Upload File

técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

  • Home
  • Internet
  • Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox
39
T´ ecnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox Juan A. Salas Santillana 1 Student of Computer Science Universidad Cat´olica San Pablo 2 SysAdmin AQPHost.com 3 Misticom.com LimaHack, 2013

Upload: juan-salas-santillana

Post on 14-Jul-2015

307 views

Category:

Internet


2 download

Report

TRANSCRIPT

Page 1: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Tecnicas para el desarrollo de malwarefuncionamiento de los antivirus y sandbox

Juan A. Salas Santillana

1Student of Computer ScienceUniversidad Catolica San Pablo

2SysAdminAQPHost.com

3Misticom.com

LimaHack, 2013

Page 2: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Disclaimer

La informacion, ası como las tecnicas y herramientas presentadas,deberan ser utilizadas con fines educativos, de investigacion, o parala defensa de sus organizaciones.Limahack, ni sus miembros y/o organizadores, no son responsablespor el uso que se de a este conocimiento..El autor de la presentacion (ya sea que haya fabricado, disenado,desarrollado, facilitado, distribuido u obtiene para su utilizacionuno o mas mecanismos, programas informativos, dispositivos,contrasenas, codigos de acceso o cualquier otro dato informaticono lo ha realizado para la comision de los delitos previstos en laLey de delitos informaticos, tampoco ofrece ni presta servicio quecontribuya a dicho proposito..Por lo cual se excluye de cualquier delito que sea cometido con locomentado en la presentacion.

Page 3: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Outline

Introduccion

Api de WindowsI/ORegistro

Implementando exploitsAnalisis de vulnerabilidades

Enganar a los antivirus y sandbox

Funcionamiento de un motor antivirus y sandbox

Tools a presentar

Page 4: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Introduccion

I Es un tipo de software que tiene como objetivo infiltrarse odanar una computadora o Sistema de informacion sin elconsentimiento de su propietario.

I Desde 2003, la mayor parte de los virus y gusanos han sidodisenados para tomar control de computadoras para suexplotacion en el mercado negro.

Page 5: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Introduccion

I Es un tipo de software que tiene como objetivo infiltrarse odanar una computadora o Sistema de informacion sin elconsentimiento de su propietario.

I Desde 2003, la mayor parte de los virus y gusanos han sidodisenados para tomar control de computadoras para suexplotacion en el mercado negro.

Page 6: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Outline

Introduccion

Api de WindowsI/ORegistro

Implementando exploitsAnalisis de vulnerabilidades

Enganar a los antivirus y sandbox

Funcionamiento de un motor antivirus y sandbox

Tools a presentar

Page 7: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

I/O

I CopyFile - CopyFile2.

I CreateFile.

I SetFileAttributes.

I CancelIo

Page 8: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

I/O

I CopyFile - CopyFile2.

I CreateFile.

I SetFileAttributes.

I CancelIo

Page 9: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

I/O

I CopyFile - CopyFile2.

I CreateFile.

I SetFileAttributes.

I CancelIo

Page 10: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

I/O

I CopyFile - CopyFile2.

I CreateFile.

I SetFileAttributes.

I CancelIo

Page 11: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

I/O

I CopyFile - CopyFile2.

I CreateFile.

I SetFileAttributes.

I CancelIo

Page 12: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Outline

Introduccion

Api de WindowsI/ORegistro

Implementando exploitsAnalisis de vulnerabilidades

Enganar a los antivirus y sandbox

Funcionamiento de un motor antivirus y sandbox

Tools a presentar

Page 13: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Registro

I HKEY CURRENT ROOT

I HKEY CURRENT USER

I HKEY LOCAL MACHINE

I HKEY USERS

I HKEY CURRENT CONFIG

Page 14: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Registro

I HKEY CURRENT ROOT

I HKEY CURRENT USER

I HKEY LOCAL MACHINE

I HKEY USERS

I HKEY CURRENT CONFIG

Page 15: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Registro

I HKEY CURRENT ROOT

I HKEY CURRENT USER

I HKEY LOCAL MACHINE

I HKEY USERS

I HKEY CURRENT CONFIG

Page 16: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Registro

I HKEY CURRENT ROOT

I HKEY CURRENT USER

I HKEY LOCAL MACHINE

I HKEY USERS

I HKEY CURRENT CONFIG

Page 17: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Registro

I HKEY CURRENT ROOT

I HKEY CURRENT USER

I HKEY LOCAL MACHINE

I HKEY USERS

I HKEY CURRENT CONFIG

Page 18: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Registros importantes

I HKCU\Software\Microsoft\Windows\CurrentVersion\Run

I HKLM\SOFTWARE Microsoft Windows CurrentVersionRunServices

I HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon

I HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess

Page 19: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Registros importantes

I HKCU\Software\Microsoft\Windows\CurrentVersion\Run

I HKLM\SOFTWARE Microsoft Windows CurrentVersionRunServices

I HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon

I HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess

Page 20: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Registros importantes

I HKCU\Software\Microsoft\Windows\CurrentVersion\Run

I HKLM\SOFTWARE Microsoft Windows CurrentVersionRunServices

I HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon

I HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess

Page 21: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Registros importantes

I HKCU\Software\Microsoft\Windows\CurrentVersion\Run

I HKLM\SOFTWARE Microsoft Windows CurrentVersionRunServices

I HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon

I HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess

Page 22: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Outline

Introduccion

Api de WindowsI/ORegistro

Implementando exploitsAnalisis de vulnerabilidades

Enganar a los antivirus y sandbox

Funcionamiento de un motor antivirus y sandbox

Tools a presentar

Page 23: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Escalar privilegios

MS10-092Segun Microsoft: Una vulnerabilidad del Programador de tareaspodrıa permitir la elevacion de privilegios.

I Windows 7, 2008, Vista.

I Permite escalar privilegios.

I Colision de hashes (CRC32)

Page 24: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Escalar privilegios

MS10-092Segun Microsoft: Una vulnerabilidad del Programador de tareaspodrıa permitir la elevacion de privilegios.

I Windows 7, 2008, Vista.

I Permite escalar privilegios.

I Colision de hashes (CRC32)

Page 25: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Escalar privilegios

MS10-092Segun Microsoft: Una vulnerabilidad del Programador de tareaspodrıa permitir la elevacion de privilegios.

I Windows 7, 2008, Vista.

I Permite escalar privilegios.

I Colision de hashes (CRC32)

Page 26: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Escalar privilegios

MS10-092Segun Microsoft: Una vulnerabilidad del Programador de tareaspodrıa permitir la elevacion de privilegios.

I Windows 7, 2008, Vista.

I Permite escalar privilegios.

I Colision de hashes (CRC32)

Page 27: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Escalar privilegios

Demo y codigo.

Page 28: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Propagacion

MS10-046Segun Microsoft: Una vulnerabilidad en el shell de Windows podrıapermitir la ejecucion remota de codigo.

I Windows 7, 2008, Vista, XP.

I Permite ejecucion arbitraria de codigo..

I Enlaces directos.

Page 29: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Propagacion

MS10-046Segun Microsoft: Una vulnerabilidad en el shell de Windows podrıapermitir la ejecucion remota de codigo.

I Windows 7, 2008, Vista, XP.

I Permite ejecucion arbitraria de codigo..

I Enlaces directos.

Page 30: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Propagacion

MS10-046Segun Microsoft: Una vulnerabilidad en el shell de Windows podrıapermitir la ejecucion remota de codigo.

I Windows 7, 2008, Vista, XP.

I Permite ejecucion arbitraria de codigo..

I Enlaces directos.

Page 31: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Propagacion

MS10-046Segun Microsoft: Una vulnerabilidad en el shell de Windows podrıapermitir la ejecucion remota de codigo.

I Windows 7, 2008, Vista, XP.

I Permite ejecucion arbitraria de codigo..

I Enlaces directos.

Page 32: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Propagacion

Demo y codigo.

Page 33: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Identificacion del entorno.

Identificar si nos encontramos en entronos de virtualizacion.Codigo y demo.

Page 34: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Poliformismo

Page 35: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Cifrado de trafico

Page 36: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Inutilizar al antivirus.

Codigo y demo.

Page 37: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Antivirus

Aho-Corasick

Figure: Aho-Corasick

Page 38: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Sandbox

Virtualizacion, Analisis de trafico y memoria, etc.

Page 39: Técnicas para el desarrollo de malware funcionamiento de los antivirus y sandbox

Sandbox

Aquı se presentara mi Sandbox OpenSource


Malware Analysis - Last Dragon · El análisis dinámico con el sandbox Anubis nos devuelve información incompleta ya que el malware hace uso de la API denominada “Sleep”,

Malware y Software Antivirus, Por José David Ulate Sánchez

Trabajo Malware

BernhardPOS Malware

El malware

EN LA ACTUALIDAD. VIRUS, MALWARE, ANTIVIRUS

Antivirus PC-CILLIN Ander Arambalza , Antonio Saiz, Borja Martínez Capítulo: Protección del software Palabras clave: Malware

¿SE PUEDE USAR UNA PC SIN ANTIVIRUS? › descarga › articulo › 5585102.pdf · realiza una búsqueda contra malware y si son detectados entonces el antivirus los elimina o los

Sandbox para ejercicios de programación

REDACCION - MALWARE

Análisis malware

8. Rosario Miño EN LA ACTUALIDAD VIRUS MALWARE ANTIVIRUS

Software malware

La heurística antivirus como detección proactiva contra el ......Title: La heurística antivirus como detección proactiva contra el malware Author: ESET Latinoamérica Subject:

Espacio Colaborativo - Data Sandbox

Tutorial de Sandbox Hecho en Peru

Malware amanda

Sandbox: Análisis dinámico de malware - UNAM- · PDF fileSandbox para el análisis dinámico de malware Implementado en Cuckoo sandbox Análisis del tráfico de red Archivos que

Endpoint Protectionseguridad10.com/descargas/folleto-norman-endpoint.pdf · • La protección contra malware de los extremos de la red combinan antivirus y antispyware para asegurar

Previene las amenazas zero-day con una potente sandbox en ... · ¿Qué es una sandbox de seguridad en la nube? Una sandbox de seguridad en la nube es un entorno de análisis aislado

Avira AntiVir Personal – Free Antivirus · – Acceso directo a información detallada en Internet acerca de los virus y el malware detectado – Actualización sencilla y rápida

Avira Antivirus Premium - Download Security Software … · 3.1 Tipos de instalación ... 4. Acerca de Avira Antivirus Premium ... continua de virus y malware en su correo electrónico,

Malware jorge

La primera será malwarebytes anti-malware. Un vez ... · Malwarebytes Anti-Malware Malware ANTI-MALWARE Registros Lista de ignorados Configuración Más herramientas Escáner Protección

Hack&Beers Cadiz Análisis de Malware Cuckoo Sandbox

Malware, Malware y más Malware ¿Cómo me puedo proteger? “Dijo el cliente web”

Malware, Programas Antivirus y Vacunas informáticas

Informe Malware - Antivirus for Windows, Mac and Android · 2017-10-11 · PANDA ID-0601/2017 Informe de Malware “Trojan:Win64/Dridex” SIN CLASIFICAR 9 SIN CLASIFICAR Crea una

Malware aitor

Virusy malware

Configurar el antivirus en el router de las RV34x Series€¦ · El antivirus protege a los usuarios de la red contra las infecciones y el contenido del malware recibido en los correos

Portafolio sandbox 2014

LusyPOS Malware

El Negocio de los falsos antivirus - WordPress.com · Historia de la proliferación del malware En los últimos años, el malware ha crecido muy velozmente tanto en volumen como en

Sandbox: Análisis dinámico de malware · ¿Qué es una sandbox? Es un sistema que permite ejecutar aplicaciones no confiables dentro de un ambiente altamente controlado donde cuenta