banner.jpg)
2016年04月12日10:24 來源：移動通信網(wǎng)T|T
【移動通信網(wǎng)】今天我們發(fā)現(xiàn)Locky系列勒索軟件正在積極采用一種新型工具來逃避偵測甚至感染終端。通過PaloAltoNetworksAutoFocus威脅情報服務(wù)關(guān)聯(lián)全球數(shù)據(jù)，Unit42確認Locky的爆發(fā)有輕微的變化，并發(fā)現(xiàn)一個用來包裝多個惡意軟件家族的新工具。對手正在不斷尋求新技術(shù)以繞過安全控制，根據(jù)AutoFocus的數(shù)據(jù)，這代表了它們的間諜情報技術(shù)正在廣泛更新。
根據(jù)我們的分析，多個惡意軟件樣本因使用由嵌入式術(shù)語字典，以分解功能和從常用的靜態(tài)分析工具隱藏它們真正的能力，混淆API調(diào)用。
(傳遞給API調(diào)用的各式奇怪命名變量)
篡改API調(diào)用使程序喪失分類密鑰名稱的能力，從而增加惡意軟件避開偵測的可能性。然而，這個發(fā)現(xiàn)令整個情況變得很有趣，因為它似乎只是一系列旨在誤導(dǎo)分析員的第一招。
PaloAltoNetworks已確認Locky惡意軟件最近開始使用此技術(shù)，而TeslaCrypt和Andromeda系列惡意軟件由2016年3月14日起已使用此技術(shù)。值得一提的是，這一混淆技術(shù)能被PaloAltoNetworksWildFire服務(wù)所采用的結(jié)合靜態(tài)及被動態(tài)分析系統(tǒng)偵測到，從而保護客戶免受這種威脅。
