ptsecurity Mar 12 at 15:44

Тот самый RAT-троян за 200 рублей: как защититься от RADX

11 min

4.7K

Positive Technologies corporate blogInformation Security*Antivirus protection*.NET*Laptops

Comments 8

mamontovss Mar 13 at 13:38

До сих пор так делают? ставят .pdf в название exe файла?

ptsecurity Mar 13 at 16:30

Как видите, бывает и такое 🙂

Примеры кибератак с использованием двойного расширения можете также посмотреть в матрице MITRE ATT&CK, а еще в отчете коллег.

mamontovss Mar 14 at 14:46

"В коде мы заметили известные приемы обхода средств защиты " почему нельзя задокументировать приемы обхода средств защиты по аналогии с матрицей техник MITRE ATT&CK чтобы средства защиты гарантированно на эти приемы реагировали, приемов же ведь не бесконечное количество? или бесконечное количество реализаций этих приёмов и поэтому хоть эти приемы и известны, но из-за новой реализации они не детектятся с помощью СЗИ?

ptsecurity Mar 15 at 10:04

В статье обсуждается поведенческий анализ. Перечисленные техники, кроме многократного вызова RegCloseKey, затрудняют статический анализ. Для их обнаружения подойдет, например, сигнатурный детект, а это совсем другая история)

Многократный вызов RegCloseKey может создать проблемы для динамического анализа файлов в отладчике или с помощью apimon-а. Для решений класса EDR это не проблема.