Kaspersky Lab: tehnologie pentru detectarea fişierelor malware arhivate

[Aerosol]

Kaspersky Lab a patentat în Statele Unite ale Americii un sistem care ajut? la detectarea fi?ierelor malware modificate cu ajutorul programelor de arhivare sau de criptare neidentificate pân? în prezent de c?tre cercet?tori. Tehnologia este deja integrat? în solu?iile de securitate ale companiei, atât pentru utilizatori individuali, cât ?i pentru companii.

Programele de arhivare ?i programele de criptare (care pot fi considerate a fi tot un tip de utilitare de arhivare) creeaz? un fi?ier care include o versiune a programului ini?ial ?i codul necesar pentru a-l dezarhiva sau decripta.

Infractorii cibernetici folosesc aceste instrumente pentru a modifica fi?ierele malware, cu scopul de a face mai dificil? detectarea acestora de c?tre solu?iile de securitate. Aceast? tehnic? le permite infractorilor s? modifice fi?ierele binare ale unui program pentru a se sustrage de la scanarea efectuat? de solu?iile de securitate. Chiar dac? baza de date antivirus a unui program de securitate cuprinde deja semn?tura pentru mostra de malware ini?ial?, acesta va fi în imposibilitatea de a detecta versiunea comprimat? a programului d?un?tor.

Programele modificate cu ajutorul utilitarelor de arhivare populare pot fi detectate cu ajutorul unor reguli euristice, îns? în cazul în care atacatorii ?i-au construit propriul program de arhivare, cu ajutorul unui algoritm unic, detectarea amenin??rii devine o sarcin? mult mai dificil?. Tehnologia Kaspersky Lab nou-patentat? asigur? o metod? de analiz? a fi?ierelor în urma c?reia este creat un profil diferit pentru fiecare utilitar de arhivare nou, oferind o descriere general? a comportamentului acestuia. Ulterior, profilul permite solu?iei de securitate s? detecteze malware-ul modificat cu ajutorul unui program de arhivare, bazându-se pe opera?iunile pe care acesta le efectueaz? atunci când este lansat.

Tehnologia func?ioneaz? dup? cum urmeaz?: ini?ial, solu?ia antivirus stabile?te – cu ajutorul unui set propriu de reguli – dac? fi?ierul suspect analizat a fost modificat cu ajutorul unui program de arhivare necunoscut; apoi, solu?ia apeleaz? la tehnologia patentat? de Kaspersky Lab. La rândul s?u, aceast? tehnologie simuleaz? executarea fi?ierului scanat ?i înregistreaz? toate opera?iunile efectuate de codul responsabil pentru decriptarea ?i lansarea programului malware. Aceste opera?iuni sunt selectate ?i sunt supuse analizei pentru a crea tipare care descriu comportamentul arhivatorului. În etapa final?, pe baza datelor generate, este creat un profil, care poate fi utilizat ulterior pentru a detecta alte fi?iere modificate care folosesc acela?i program de arhivare.

“Dac? în trecut analiza programelor de arhivare era, în general, nepractic?, aceast? nou? tehnologie face posibil? analizarea fi?ierelor mult mai în detaliu ?i, drept urmare, îmbun?t??e?te calitatea protec?iei de care beneficiaz? utilizatorii”, a declarat Maxim Golovkin, expert malware în cadrul Kaspersky Lab ?i autorul tehnologiei nou patentate. „În plus, aceast? tehnologie ofer? o metod? de descriere a comportamentului unui program e arhivare proasp?t descoperit, astfel încât poate fi utilizat? de c?tre o solu?ie de securitate, r?mânând, în acela?i timp, inteligibil? pentru anali?ti”, a comentat Maxim Golovkin.

Tehnologia proasp?t brevetat? este deja implementat? în produsele reprezentative pentru Kaspersky Lab, precum Kaspersky Internet Security ?i Kaspersky Endpoint Security for Business. Caracterul inovator al tehnologiei este confirmat de brevetul 8555392, emis de Oficiul pentru Brevete ?i M?rci înregistrate din Statele Unite.

Cei aproximativ o mie de speciali?ti din departamentul de cercetare ?i dezvoltare al Kaspersky Lab lucreaz? constant pentru a dezvolta tehnologii de ultim? or?, multe dintre acestea fiind brevetate. La începutul lunii octombrie 2013, portofoliul de brevete al companiei includea 174 de brevete emise în SUA, Rusia, UE ?i China. Un num?r suplimentar de 211 de cereri de brevete sunt în proces de analiz?.

Sursa: Kaspersky Lab: tehnologie pentru detectarea fi?ierelor malware arhivate - Securitate IT