Wyzwania informatyki bankowej 2016

Technologia sandbox i jej omijanie
Od pewnego czasu modna jest technologia sandbox do wykrywania złośliwego
oprogramowania. Istnieją nawet produkty oparte tylko o tę technologię.
Jest to, niestety, kolejny smutny dowód na to, że bezpieczeństwem rządzi
czasami moda a nie rozsądek. Po pierwsze, w samej technologii nie ma nic
nowego. Firmy antywirusowe stosowały ją już od pierwszej połowy lat 90.
ubiegłego wieku i robiły to wtedy z całkiem niezłymi rezultatami. Ówczesne
złośliwe oprogramowanie było jednak pod wieloma względami bardzo prymitywne,
podobnie jak i systemy operacyjne, które należało emulować aby
uzyskać sandbox. Oczywiście jakość emulacji środowiska wykonania wpływa
na jakość sandbox. Sandbox, czyli piaskownica, to bowiem nic innego jak
stworzenie kontrolowanego środowiska wykonania – zazwyczaj częściowo
lub całościowo emulowanego. Do tak przygotowanego środowiska wstrzykuje
się kolejne podejrzane próbki, które mogą być złośliwym oprogramowaniem.
Następnie na podstawie jego analizy behawioralnej – np. dostępu do
plików, używanych funkcji API – automatycznie jest podejmowana decyzja,
czy dany program jest złośliwy czy nie. W teorii jest to świetne rozwiązanie,
w praktyce niestety okazuje się ono zawodne, bowiem autorom złośliwego
oprogramowania jest niezwykle łatwo się przed tego typu rozwiązaniami
bronić. Co więcej, część technik utrudniających analizę kodu złośliwego oprogramowania
może być także użyte przeciwko technologii sandbox. Oto kilka
przykładów mechanizmów ochronnych stosowanych przez złośliwe oprogramowanie:
• Wykrywanie obecności maszyny wirtualnej, technologii wirtualizacyjnej lub
emulatora – każde oprogramowanie, takie jak VMWare, VirtualBox, QEMU
czy bochs zostawia charakterystyczne ślady w systemie, który emuluje lub
dla którego tworzy warstwę wirtualizacyjną (w przypadku hypervisorów).
Najbardziej trywialnym jest sprawdzenie konfiguracji sprzętowej oraz wersji
firmware’u. Innym przykładem może być szukanie charakterystycznych
dla VMWare czy VirtualBox zainstalowanych rozszerzeń. Bardziej zaawansowane
metody analizują stan pamięci i procesorów.
• Wykrywanie uruchomienia pod kontrolą automatycznej maszyny wirtualnej
lub emulatora za pomocą wywołań funkcji systemowych i analizy
struktur systemu operacyjnego. Jeżeli mamy do czynienia ze środowiskiem
sztucznie wytworzonym, np. za pomocą emulatora, to emulowany
Cybersecurity – moda, mit czy rzeczywistość?
167