- •1 Цель работы:
- •2 Программное обеспечение
- •3 Краткие теоретические сведения
- •3.1 Общие сведения
- •3.2 Возможные симптомы вирусного поражения
- •3.3 Тестовая сигнатура псевдо-вируса
- •3.4 Сетевые черви
- •3.5 Эвристический анализ
- •4 Порядок выполнения
- •4.1 Поиск вируса по сигнатуре
- •4.2 Проверка работы эвристического анализа
- •К онтрольные вопросы
4.1 Поиск вируса по сигнатуре
1)Отключить текущую антивирусную программу. Приведем пример отключения программа Антивирус Касперского 2010. Для этого необходимо зайти в Настройки программы и в пункте меню Защита снять галочку Включить защиту и нажать кнопку Применть:
Рисунок 4.1 – Отключение антивирусной защиты Касперского
2) Настроить среду запуска вирусов.
2.1) Создать новую песочницу в программе Sandboxie. Для этого откройте программу и перейдите в меню «Песочница->Создать новую песочницу»
2.2) Запретить форсирование программ. Это необходимо для того чтоб каждая запускаемая программа не переносилась в песочницу. Для это необходимо выбрать в меню «Файл->Запретить форсированные программы».
2.3) В папку песочницы (C:\Sandbox\..\..\drive\C) поместить исходный образец вируса(выбрать любой из архива с вирусами, прилагаемом на диске или же найти самостоятельно. Пароль на архив с вирусами - 1), а также исходные копии программ tester1.exe и tester2.exe.
2.4) Поменять расширение вируса на *.exe.
2.5) Запустить вирус, который находится в папке песочницы
Примечание: некоторые вирусы за один запуск инфицируют только один файл. Исходный размер тестовых программ – 3кб, если после запуска вируса их размер остался неизменным, то запустите вирус еще раз.
2.6)Завершить все процессы в песочнице.
Рисунок 4.2 – Завершение процессов в песочнице
3) Провести анализ зараженных файлов
3.1) Запустить программу WinHex.
3.2) Открыть в WinHex зараженные программы tester1.exe и tester2.exe.
3.3) Проведите сравнение двух копий инфицированных программ для этого выполните Tools->File Tools->Compare..
Рисунок 4.3 – Сравнение файлов в WinHex
3.4) Установить настройки сравнения.
Во-первых, задать смещение в зараженных файлах, с которого начнется операция сравнения, в нашем случае оно равно С00(hex) или 3072(dec) (данный размер соответствует размеру неинфицированных программ tester1 и tester2; при использовании других исходных копий незараженных образцов данное смещение необходимо вычислить самостоятельно).
Во-вторых, установить значение поля Compare. Данное значение рассчитывается как «текущий размер программы tester1.exe минус смещение». В нашем случае:
5120 – 3072 = 2048 (байт)
Выбрать пункт "Search equal bytes" и нажать Ok.
Рисунок 4.4 – Установка параметров сравнения
3.5) В полученном отчете найти цепочку, последовательно идущих байт (в приведенном примере С00-С14).
Рисунок 4.5 – Определение сигнатуры
3.6)Установить антивирусную программу ClamWinPortable. Для этого запустите ClamWinPortable_0.95.3_English.paf.exe и укажите в какую папку разархивировать программу.
3.7)Перейти в папку ClamWinPortable\Data\db
3.8) Создать базу данных, содержащую сигнатуру, найденного вируса (Правила и примеры создания сигнатур[10]):
С оздать текстовый файл и переименовать его в “sign.db”.
3.9) Поместить в файл запись вида:
ваше название вируса=ваша сигнатура вируса
В нашем случае данная запись будет иметь вид:
test_virus=609CBD003000008DB5372040008BFEB9BC000000BB
3.10) Открыть консоль. Для этого нажмите на кнопке Пуск и выберите команду Выполнить. В появившемся диалоговом окне введите cmd.exe и нажмите кнпоку Ok.
3.11) Перейти в папку "ClamWinPortable\App\clamwin\bin"
3.12) Набрать команду:
clamscan.exe -r -d ..\..\..\Data\db C:\Sandbox\..\test\drive\
3.13) Ознакомится с результатом работы антивирусной программы. Результат работы антивирусного сканера поместить в отчет по работе.
3.14) Зайдите на сайт http://www.virustotal.com/ru/ и загрузите одну из зараженных копий программы tester.exe для анализа. Название вашего вируса вставьте в отчет по работе.
Будьте внимательны, ваше антивирусное ПО все еще отключено.
3.15) По названию вируса, используя поисковую систему или же специальный сайт http://www.securelist.com/ru/, найдите описание вашего вируса и вставьте его в отчет.
3.16) Удалите зараженные версии программы tester.exe и оригинальный вирус. Включите антивирусное программное обеспечение.