REPROGRAMACION DEL MOTOR ANTIVIRUS DE SEGURMATICA

Transcripción

1 REPROGRAMACION DEL MOTOR ANTIVIRUS DE SEGURMATICA Francisco Ávila González Jorge Lodos Vigil Edgar Guadis Salazar Institución: Segurmatica. Empresa de Consultoría y Seguridad Informática. Zanja No. 651 Esq. a Soledad. Centro Habana. Ciudad de la Habana. Cuba. Telef. +53 (7) Fax. +53 (7) Código postal Ministerio de Informática y las Comunicaciones. Cuba. *Autor para la correspondencia: Francisco Ávila González. favila@segurmatica.cu Resumen. Introducción. El motor antivirus de Segurmatica está formado por los componentes siguientes: 1. Uno destinado a tratar (identifican y descontaminan) los códigos malignos que afectan los sectores de arranque. 2. Uno empleado en el tratamiento los códigos malignos que afectan los distintos tipos de archivos ejecutables. 3. Uno utilizado en el tratamiento de los códigos malignos que afectan los distintos tipos de documentos OLE: documentos de Microsoft Word, Excel, PowerPoint, etc. 4. Uno usado en la identificación de los códigos malignos que afectan los distintos tipos de archivos ejecutables. 5. Dos Virtual device drivers capaces de identificar los códigos malignos que afectan los distintos tipos de archivos ejecutables. Cada uno se utiliza en un producto diferente. 6. Un ejecutable con el que se identifican los códigos malignos que afectan los distintos tipos de archivos ejecutables y los distintos tipos de documentos OLE. Los componentes anteriores son utilizados de diversas formas por los distintos productos desarrollados en Segurmatica para la protección contra programas malignos: - Segurmatica Antivirus Versión 1.0, emplea los componentes 1, 2, 3, 4 y 5. - SAV 32 Versión 12.1, hace uso de los componentes 1, 2, 3, 4 (Protección permanente para plataforma NT) y 5 (Protección permanente para plataforma 9x). - SAVMailer para Windows, utiliza el componente 6. Para que un nuevo código maligno en un fichero ejecutable pueda ser identificado y/o descontaminado por los distintos productos deben ser modificados los componentes 2, 4, 5 y 6, los cuales comparten copias del mismo código fuente.

2 Durante el proceso diario de actualización son modificados por distintas personas, aunque la alteración final, antes de la compilación y pase al proceso de control de Calidad, es realizada por un especialista responsable de esta tarea. El código fuente utilizado por el componente 2 es distinto a los demás. Para actualizar los componentes 4, 5 y 6 se realizan los pasos siguientes, considerando un programa maligno en una aplicación Windows de 32 bits: 1. Seleccionar las cadenas que identifican el código maligno. Una cadena es una secuencia de bytes que debe ser propia de cada código maligno. Por lo general para cada código maligno se seleccionan dos cadenas. 2. En el archivo datafile.h: 2.1 -Dentro de la sección correspondiente al tipo de fichero que afecta el código maligno, adicionar las cadenas seleccionadas Buscar la línea donde se especifica la cantidad de entradas para los códigos malignos, de acuerdo al tipo de archivo en el que se encuentran, e incrementar en uno su valor. Este paso es muy importante y su olvido provoca errores que se verán en el paso siguiente Localizar la estructura donde se hace referencia a las entradas de los códigos malignos de acuerdo al tipo de archivo y agregar una entrada que contiene, entre otros aspectos, una referencia a las cadenas introducidas, el nombre del código maligno y su clasificación (virus, caballo de Troya, gusano, etc.). Si la cantidad de elementos de esta estructura no coincide con la de entradas en el paso 2.2 se pueden producir los errores siguientes: cuando la cantidad de entradas en la estructura es la mayor, entonces las últimas entradas de la estructura no son revisadas nunca. En caso contrario se produce un error en tiempo de ejecución. 3. Compilar y probar los distintos componentes. Para actualizar el componente 2 en necesario ejecutar los pasos que a continuación se relacionan: 1. Toman las cadenas de identificación seleccionadas anteriormente. 2. Buscar, en el archivo cadenas.h, la estructura que contiene de forma secuencial las cadenas de identificación de los códigos malignos de acuerdo al tipo de archivo y colocar al principio las nuevas cadenas. 3. Agregar, en el archivo funciones.h, la declaración de una función para cada una de las cadenas incluidas. 4. En el archivo tabvir.h : - Buscar la línea donde se especifica la cantidad de entradas para los códigos malignos de acuerdo al tipo de archivo e incrementar en uno su valor por cada cadena introducida. - Localizar la estructura donde se hace referencia a las entradas de los códigos malignos de acuerdo al tipo de archivo y agregar una línea por cada cadena

3 que contiene, entre otros valores, una referencia a la función declarada en el paso 3. MUY IMPORTANTE, las entradas en esta estructura TIENEN que ser introducidas en igual orden en el que se colocaron las cadenas de identificación en el paso 2. Si la cantidad de elementos de esta estructura no coincide con la declarada en el paso 4 se pueden producir los errores siguientes:. cuando la cantidad de entradas en la estructura es superior a la declarada en el paso 4 entonces las últimas entradas de la estructura no son revisadas nunca.. en caso contrario se produce un error en tiempo de ejecución. 5. Adicionar una entrada con el código y nombre del programa maligno en el archivo virusname.cpp. 6. En el archivo asm.cpp implementar la(s) función(es) declaradas en el paso 3. En este fichero también se incluye la PROGRAMACION DE LA DESCONTAMINACION para el código maligno. 7. Compilar y probar el componente. Entre las principales deficiencias al realizar la actualización de los componentes, con los pasos expuestos anteriormente, se pueden mencionar: - Distintos mecanismos de identificación de un mismo código maligno en los diferentes componentes que forman un producto. - Modificación de varios archivos para identificar un mismo código maligno. - Gran cantidad de líneas de código fuente para incorporar la identificación y descontaminación de un código maligno. - No hay reutilización de código y si la hay es poca. - La introducción de las cadenas de identificación byte a byte provoca que el segmento de datos del componente final tenga un gran tamaño. - La forma en que está diseñado el mecanismo de identificación del componente 2 provoca que se recorra innecesariamente la estructura de cadenas para encontrar la segunda cadena dentro del fichero que se revisa. Nueva versión del motor antivirus de Segurmatica. El motor antivirus con las nuevas características mantiene los mismos componentes y forma de utilización en los productos desarrollados. Las mejoras afectan los mecanismos de identificación y descontaminación de códigos malignos. Identificación de códigos malignos. El nuevo mecanismo de identificación puede ser ilustrado a partir del método de identificación mediante el cálculo del código de redundancia cíclica (CRC) de cadenas propias del código maligno, aplicable a un conjunto significativo de archivos. Ha sido desarrollado utilizando código fuente portable, que puede ser utilizado tanto en plataforma Windows como Linux.

4 En todos los componentes se insertaron los llamados correspondientes para utilizar este mecanismo. Se adicionó otro conjunto de archivos que contienen la información de identificación separados por tipo de ficheros (DOS, WIN16, WIN32, ELF, SCRIPT). Los datos introducidos en estos archivos son válidos para todos los componentes por lo que la forma de identificar códigos malignos se unifica para todos. Para este mecanismo la información de una cadena de identificación pasa de una secuencia variable de bytes a un conjunto de informaciones de tamaño fijo. Existen varios métodos de identificación, entre ellos: 1. Búsqueda de dos cadenas en posiciones fijas dentro del archivo a revisar. Para este método cada cadena de identificación consta de los datos siguientes: - offset: desplazamiento donde se encuentra la cadena. - word: primeros 2 bytes que contiene la cadena. - count: cantidad de bytes de la cadena. - crc: CRC de la cadena. La información completa para detectar el código maligno está formada por: - cad1: primera cadena, el desplazamiento es relativo al punto de entrada (inicio del archivo y/o ejecución). - cad2: segunda cadena, el desplazamiento es relativo al comienzo del archivo. - code: valor numérico que se le asigna al código maligno para su tratamiento por los productos antivirus. - component: valor numérico que se le fija a un componente de un código maligno para su procesamiento por un producto antivirus. - type: tipo del código maligno: VIRUS, TROJAN, WORM, JOKE, SUSPECT, TEST, RISKY_TOOL, MALWARE_TOOL. - name: nombre del código maligno. El trabajo a realizar para el personal que introduce la información de identificación se reduce ahora a escoger el tipo de fichero al cual afecta el código maligno y llenar, con la información necesaria, dentro del archivo fuente correspondiente, una línea como la que se muestra a continuación: {<OFFSET1>,<WORD1>,<COUNT1>,<CRC1>,<OFFSET2>,<WORD2>,<COUNT2 >,<CRC2>,<CODE>,<TYPE>,L"<MALWARE_NAME>"}, 2. Búsqueda de n cadenas en posiciones aleatorias dentro del archivo a revisar donde la cadena [i 1] se encuentra antes de la cadena [i] y la cadena [i + 1] se encuentra después de la cadena [i]. Hasta ahora este mecanismo solo se aplica para identificar código malignos de tipo SCRIPT. Para este método cada cadena de identificación consta de los datos siguientes: - word: primeros 2 bytes que forman la cadena.

5 - count: cantidad de bytes de la cadena. - crc: CRC de la cadena. La información completa para detectar el código maligno es la siguiente: - cads: cadenas de identificación - code: código asignado al código maligno cuando llega al Laboratorio. - component: componente, un código maligno puede tener varios componentes de acuerdo al tipo. - type: tipo del código maligno: VIRUS, TROJAN, WORM, JOKE, SUSPECT, TEST, RISKY_TOOL, MALWARE_TOOL. - name: nombre del código maligno. El trabajo a realizar para el personal que introduce la información de identificación se simplifica a modificar el archivo fuente, relacionado con el tipo de identificación asociada con código maligno (SCRIPT): - Crear una estructura en la que se almacenan las distintas cadenas de identificación, cada entrada en dicha estructura tiene la forma que se muestra a continuación y lo que hay que hacer es sustituir las frases entre <> por la información de cada cadena como se explicó anteriormente: {<WORD>,<COUNT>,<CRC>}, - Crear una línea como la que se muestra seguidamente y sustituir las frases entre <> por la información correspondiente a los datos de identificación del código maligno: {<CADS>,<CODE>,<TYPE>,L"<MALWARE_NAME>"}, Descontaminación de códigos malignos. Existe un conjunto de archivos que contienen el mecanismo para descontaminar los códigos malignos mediante la utilización de operaciones simples. Este mecanismo también fue desarrollado utilizando código fuente portable, que puede ser utilizado tanto en plataforma Windows como Linux. En el componente 2 se insertaron los llamados correspondientes para utilizar este mecanismo. Existe otro conjunto de archivos que contienen la información de Descontaminación separados por tipo de archivo (DOS, WIN16, WIN32, ELF, SCRIPT). Además, se creó una carpeta para cada tipo de archivo cuya utilización se expondrá más adelante. La actualización de la descontaminación de un código maligno consiste en introducir la información necesaria en lugar de realizar la programación de la misma. Para ello de definieron varios métodos de descontaminación, entre los que se encuentran: 1. Descontaminación genérica. Consiste en aplicar un conjunto de operaciones simples relacionadas con el archivo que contiene el código maligno:

6 - En plataforma Windows eliminar los valores del registro cuyo contenido (dato) sea el camino completo del archivo infestado, la búsqueda se realiza en un conjunto definido de llaves del registro. - Cerrar todos los procesos existentes asociados al archivo infestado. - Borrar el archivo infestado. 2. Descontaminación compleja. Consiste en aplicar la descontaminación genérica, y además, un grupo adicional de operaciones simples. Las posibles operaciones simples a aplicar son: - Borrar llaves del registro. - Borrar valores del registro dado el nombre del valor. - Borrar valores del registro cuando el nombre del valor es el camino y nombre (path) del archivo infestado. - Borrar valores del registro cuando el dato (contenido) del valor es el camino y nombre del archivo infestado. - Borrar valores del registro dado el dato del valor. - Modificar valores del registro. - Modificar valores del registro si el contenido anterior de valor es igual a un contenido especificado. - Borrar un archivo. - Restaurar un archivo a partir de otro. - Borrar una carpeta. - Cerrar los procesos cargados en memoria a partir de la imagen de un archivo. - Cerrar procesos a partir de la clase y el título de una ventana. - Modificar valores en archivos de configuración tipo win.ini y system.ini. Para definir las distintas operaciones simples se especifica la jerarquía de clases que se muestra a continuación:

7 DEL_REG_KEY DEL_REG_VALUE_BY_NAME DEL_REG_VALUE_BY_FILENAME_NAME DEL_REG_VALUE_BY_FILENAME_DATA DESINFECTION_FORM DEL_REG_VALUE_BY_DATA SET_REG_VALUE DELETE_FILE RESTORE_FILE DELETE_FOLDER DEL REG SZ VALUE BY DATA DEL REG DWORD VALUE BY DATA SET_REG_SZ_VALUE SET_REG_DWORD_VALUE SET_REG_SZ_VALUE_IF_OLD_DATA_IS CLOSE_PROCESS SET_REG_DWORD_VALUE_IF_OLD_DATA_IS CLOSE_PROCESS_BY_WINDOW SET_INI_VALUE Cada una de estas clases cuenta con una función virtual Desinfect que es la encargada de ejecutar la operación simple. La información para descontaminar un código maligno está formada por: - code: código asignado al programa maligno cuando llega al Laboratorio. - component: componente del código maligno. Fue creado para diferenciar los componentes que forman parte de un código maligno, durante el proceso de descontaminación. - DesinfecType: Tipo de descontaminación: genérica, compleja, etc. - DesinfecForms: Operaciones simples a ejecutar para la descontaminación de un código maligno. Este parámetro solo es necesario para la descontaminación compleja, en los casos restantes no se tiene en cuenta. El trabajo a realizar para el personal que introduce la información de descontaminación consiste en escoger el tipo de archivo al cual afecta el código maligno y realizar los pasos siguientes: - Llenar una línea como la que se muestra a continuación, y sustituir las frases señaladas entre <> por la información explicada anteriormente: {<CODE>,<COMPONENT>,<DESINFEC_TYPE>,<DESINFEC_FORMS>},

8 - Si el tipo de la descontaminación es compleja se debe crear un archivo con extensión.h donde se definen las distintas operaciones simples a realizar. La declaración de este nuevo archivo debe ser incluida en el archivo donde se introduce la información anterior. Existe una plantilla, dirigida al que realiza la actualización, que describe de una forma sencilla lo que se debe hacer para definir las operaciones simples necesarias. Por ejemplo, para borrar una llave en el registro se debe llenar una línea como la que se muestra a continuación y sustituir las frases entre <> por sus valores correspondientes: DELETE_REG_KEY <MALWARE_NAME>_DeleteRegKey_<INDEX>( <KEY>, L"<SUBKEY>"); Una vez definidas todas las operaciones simples se debe llenar una estructura con los nombres de variables asignados a las operaciones simples, donde cada entrada tiene el formato que se muestra a continuación y el nombre de la operación simple es la instrucción donde se sustituyeron las frases <MALWARE_NAME> e <INDEX>: &<DESINFECTION_FORM_NAME>, La variable que define la estructura antes mencionada es la que se coloca en la frase < DESINFEC_FORMS>, en el punto anterior. Conclusiones. Con esta organización se logra lo siguiente: - Introducir la información de identificación una sola vez, la cual será utilizada por todos los componentes de los productos. - Simplificar el proceso de actualización, pues con la utilización de los métodos de identificación y descontaminación, y las operaciones simples, se logra que la persona que introduce la información de identificación y descontaminación no tenga que poseer conocimientos de programación pues prácticamente no se programa. Así, disminuyen considerablemente los errores durante la actualización. - Aumentar de manera notoria la cantidad de códigos malignos actualizados en el motor antivirus por unidad de tiempo de especialista. - Este mecanismo es propenso a ser automatizado.