Investigadores da ESET analisaram e descreveram em detalhe várias técnicas usadas por agentes maliciosos para esconder o seu malware e evitar a deteção. Estas técnicas avançadas foram desvendadas no curso da investigação de um novo módulo usado pelos mesmos cibercriminosos responsáveis pelo botnet Stantinko.
Entre as técnicas de proteção detetadas pela ESET destacam-se duas: a ofuscação de strings e a ofuscação de controlo de fluxos. A primeira está sujeita a strings serem construídas e apenas estarem presentes na memória quando vão ser usadas. A segunda, por seu lado, transforma o fluxo de controlo de tal maneira que se torna difícil de ler e interpretar.
Além da ofuscação de strings e de controlo de fluxos, os autores do malware também implementaram técnicas como dead code, do-nothing code e dead strings and resources. Em qualquer dos casos, estas técnicas destinam-se a evitar a deteção, conferindo uma aparência legítima aos ficheiros maliciosos, e a iludir deteções por via de ações comportamentais.
A ESET determinou que as técnicas de ofuscação de stings e controlo de fluxos são na verdade mais avançadas do que o malware que protegem. Ainda assim, a ESET examinou cuidadosamente ambas as técnicas e descreveu algumas contramedidas possíveis. Para informação detalhada sobre estas técnicas de ofuscação e o módulo botnet Stantinko, consulte o artigo no WeLiveSecurity.com (em inglês).
