Modifiye edilmiş ransomware ile antivirüs testi

Malware.AI · 19 Ağustos 2024

731001 dedi:
.pdf'leri koruyor mu hocam? Teşekkür ederim bu arada ettiğin için. Çok teşekkür ederim.

.pdf dosyalarını şifreleyemiyor bu dosyam maleseff. Yani hata veriyor (Ransomware).

731001 · 19 Ağustos 2024

Malware.AI dedi:
.pdf dosyalarını şifreleyemiyor bu dosyam maleseff. Yani hata veriyor (Ransomware).

Anladım hocam, test ettiğin için çok teşekkürler

Malware.AI · 19 Ağustos 2024

731001 dedi:
Anladım hocam, test ettiğin için çok teşekkürler

Ne demek, yarın da bir aksilik çıkmazsa "Antivirüslere ATP testi" konusu geliyor. Payload hala tespit edilmemiş yani kullanmamda bir sakınca yok gibi bu yüzden yarın gibi kısa bir sürede yazabilirim bu konuyu da.

731001 · 19 Ağustos 2024

Malware.AI dedi:
Ne demek, yarın da bir aksilik çıkmazsa "Antivirüslere ATP testi" konusu geliyor. Payload hala tespit edilmemiş yani kullanmamda bir sakınca yok gibi bu yüzden yarın gibi kısa bir sürede yazabilirim bu konuyu da.

Heyecanla bekliyorum.

Malware.AI · 20 Ağustos 2024

Normalde Malware Bazaar'da olsa dosya yayınlandıktan 5 dakika sonra veritabanlarına eklerlerdi. Şimdi hala bakıyorum hiç bir değişim yok VT sonucunda.

Diyecek söz yok.
(İnsan eliyle)

731001 · 20 Ağustos 2024

Malware.AI dedi:
Normalde Malware Bazaar'da olsa dosya yayınlandıktan 5 dakika sonra veritabanlarına eklerlerdi. Şimdi hala bakıyorum hiç bir değişim yok VT sonucunda.

Diyecek söz yok.
(İnsan eliyle)

Yok vallahi hocam

Malware.AI · 20 Ağustos 2024

Ransomware (Sleep silindi) vs Antivirüsler (ReTest!)

Öncelikle söylemeliyim ki bu testler basit ve kullanıcı deneyimi sınıfına giren bir testtir. Çok profesyonellik veya bir AV-Comparatives testleri kadar detaylı olmasını beklemeyin, ancak elimden geleni yaptığımı söyleyebilirim. Yazdıklarım tamamen kişisel görüşlerim, eleştirilerim ve...

www.technopat.net

Yenilenmiş hali burada, isteyen ikisine de bakabilir (bu testte geçerli sadece isteyen olursa buna da baksın her hangi bir değişiklik yok, sadece AV'lerin daha kolay tespit etmesi için bekletmesini kaldırdım yine hiç biri tespit edemedi).

Dutchman · 23 Ağustos 2024

Dexter_Morgan31 dedi:
Hocam peki @Malware.AI hocamizin yaptigi Ransomware testine ne diyorsunuz sizce dogru mu yaptigi test? Ransomware gibi davranmiyor bence Dosya sifreleyici gibi davraniyor ondan algilamadi hic bir antivirus. Butonla dosyayi secip kendi sifreliyor.

Testte tespit edilememesinin ve VT üzerinden çoğunun Grayware/Obfuscate/PUA sonuçları almasının sebebi, bu aracın bir ransomware gibi davranmamasından kaynaklı. TPSC'nin yaptığı bir ransomware simülasyonu, tam anlamıyla bir ransomware değil.

Konuda bahsi geçen araç, dosyaları şifrelemiyor. Metin belgelerinin içerisindeki UTF-8, ASCII veya Unicode karakterleri belirli bir key kullanarak encode/decode ediyor. Bu internette aratılan base64 encode işlemine benzer. Dosya erişilebilir ve içerisindeki veri hala okunabilir durumda, fakat içeriği belirlenen keye göre değişiyor.

Örneğin benim de hem kişisel hem de iş sistemimde yazdığım bir araç var, kendi belirlediğim oldukça uzun bir key kullanarak önemli metin belgelerini konsoldan şifreliyor ve bunları asimetrik olarak yapıyor. AV yazılımları uyarmıyor çünkü bu basit bir şifreleme, fidye değil.

Ransomware yazılımlarının yaptığı şey, TPSC videosunda da görüldüğü üzere orijinal dosyanın bir kopyasını da içeren, bambaşka bir uzantıya sahip ve unique bir key ile çözülebilen şifreleme metodu. Bu metodda, orijinal dosya tamamen bozulur, corrupted olarak işaretlenir. Bu dosya başka bir araçla da çözülemez, okunamaz, açılamaz. İçeriği ne UTF-8'dir ne de Unicode. Orijinal dosya, decryption key gerektiren, bambaşka bir dosya uzantısına bürünmüş ve okunamaz durumda olan bir hale gelir.

Bu testte ise dosyaya ulaşmak mümkün, encode/decode yöntemleri yani UTF8 veya Unicode ile dosyalar rahatlıkla okunabiliyor, sadece içindeki metin değişiyor. Tıpkı dosyayı elle açıp, tek tek harfleri sezar cipher ile yeniden yazmak gibi. Bu yüzden de AV yazılımları ransomware olarak algılamıyor çünkü ransomware'ler bu şekilde çalışmıyor.

Ekleme yapayım, konudaki araç ile ransomware arasındaki fark, ransomware'in orijinal dosyayı da içeren yeni bir şifrelenmiş dosya oluşturması. İçeriği okunamaz olması. Sağ tık not defteri ile aç dediğinizde karşınıza gelen metin çoğu zaman şifrelenmiş içerik olmaz, okunamadığı için mümkün olan en generic hale dönüştürülmüş bir Unicode metin olur. Tıpkı normal bir exe dosyasını not defteri ile açmak gibi.

Dexter_Morgan31 · 23 Ağustos 2024

Dutchman dedi:
Testte tespit edilememesinin ve VT üzerinden çoğunun Grayware/Obfuscate/PUA sonuçları almasının sebebi, bu aracın bir ransomware gibi davranmamasından kaynaklı. TPSC'nin yaptığı bir ransomware simülasyonu, tam anlamıyla bir ransomware değil.

Konuda bahsi geçen araç, dosyaları şifrelemiyor. Metin belgelerinin içerisindeki UTF-8, ASCII veya Unicode karakterleri belirli bir key kullanarak encode/decode ediyor. Bu internette aratılan base64 encode işlemine benzer. Dosya erişilebilir ve içerisindeki veri hala okunabilir durumda, fakat içeriği belirlenen keye göre değişiyor.

Örneğin benim de hem kişisel hem de iş sistemimde yazdığım bir araç var, kendi belirlediğim oldukça uzun bir key kullanarak önemli metin belgelerini konsoldan şifreliyor ve bunları asimetrik olarak yapıyor. AV yazılımları uyarmıyor çünkü bu basit bir şifreleme, fidye değil.

Ransomware yazılımlarının yaptığı şey, TPSC videosunda da görüldüğü üzere orijinal dosyanın bir kopyasını da içeren, bambaşka bir uzantıya sahip ve unique bir key ile çözülebilen şifreleme metodu. Bu metodda, orijinal dosya tamamen bozulur, corrupted olarak işaretlenir. Bu dosya başka bir araçla da çözülemez, okunamaz, açılamaz. İçeriği ne UTF-8'dir ne de Unicode. Orijinal dosya, decryption key gerektiren, bambaşka bir dosya uzantısına bürünmüş ve okunamaz durumda olan bir hale gelir.

Bu testte ise dosyaya ulaşmak mümkün, encode/decode yöntemleri yani UTF8 veya Unicode ile dosyalar rahatlıkla okunabiliyor, sadece içindeki metin değişiyor. Tıpkı dosyayı elle açıp, tek tek harfleri sezar cipher ile yeniden yazmak gibi. Bu yüzden de AV yazılımları ransomware olarak algılamıyor çünkü ransomware'ler bu şekilde çalışmıyor.

Ekleme yapayım, konudaki araç ile ransomware arasındaki fark, ransomware'in orijinal dosyayı da içeren yeni bir şifrelenmiş dosya oluşturması. İçeriği okunamaz olması. Sağ tık not defteri ile aç dediğinizde karşınıza gelen metin çoğu zaman şifrelenmiş içerik olmaz, okunamadığı için mümkün olan en generic hale dönüştürülmüş bir Unicode metin olur. Tıpkı normal bir exe dosyasını not defteri ile açmak gibi.

Hocam peki user-input olayina ne diyorsunuz? Bu aracda dosyayi secip kendiniz sifreliyorsunuz fakat Ransomware otomatik olarak calisiyor.

Dutchman · 23 Ağustos 2024

Dexter_Morgan31 dedi:
Hocam peki user-input olayina ne diyorsunuz? Bu aracda dosyayi secip kendiniz sifreliyorsunuz fakat Ransomware otomatik olarak calisiyor.

O farketmez, eğer ransomware olsaydı baştan uygulamanın açılmasına izin verilmezdi. AV çalışma mantığında 3 farklı yöntem vardır. Yürütme sırasındaki analiz davranış analizini de içerir, 15 saniyelik bloklar koymak sadece tespiti geciktirir. Tabii kullanıcı girdisi olmadan şifreleyici yazılım çalışmıyorsa, burada AV gecikebilir.

Modifiye edilmiş ransomware ile antivirüs testi

Ayrıntılı düzenleme

VirusTotal

Dosya Ekleri

Malware.AI

Hectopat

731001

Decipat

Malware.AI

Hectopat

731001

Decipat

Malware.AI

Hectopat

731001

Decipat

Malware.AI

Hectopat

Ransomware (Sleep silindi) vs Antivirüsler (ReTest!)

Dutchman

Terapat

Dexter_Morgan31

Decapat

Dutchman

Terapat

Benzer konular

Technopat Haberler

Yeni konular

Yeni mesajlar

Gizliliğinize önem veriyoruz