Методы персистентности кода.

Всем привет.

Часто злоумышленники хотят, чтобы их вредоносная программа оставалась на взломанных компьютерах даже после перезагрузки Windows. Это достигается с помощью различных методов: они позволяют злоумышленнику оставаться во взломанной системе без повторного заражения. Существует много способов запуска вредоносного кода при каждом запуске Windows. 

Все эти методы называются методами персистентности зловредного кода. Некоторые из методов вам знакомы давно и вы ими пользуетесь из благих намерений, а вот другие используются намного реже. Часть методов даже позволяют выполнять вредоносный код с повышенными привилегиями.

Известный специалист инфобеза Монаппа К. А. в своей книге "Learning Malware Analysis" приводит 10-ть методов персистентности:

1 Запуск ключа реестра

2 Запланированные задачи

3 Папка запуска

4 Записи реестра Winlogon

5 Параметры выполнения файла изображения

6 Перехват специальных возможностей (клавиатура, диктор, лупа, распознавание речи)

7 Метод AppInit_DLLs

8 Захват порядка поиска DLL

9 Захват COM-объекта

10 Перехват Службы.

Уверен, что каждому второму пользователю Windows знакомы первые 4. А вот остальные заслуживат более пристального внимания.

Сегодня скажу пару слов про "Параметры выполнения файла изображения".

Параметры выполнения файла изображения (Image File Execution Options – IFEO) позволяют запускать исполняемый файл прямо под отладчиком. Это дает разработчику возможность отладки своего программного обеспечения для исследования проблем в коде запуска исполняемого файла. Разработчик может создать подраздел с именем своего исполняемого файла в следующем разделе реестра и задать в качестве значения отладчика путь к отладчику:

Key: "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\

<executable name>"

Value: Debugger : REG_SZ : <full-path to the debugger>

Контракт с Богом.

Всем привет.

Сегодня очередной эпизод из почемучек. Уверен что вам понравится. Возможны технические неточности, вы их простите автору).

"Экспериментальное подразделение Facebook отдельно от родительской компании нуждалось в ИТ-ресурсах для лаборатории клинической нейро-диагностики, которые вписались бы в ограниченный бюджет. Коллектив подразделения воспользовалcя преимуществами безопасности и соответствия требованиям AWS (сервис Сloudfront) и разработал генетическую платформу, отвечающую всем требованиям HIPAA. С помощью того же AWS (сервис Amazon High Throughput) подразделению удалось привлечь добровольцев в пилотный проект по трансформации человеческого сознания, снизить расходы на ИТ и направить освободившиеся ресурсы на цели развития дальнейших исследований."

Facebook digest, 2019

Ее ФБ-месенджер радостно замахал свежими сообщениями.

- Привет, привет.

- И тебе привет.

- Что нового у тебя? 

- Более менее, как обычно, и... скучно, без тебя. Читала последний пост в ФБ в моей ленте?

- Пост про странного художника на остановке троллейбуса? Я сразу поняла что это был ты. И как, образ ее получился?

- Не настолько странного... Не знаю, но судя по фото, ему таки не хватило времени ее закончить. А может кто помог.

...

- Знаешь, мне надо сказать тебе нечто важное... - прилетело от него.

- Оооо, опять, ну сколько можно... - подумала она и написала в ответ. - Я, как всегда, занята сегодня.

- Хех, как обычно, не удивлен - подумал он.

- Если хочешь, давай в пятницу, там решим. - вдруг отстучала она. - Извини, но сейчас мне надо бежать. Не скучай.

- Но это,... - он не успел ответить. 

А он действительно не скучал, его новое состояние позволяло теперь ему летать в облаках очень и очень долго.

- Странная штука жизнь, - подумал он. - Раньше витание в облаках можно было сравнить с наваждением, а теперь это, благодаря новому проекту, со мной происходит буквально.

Про пятницу она вспомнила в субботу.

- Хм, а вот это на него не похоже - пролетела у нее мысль. - Ладно, все мы взрослые люди. Не сложилось.

Не сложилось через неделю, и через две. И через месяц. Хотя в ФБ на нем висел постоянно значок "заходил 1 час тому".

- Ну знаете, это что еще за игнор такой?! -  возмутилась она, и запостила в месенджер свое новое фото. - Вот. Наслаждайся!

От него мгновенно прилетел лайк и... все. Тишина и "заходил 1 минуту тому".

- Ладно, я знаю, что ты не любишь ФБ. Но ко мне то ты точно не равнодушен! - подумала она. - Нарисуешься, куда ты денешься.

Через месяц "заходил 1 час тому". И через год "заходил 1 час тому".