Подражать вирусоподобному поведению?

Question

Я ищу способ эмулировать вирусоподобное поведение для тестирования исключений в антивирусном программном обеспечении. Кто-нибудь может порекомендовать какое-нибудь поведение, которое я могу составить в быстром сценарии, который запускает типичный антивирусный сканер в реальном времени?

Answer 1

Вы ищете что-то вроде файла теста Eicar ?

Если вы хотите вручную закодировать вирусоподобное поведение, я могу сказать, что у меня были проблемы с антивирусными приложениями и LowLevelKeyboardProc () и SetWindowsHookEx () функции. Если антивирусное приложение использует эвристику, оно обычно предупреждает о действиях, подобных кейлоггеру.

Answer 2

Большинство антивирусных программ работают с базой данных сигнатур, а не эвристическим обнаружением, поэтому большинство из них вообще ничего не заметят, если вы не напишите программу с той же сигнатурой, что и та, которую они ищут.

Если у вас есть эвристическая программа обнаружения, просто попробуйте некоторые очевидные действия вирусов, такие как изменение настроек, определяющих, какие программы запускаются при запуске, проверка процессов на наличие общих имен антивирусных программ и т. Д. Возможно, вы сможете найти документацию для вашей конкретной программы и выясните, какую именно эвристику она использует для обнаружения вирусов на основе поведения. Будет довольно сложно найти много полезного, просто запустив «вирус может сделать что-то подобное», слепо.

Answer 3

Вот интересная статья об обнаружении, основанном на поведении, она старая, но, похоже, это то, что вы хотите сделать.

http://www.securityfocus.com/infocus/1557

Также вы можете взглянуть на SARC (Symantec Antivirus Research Center). Если вы посмотрите на некоторые из последних угроз, технические детали и инструкции по удалению подскажут вам, что они делают при заражении системы.

Вот пример:

http://www.symantec.com/business/security_response/writeup.jsp?docid=2009-050707-0639-99

Answer 4

Еще в 2000 году существовал вирус ILOVEYOU (любовная ошибка), который был просто VBScript, который перезаписывал файлы на зараженной машине своими копиями и отправлял по электронной почте через Outlook. Дыра в Outlook исправлена, но часть о копировании всех файлов с определенным расширением - хорошая эвристика, которую можно попробовать скопировать.