T1027.008: Удаление значащей информации из полезной нагрузки
Злоумышленники могут попытаться затруднить анализ полезной нагрузки, удалив из нее символы, строки и другую читабельную информацию. Сценарии и исполняемые файлы могут содержать имена переменных и другие строки, помогающие разработчикам документировать функциональность кода. Символы обычно создаются программой-компоновщиком (linker) операционной системы при компиляции исполняемых файлов полезной нагрузки. Специалисты по реверс-инжинирингу используют эти символы и строки для анализа кода и определения функциональности полезной нагрузки.
Злоумышленники могут удалять значащую информацию из полезной нагрузки, чтобы затруднить анализ вредоносного ПО. Предоставлять функции для удаления или обфускации строк и символов могут компиляторы и другие инструменты. Для обхода средств обнаружения и анализа злоумышленники также используют форматы полезной нагрузки с удаленной значащей информацией, например сценарии AppleScript, предназначенные только для запуска, — скомпилированную и очищенную от значащей информации версию AppleScript. Отсутствие читабельной информации может напрямую препятствовать обнаружению и анализу полезной нагрузки.
Какие продукты Positive Technologies покрывают технику
Описание методов обнаружения техники пока недоступно
Способы обнаружения
ID | DS0022 | Источник и компонент данных | Файл: Метаданные файла | Описание | Обнаружить полезную нагрузку с удаленной значащей информацией может быть непросто, и этим не стоит заниматься в режиме реального времени, но попытки обфускации можно выявить с помощью анализа контекстных данных, связанных с файлами (например, их содержимого и энтропии символов). |
---|