Вирусные сигнатуры и генетические алгоритмы - PullRequest
1 голос
/ 11 октября 2010

Я хотел бы знать, как получить следующую подпись. Я читал в Интернете, что (по крайней мере, в прошлом) исследователи будут брать «подозреваемый» файл двоичного кода, преобразовывать его в сборку, исследовать его, выбирать фрагменты кода, которые кажутся необычными, и идентифицировать соответствующие байты в машине. код.

Но тогда как достигается подпись вируса?

MIRC.Julie = 6463632073656e6420246e69636b20433a5c57696e646f77735c4a756c696531362c4a50472e636f6d0a0d6e31333d207d0a0d6e31343d200a0d6e31353d206374637020313a70696e673a2f6463632073656e6420246e69636b20433a5c57696e646f77735c4a756c696531362c4a50

Кроме того (хотя это может показаться совершенно сумасшедшим), что приведенная выше строка должна что-то значить, я могу только догадываться о последовательности действий, фактическом коде и т. Д. Так что, если он когда-то был «переведен» в этой форме (сигнатура вируса) из сборка, можно ли конвертировать обратно?


На всякий случай вы можете спросить, почему я спрашиваю, что даже я считаю странным вопросом. Вот почему ... Я готовлю свой проект бакалавриата по компьютерным наукам за последний год, и на данный момент мне интересно, можно ли было бы, возможно, генерировать / оценивать / оценивать / прогнозировать вирусные сигнатуры с использованием GA (генетических алгоритмов). Возможно, это поможет сделать мой вопрос немного легче понять, я надеюсь.

Спасибо!

Ответы [ 2 ]

3 голосов
/ 03 ноября 2010

Вы не можете вернуть его обратно, потому что обычно вирусные сигнатуры зашифрованы. Их получают путем извлечения двоичного вредоносного кода из исполняемого файла, а затем преобразования его в шестнадцатеричное представление. Надеюсь, поможет

2 голосов
/ 11 октября 2010

Показанная сигнатура вируса, вероятно, зависит от сканера, который ее сгенерировал. Мне очень легко поверить, что все антивирусные сканеры создают свои подписи по-разному. Без источника нет никакого способа объяснить, как он был разработан, и даже с источником, я сомневаюсь, это то, что AV-компании покажут, так как это дает разработчикам вирусов возможность избежать обнаружения.

«Генерировать / оценивать / оценивать / прогнозировать» - четыре разные проблемы, и не все из них лучше всего решать с помощью GA. Вам нужно выбрать свою проблему, прежде чем выбрать алгоритм.

...