マルウェア解析の現場から-07 「アンチ・アンチウイルスソフト」 | トレンドマイクロセキュリティブログ（ウイルス解析担当者による Trend Micro Security Blog）（情報元のブックマーク数）

松川さんキタ━━━━(゜∀゜)━━━━ッ!!マルウエアの解析話です！

マルウェアにとっての天敵は何と言ってもウイルス対策ソフトでしょう。そのため、マルウェアがウイルス対策ソフトを無効化するための機能を備えていることは珍しくありません。ウイルス対策ソフトが検出対応するよりも前にコンピュータの中に入り込むことに成功しさえすれば、あとはマルウェアがウイルス対策ソフトの機能を阻害することで、そのマルウェアの検出を防ぐことができてしまいます。これによってマルウェアの延命が図られるわけです。このような機能は「アンチ・アンチウイルスソフト」と呼ばれています。もちろん、ウイルス対策ソフト側もこのような状況を黙って見過ごしているわけではありません。「アンチ・アンチウイルスソフト」機能を分析し、不正動作の監視など「アンチ・アンチ・アンチウイルスソフト」とも呼べる機能を搭載して「アンチ・アンチウイルスソフト」機能と戦っています。しかし、結果としての「いたちごっこ」状態の中、使われる手法は巧妙さを増していっています。先日解析を終えたマルウェア「BKDR_SRAOW.A」も、巧妙な「アンチ・アンチウイルスソフト」機能を備えたマルウェアでした。
マルウェア解析の現場から-07 「アンチ・アンチウイルスソフト」 | トレンドマイクロセキュリティブログ

暗号化されたC&Cとの通信

C&Cサーバに接続し、「BKDR_SRAOW.A」が備える機能を利用するための情報（攻撃者からのコマンドに相当）を受信します。この中に対象となる実行ファイルのリストが含まれているのです。当然ながら受信する内容は随時変化する可能性がありますが、今回の解析中には次の内容を実際に受信しました
マルウェア解析の現場から-07 「アンチ・アンチウイルスソフト」 | トレンドマイクロセキュリティブログ

マルウェアの動作をコードレベルで解析するソフトを利用すれば、プログラム内部で復号した状態のものを見ることができます
マルウェア解析の現場から-07 「アンチ・アンチウイルスソフト」 | トレンドマイクロセキュリティブログ

「BKDR_SRAOW.A」は復号したデータの中の[Block]セクション内に登録されているファイル名のファイルをブロック対象実行ファイルとします。今回の受信データでは67ものファイルが登録されていました。これらはすべてウイルス対策ソフトが使用しているモジュールの名前であると思われます。そしてもちろん、攻撃者はこの受信させるデータを任意のタイミングで変更することができてしまいます。
マルウェア解析の現場から-07 「アンチ・アンチウイルスソフト」 | トレンドマイクロセキュリティブログ

わかんないってｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗｗ

Visual Basic 6.0 P-Codeで書かれているそうです。

先ほどの図のコードがいつも見ているアセンブリ言語のコードと違うことに気付いたアナタ、鋭いですね。ではこれが何のコードでどのような処理が書かれているのかコードを見るだけで分かりましたか？　実は「BKDR_SRAOW.A」の実行ファイルは CPU が理解する機械語が書かれた通常の実行ファイルとは異なり、”Visual Basic 6.0″ の「P-Code（Pseudo Code：擬似コード）」で書かれています。P-Code は CPU が直接理解する実行コードではないため、その実行には P-Code の命令を解釈し CPU が理解する実行コードに変換するプログラムが必要となります。Visual Basic 6.0 の場合は、ランタイムライブラリ “MSVBVM60.DLL” がこの変換を行うプログラムにあたります。先ほどのコードは P-Code をデコンパイラツールを使ってデコンパイルしたものだったのです。デコンパイルしたと言っても、デコンパイルの結果として得られる P-Code の命令の仕様は Visual Basic の開発元であるマイクロソフトから公開されていませんから、デコンパイルして得られたコードをただ読んで動作を推測するのは困難です。もちろん、通常の実行ファイルの解析で使用する逆アセンブラやデバッガを普段使っているように使って解析することもできません。この困難さは、マルウェア作者がわざわざ P-Code を利用しているのはアンチデバッギングが目的ではないかと思ってしまうほどです。でも大丈夫。実は解析はきちんとできています。例えば先ほどのコードの場合は次のロジックで処理を行っていることが見えています（図のコードだけではすべては見えていません）。
マルウェア解析の現場から-07 「アンチ・アンチウイルスソフト」 | トレンドマイクロセキュリティブログ