Modifiye edilmiş ransomware ile antivirüs testi

731001 dedi:

.pdf'leri koruyor mu hocam? Teşekkür ederim bu arada ettiğin için. Çok teşekkür ederim.

Genişletmek için tıkla...

Malware.AI dedi:

.pdf dosyalarını şifreleyemiyor bu dosyam maleseff. Yani hata veriyor (Ransomware).

Genişletmek için tıkla...

731001 dedi:

Anladım hocam, test ettiğin için çok teşekkürler

Genişletmek için tıkla...

Malware.AI dedi:

Ne demek, yarın da bir aksilik çıkmazsa "Antivirüslere ATP testi" konusu geliyor. Payload hala tespit edilmemiş yani kullanmamda bir sakınca yok gibi bu yüzden yarın gibi kısa bir sürede yazabilirim bu konuyu da.

Genişletmek için tıkla...

Malware.AI dedi:

Normalde Malware Bazaar'da olsa dosya yayınlandıktan 5 dakika sonra veritabanlarına eklerlerdi. Şimdi hala bakıyorum hiç bir değişim yok VT sonucunda.

Diyecek söz yok.
(İnsan eliyle)

Genişletmek için tıkla...

Dexter_Morgan31 dedi:

Hocam peki @Malware.AI hocamizin yaptigi Ransomware testine ne diyorsunuz sizce dogru mu yaptigi test? Ransomware gibi davranmiyor bence Dosya sifreleyici gibi davraniyor ondan algilamadi hic bir antivirus. Butonla dosyayi secip kendi sifreliyor.

Genişletmek için tıkla...

Dutchman dedi:

Testte tespit edilememesinin ve VT üzerinden çoğunun Grayware/Obfuscate/PUA sonuçları almasının sebebi, bu aracın bir ransomware gibi davranmamasından kaynaklı. TPSC'nin yaptığı bir ransomware simülasyonu, tam anlamıyla bir ransomware değil.

Konuda bahsi geçen araç, dosyaları şifrelemiyor. Metin belgelerinin içerisindeki UTF-8, ASCII veya Unicode karakterleri belirli bir key kullanarak encode/decode ediyor. Bu internette aratılan base64 encode işlemine benzer. Dosya erişilebilir ve içerisindeki veri hala okunabilir durumda, fakat içeriği belirlenen keye göre değişiyor.

Örneğin benim de hem kişisel hem de iş sistemimde yazdığım bir araç var, kendi belirlediğim oldukça uzun bir key kullanarak önemli metin belgelerini konsoldan şifreliyor ve bunları asimetrik olarak yapıyor. AV yazılımları uyarmıyor çünkü bu basit bir şifreleme, fidye değil.

Ransomware yazılımlarının yaptığı şey, TPSC videosunda da görüldüğü üzere orijinal dosyanın bir kopyasını da içeren, bambaşka bir uzantıya sahip ve unique bir key ile çözülebilen şifreleme metodu. Bu metodda, orijinal dosya tamamen bozulur, corrupted olarak işaretlenir. Bu dosya başka bir araçla da çözülemez, okunamaz, açılamaz. İçeriği ne UTF-8'dir ne de Unicode. Orijinal dosya, decryption key gerektiren, bambaşka bir dosya uzantısına bürünmüş ve okunamaz durumda olan bir hale gelir.

Bu testte ise dosyaya ulaşmak mümkün, encode/decode yöntemleri yani UTF8 veya Unicode ile dosyalar rahatlıkla okunabiliyor, sadece içindeki metin değişiyor. Tıpkı dosyayı elle açıp, tek tek harfleri sezar cipher ile yeniden yazmak gibi. Bu yüzden de AV yazılımları ransomware olarak algılamıyor çünkü ransomware'ler bu şekilde çalışmıyor.

Ekleme yapayım, konudaki araç ile ransomware arasındaki fark, ransomware'in orijinal dosyayı da içeren yeni bir şifrelenmiş dosya oluşturması. İçeriği okunamaz olması. Sağ tık not defteri ile aç dediğinizde karşınıza gelen metin çoğu zaman şifrelenmiş içerik olmaz, okunamadığı için mümkün olan en generic hale dönüştürülmüş bir Unicode metin olur. Tıpkı normal bir exe dosyasını not defteri ile açmak gibi.

Genişletmek için tıkla...

Dexter_Morgan31 dedi:

Hocam peki user-input olayina ne diyorsunuz? Bu aracda dosyayi secip kendiniz sifreliyorsunuz fakat Ransomware otomatik olarak calisiyor.

Genişletmek için tıkla...