看恶意软件Nitol如何使用新技术逃避沙盒检测

作者:星期三, 十月 26, 20160
分享:

安全人员最近观察到,Nitol僵尸网络在利用基于宏的恶意文档发动分布式攻击时,使用了新的逃避技术。

nitol-botnet

恶意软件作者想尽各种办法以躲开沙盒检测的事情并不新鲜,但此次Nitol僵尸网络使用的技术,非常新奇和聪明。它们使用了宏编码的混淆技术和多阶段攻击方法论,以确保终端设备被入侵。

据研究人员分析,Nitol的这种基于宏的恶意文档发动的分布式攻击,加上了口令保护,可以完全绕过沙盒。因为,键入口令的过程比较复杂且需要用户的介入,而自动分析技术很难模仿这种操作。

此外,Nitol还使用了延迟执行来逃避检测,它的厉害之处在于,没有使用其他恶意软件惯用的睡眠或是暂停执行的方法,而是使用了“ping”工具来延迟执行:Nitol会启动“ping 8.8.8.8 -n 250”命令,并等待ping进程以完成执行。这个过程大约需要5分钟,足以绕过低阈值时间配置的沙盒。

figure2

ping是一个再普通不过的命令,大多用于证实网络连接的有效性。然而,使用ping来延迟恶意软件的执行的确是一个新奇的技术。

 

关键词:
分享:

相关文章

写一条评论

 

 

0条评论