Обратная сторона проактивного детекта: о сложностях в обнаружении вредоносного поведения

Рассмотрим несколько простых (на первый взгляд) сценариев для обнаружения зловредного действия: получение списка процессов в системе, создание задач и служб, снятие скриншота рабочего стола. Поговорим о сложностях, возникших при выявлении следующего поведения: рекогносцировка в системе, обобщенный process hollowing, запуск кода через DLL hijack, закрепление в системе с использованием подписок на события через WMI. Приведем примеры вредоносного ПО, для обнаружения которого актуальны упомянутые техники и подходы к их обнаружению. Рассказывает Алексей Вишняков, руководитель отдела обнаружения вредоносного ПО Positive Technologies