Wie gut ist verhaltensbasierte Analyse?

Silas · Verfasst: Do 20.03.08 10:21

Moin!

Ich habe mir mal Gedanken über die Wirksamkeit der verhaltensbasierten Anaylse gemacht, nachdem mein AntiVir (was ja zumindest der PC-Welt nach das beste Antiviren-Programm ist) die Hook-DLL von Ayas und Luckies Keylogger als Trojaner gemeldet hat. Um sicherzugehen, dass dafür keine Virendefinition vorliegt, hab ich den Quelltext selbst kompiliert, und siehe da: Die Meldung erschien sofort wieder.
Anschließend habe ich den Code des Keyloggers mit ein paar sinnlosen Assemblerzeilen (dass der Compiler meinen Pseudocode nicht wegoptimiert) gestealthed (d.h. ich habe den Programmablauf der EXE geändert, ohne die Funktion zu beeinträchtigen oder zu erweitern). Und tatsächlich: AntiVir hatte kein Problem mehr mit der DLL.

Demnach ist die Verhaltensanalyse ja zumindest teilweise sinnlos, da sich ein Virus vor der Verbreitung ganz einfach selbst stealthen kann. Oder habe ich etwas übersehen?

_________________
Religionskriege sind nur Streitigkeiten darüber, wer den cooleren imaginären Freund hat ;-)

Ehemaliges Mitglied Erhaltene Danke: 1

Verhaltensanalyse ist was anderes. Du redest von Heuristik.

Silas · Verfasst: Do 20.03.08 10:29

Oh. Wo genau liegt da der Unterschied?

_________________
Religionskriege sind nur Streitigkeiten darüber, wer den cooleren imaginären Freund hat ;-)

Ehemaliges Mitglied Erhaltene Danke: 1

de.wikipedia.org/wiki/Heuristik
Erster Absatz, letzter Satz. Es wird kein Verhalten analysiert, sondern statischer Code.

Silas · Verfasst: Do 20.03.08 10:46

Danke! Mal wieder was dazugelernt

Warum lassen sich dann AV-Programme von einem ganz einfachen Stealthing a la

markieren

Delphi-Quelltext

1:
2:
3:
4:
5:
6:
7:
8:
9:
10:
11:
12:

asm
      mov esi, 5
  @l: mov eax, 23479
      mov ecx, 2
      div ecx
      nop
      mov ebx, 7
      mul ebx
      nop
      dec esi
      jnz @l
end;

zwischen manchen Quelltextzeilen in die Irre führen? :gruebel:

Sind die Heuristikalgos so einfach gestrickt?

_________________
Religionskriege sind nur Streitigkeiten darüber, wer den cooleren imaginären Freund hat ;-)

	Mitgliederliste
	Gruppen
	Das Team
	Richtlinien
	Synonyme