chráněni před některými typy malwaru. Jakmile se dostanou do systému, zaznamenají vaše rozlišení a zničí se dříve, než způsobí jakékoli poškození. K získání této ochrany však budete muset použít počítač s velmi malým rozlišením!

Nejlepším způsobem, jak bojovat s tímto novým typem malwaru, je aktualizace antivirového softwaru . Nyní je tento trik proti virtuálním počítačům veřejně známý, takže je vysoce nepravděpodobné, že by špičkové bezpečnostní společnosti byly znovu oklamány.

To je zvláště důležité mít na paměti, pokud máte tendenci kontrolovat soubory na svých vlastních virtuálních počítačích. Pokud váš virtuální počítač běží v rozlišení 800 × 600 nebo 1 024 × 768, může být vhodné nastavit jej na běžnější rozlišení. Pokud tak neučiníte, není možné si být jisti, zda soubor, který kontrolujete, má nainstalované toto opatření proti VM.