האיום הסייברי הזדוני הולך ומתמקצע עם כל יום שעובר, ומקביל לו, הטכניקות שאנחנו משתמשים בהן לגילוי ולהתגוננות מתוכן חייבות להתפתח. יריב חמקמק במיוחד הוא הוירוס החמקמק, צורת תוכנה זדונית שתוכננה במיוחד כדי להתחמק מגילוי ולהתבסס עמוק במערכות מחשוב. למרבה הצער, הקונספט של "סטלת'" אינו מוגבל לעולם הדיגיטלי; חידושים במחקר בחומר, במיוחד בטכנולוגיות כמו סטלת' קוונטית, דוחפים את גבולות ההיעלמות בעולם הפיזי - משפיעים על הגנה צבאית ועוד. אבל איך שני העולמות האלה - וירוסים חמקמקים בסייבר וסטלת' קוונטי במדעי החומר - מצטלבים או משפיעים זה על זה? אילו לקחים יכולים אנשי סייבר ללמוד מהתקדמות בתחום ההסוואה, ומה צריך לדעת כדי להגן על המערכות שלכם מאיומי מראה?
בפוסט בלוג טכני ומקיף זה, נעסוק ב:
וירוס חמקמק הוא צורת תוכנה זדונית מתקדמת המשתמשת בשיטות מורכבות להסתיר את נוכחותה לאחר הידבקות במערכת מחשוב. לפי קספרסקי:
"וירוס חמקמק הוא תוכנה זדונית מורכבת המסתירה את עצמה לאחר הידבקות במחשב."
בניגוד לנגיפים פשוטים שמשאירים סימנים ברורים, נגיפים חמקמקים מסווים את עצמם על ידי יירוט בקשות מערכת, שינוי פקודות מערכת, ולעיתים קרובת אף שיחזור המראה של קבצים נקיים לאחר שהודבקו. הם מותאמים במיוחד להערים על כלי גילוי אנטי-וירוס ולהישאר פעילים זמן רב ככל האפשר, לעתים קרובות מפריעים למנגנונים שנועדו לסרוק וירוסים.
מאחר שנגיפים חמקמקים מתוכננים להישאר בלתי נראים הן למשתמש והן לתוכנות אבטחה, לעיתים קרובות הם אינם מתגלים עד שנגרם נזק משמעותי. זה יכול לנוע מגניבת נתונים, ירידה בביצועי המערכת והתקנת תוכנות זדוניות נוספות, ועד תיאום התקפות בקנה מידה גדול על ארגונים.
וירוסים חמקמקים משתמשים במגוון טכניקות מתקדמות כדי להסתיר את עצמם מגילוי. להלן כמה מהמנגנונים הנפוצים ביותר:
וירוסים חמקמקים יכולים להתקין את עצמם כרוטקיטים ולשנות את פונקציות הליבה של מערכת ההפעלה. על ידי יירוט פקודות מערכת (למשל, בקשות קריאה/כתיבה לקבצים), הוירוס מחזיר גרסאות נקיות של קבצים נגועים כאשר תוכנת אנטי וירוס מנסה לסרוק אותם ובכך מסתיר את הקוד שלו.
רבים מהנגיפים החמקמקים עוקבים אחר הפעלה של אנטי וירוס או כלי סריקה של המערכת. כשהם מזהים פעילות כזו, הוירוס עשוי להפעיל פעולות הסחה, להשהות את הפעולות שלו או אפילו למחוק את עצמו לזמן קצר כדי להימנע מלכידה.
נגיפים אלו משנים את הקוד שלהם בעת כל הידבקות או אפילו במהלך ביצוע, כך שכל עותק נראה שונה - תכונה שמקשה על גילוי מבוסס תבניות.
חלק מהווירוסים החמקמקים המזיקים ביותר מדביקים את מגזר האתחול של המערכת או קבצי ליבה של מערכת ההפעלה ומשנים את רשומת האתחול הראשית (MBR) או מודולי ליבה, ומבטיחים שיטענו לפני שרוב כלי האנטי וירוס מתחילים לפעול.
וירוס מפורסם משלהי שנות ה-90, CIH השתמש בטכניקות חמקמקות כדי להתחמק מגילוי על ידי הסוותו בזיכרון המערכת. הוא מפורסם בכך שמחק את ה-BIOS של המערכת, וגרם ללבנים למחשבים.
תוכנה זדונית מורכבת המשתמשת בטכנולוגיות רוטקיט כדי להסתיר את הקבצים ואת החיבורים הרשתיים שלה מכלי הגילוי.
תולעת מתוחכמת מאוד שנעשה בה שימוש במלחמת סייבר שנתמכה על ידי מדינות. חלק מהצלחתה נבעה מהמודולים החמקמקים שלה, אשר מניפולציה של מנהלי מערכת ושידור מידע מוטעה לכלי הניטור.
תוכנה זדונית מבוססת רוטקיט שמשנה את ה-MBR, ומוודאת שהיא נטענת לפני מערכת ההפעלה וכלי האנטי וירוס הסטנדרטיים.
למרות התחכום שלהם, ניתן לגלות ולהסיר נגיפים חמקמקים באמצעות שילוב של שיטות מבוססות חתימה, יוריסטי והתנהגותי.
הפעלה ממדיה נקיה: תוכנה זדונית חמקמקה לעיתים קרובות נסתרת כשמערכת הנגועה פועלת. ביצוע סריקה לאחר הפעלה ממדיה נקייה, רק לקריאה (כגון CD חי או USB הצלה מיוחד) יכול למנוע מהוירוס להתערב.
שימוש במכותבי תוכנה זדונית מיוחדים: פתרונות אבטחה מודרניים כמו קספרסקי, ביטדיפנדר ומלבייטים משלבים מודולים לגילוי רוטקיט ותוכנה זדונית חמקמקה.
בדיקת תקינות קבצים ותהליכים: כלים כמו chkrootkit, rkhunter ו-sfc /scannow בווינדוס מחפשים שינויים בקבצי מערכת או התנהגות אנומלית.
chkrootkit לגילוי רוטקיטיםsudo apt install chkrootkit
sudo chkrootkit
rkhuntersudo apt install rkhunter
sudo rkhunter --update
sudo rkhunter --check
sfc /scannow לבדוק תקינות קבציםsfc /scannow
chkrootkit עם Bashsudo chkrootkit | grep INFECTED
import subprocess
result = subprocess.run(['chkrootkit'], stdout=subprocess.PIPE, text=True)
for line in result.stdout.split('\n'):
if 'INFECTED' in line:
print(f'[ALERT] אפשרות להדבקה: {line}')
import re
with open(r'C:\Windows\Logs\CBS\CBS.log', 'r') as f:
for line in f:
if re.search(r'cannot repair', line, re.IGNORECASE):
print('[WARN] נמצא קובץ בלתי ניתן לתיקון:', line.strip())
סטלת' קוונטי היא טכנולוגיית חומרים מהפכנית שפותחה על ידי הייפרסטלת' ביוטכנולוגי קורפ. על פי הטענות הרשמיות:
סטלת' קוונטי הוא חומר שמעלים את המטרה לגמרי על ידי כיפוף גלי אור מסביב למטרה. החומר מסיר לא רק את החזות שלך, ...
סטלת' קוונטי משתמש בסידור עדשות מיוחד ותורת החומרים כדי ליצור "הסוואה אדפטיבית". החומר מכופף גלי אור סביב אובייקטים, יוצר "נקודה עיוורת" שבה האובייקט המוסווה היה ניראה. בניגוד לטכניקות הסתרה פעילות, סטלת' קוונטי אינו נשען על תצוגות דיגיטליות, מקורות כוח או מצלמות. במקום זאת, זהו פתרון פאסיבי אופטי הפועל תחת תנאי תאורה שונים.
בעוד שהפרטים הם סודיים, סרטון קידום זה מדגים את החומר בפעולה, מוחק באופן ויזואלי את המטרה מהתצוגה.
בדיוק כפי שחומרים סטלת' קוונטי מוסתרים עצמים פיזיים על ידי מניפולציה של אור, וירוס חמקמק הופך את עצמו בלתי נראה במרחב הדיגיטלי על ידי מניפולציה של "מנגנוני הנראות" של מערכת הפעלה וכליה. בשני המקרים, המטרה של התוקף היא להתחמק מגילוי - גם על ידי מערכות מתקדמות מבוססות חיישנים.
מאחר שתוכנה זדונית חמקמקה נוטה לגבור על גילוי מבוסס חתימות, כלים לאבטחת מידע צריכים להתמקד באנומליות התנהגותיות - פקודות מערכת בלתי צפויות, תעבורה רשתית לא מוסברת או זכויות תהליכים לא רגילות.
כשם שסטלת' קוונטי מובס על ידי שינוי הסביבה (כגון שימוש בפנס או שינוי זווית הצופה), הסתרה דיגיטלית יכולה להיות מובסת על ידי מודולים פלטפורמתי מאומת ואנצפט מרוחק. אלו מספקים אישור אנגטוגרפי שאין פגיעה בשרשרת אתחול המערכת.
חלק מהתוכנה הזדונית החמקמקה מסתתרת רק ממערכת קבצים, לא מבדיקה מתוחכמת בזיכרון. על ידי ניתוח צילום תמונת זיכרון המערכת או דמפ, אנליסטים פורנזיים יכולים לגלות קוד או תהליכים שמתחמקים מהשימוש בכלים רגילים.
# קח תמונת זיכרון (דוגמת ווונדוס - שימוש ב-DumpIt)
DumpIt.exe
# ניתוח עם Volatility
volatility -f memory.dmp --profile=Win7SP1x64 pslist
וירוסים חמקמקים עשויים להסתתר בנקודת הקצה, אך הם בכל זאת צריכים "להגיע" - או למפקדים או כדי להבריח מידע. ניטור פעילות מוצפנת לא רגילה, שאילתות DNS לא צפויות או התנהגות נקודות קצה חסרת היגיון הוא מפתח.
from scapy.all import sniff
def packet_callback(packet):
if packet.haslayer('Raw'):
# אולי מצביע על ערוץ חשאי או חשוד
print(f'מארחת חשודה: {packet.summary()}')
sniff(prn=packet_callback, count=100)
בוא נחשוב על מוסד פיננסי בינלאומי עם מרכז תפעול אבטחה בזמן אמת:
Volatility, LiME).אנשי אבטחה מתמודדים עם אותה בעיה שחוקרי הנדסה צבאית מתמודדים איתה: הצורך לגילוי מה שמוסתר בכוונה מכל צורות התצפית הסטנדרטיות. כמו בתחומי הסטלת' הפיזי, הגנות רב-שכבתיות וחיישנים מתקדמים (במקרה זה, ניתוח התנהגותי, רשת וזיכרון) הם הכרחיים.
וירוסים חמקמקים וטכנולוגיית סטלת' קוונטי מדגימים את מרוץ החימוש בין תוקפים לבין מגנים - אחד בסייבר והשני בתחום הפיזי. ככל שמחברי תוכנה זדונית משתמשים ב"תחכום" ופייתוי כדי להימנע מגילוי, כלים להגנת סייבר חייבות להתייחס אל שיטות חדשות המושפעות הן מהעולם הדיגיטלי והן מהפיזי.
נקודות מפתח:
להיות מוכן, להישאר מעודכן ולפתח בלי סוף את ערימת האבטחה שלכם היא התגובה הטובה ביותר במשחק חומרי של חתול ועכבר.
פוסט זה משלב את המידע העדכני ביותר הזמין בעת כתיבתו והוא מיועד למודעות חינוכית ותפעולית. עבור פרטים על מדיניות אבטחה ושיטות גילוי עדכניות, ייעוץ עם שירותי ייעוץ אבטחת מידע מקצועיים ושמירה על גישה רב-שכבתית חזק הוא הכרחי.
אם מצאתם את התוכן הזה בעל ערך, תארו לעצמכם מה תוכלו להשיג עם תוכנית ההכשרה המקיפה והאליטיסטית שלנו בת 47 שבועות. הצטרפו ליותר מ-1,200 סטודנטים ששינו את הקריירה שלהם בעזרת טכניקות יחידה 8200.