VirusTotal dla twórców złośliwego oprogramowania?

Jakiś czas temu polecaliśmy świetny serwis VirusTotal, jako doskonałe narzędzie umożliwiające równoczesne przeskanowanie dowolnych plików za pomocą kilkudziesięciu różnych rozwiązań antywirusowych. Spójrzmy na podobny serwis, który w przeciwieństwie do VT może okazać się przydatny przede wszystkim… twórcom złośliwego oprogramowania.

VirusTotal to popularny serwis internetowy, umożliwiający przeskanowanie niemal dowolnych zbiorów pod kątem obecności złośliwego oprogramowania z wykorzystaniem kilkudziesięciu różnych technologii antywirusowych.

Należący obecnie do firmy Google, VT pozwala również na wygodne wykrywanie złośliwych witryn internetowych, a od niedawna posiada również funkcję analizowania zrzutów ruchu sieciowego.

Wydawać by się mogło, że w takiej sytuacji twórcy wirusów, robaków i rozmaitych botów są stałymi użytkownikami tej popularnej usługi, na bieżąco testując odporność swych dzieł na wykrycie.

Tak jednak nie jest, gdyż VirusTotal gromadzi oraz analizuje wszystkie przesłane informacje. Co więcej, wszystkie podejrzane wyniki są udostępniane wszystkim zaangażowanym w ten projekt producentom rozwiązań ochronnych oraz innym użytkownikom usługi.

Twórcy oraz infrastruktura ByteScannera

W efekcie twórcy podejrzanego oprogramowania unikają tego serwisu jak ognia, tak by producenci antywirusów nie otrzymali przypadkiem premierowych próbek, co znacznie mogłoby ograniczyć skuteczność nowych ataków.

Programiści pracujący po ciemnej stronie mocy są więc skazani na własne testy niewykrywalności antywirusowej lub też… inne serwisy podobne do ViusTotala, lecz pozbawione jego „wad”.

Przykładem takiego serwisu jest powstały niedawno ByteScanner, który oferuje darmowe (nie jest wymagana nawet rejestracja) wieloplatformowe testy antywirusowe. W ramach tego przedsięwzięcia znajdziemy wyraźne zapewnienie (w deklarowanych warunkach świadczenia usługi) o tym, że jakiekolwiek próbki nie są przekazywane producentom antywirusów.

[Q] Can you guarantee that the results will not be spread?

[A] Yes, we can guarantee that the results of your file will not be spread to any antivirus companies.

Czyli w wolnym tłumaczeniu, twórcy ByteScannera wyraźnie deklarują całkowitą ochronę wszelkich wyników przed ujawnieniem.

Kto więc będzie używał tego typu serwisu? Prawdopodobnie twórcy złośliwego oprogramowania zainteresują się jego możliwościami oraz prostotą i wygodą obsługi przy jednoczesnym braku wspomnianych „wad” najbardziej znanego serwisu tego typu.

Czy jednak ByteScanner ma również jakieś zupełnie legalne zastosowania? Twórcy deklarują chęć pomocy programistom testującym własne programy pod kątem fałszywych wykryć antywirusowych. Jest to zapewne jedna z możliwości.

Oczywiście również, gdy prowadzimy testy penetracyjne z wykorzystaniem ciekawych technik unikania antywirusów może nam zależeć na tym, by nasze rozwiązania pozostały powszechnie nieznane.

Miejmy tylko nadzieję, że ByteScanner rzeczywiście będzie wykorzystywany przede wszystkim w tego typu zastosowaniach, a nie przyczyni się do jeszcze większego wysypu „niewykrywalnych” złośliwych programów.

– Wojciech Smol, (wojciech.smol<at>sekurak.pl)