Язык D и аверы

Тема в разделе "WASM.HEAP", создана пользователем M0rg0t, 12 сен 2021.

  1. M0rg0t

    M0rg0t Well-Known Member

    Публикаций:
    0
    Регистрация:
    18 окт 2010
    Сообщения:
    1.574
    С подачи Rel заинтересовался языком D. Собрал хеллоуворлд и просканил на виртотале - как обычно, порадовали наши "друзья" аверы.
    1 скан. режим -betterC (нет эксепшнов и чего-то еще, файл получается размером 74 кб). Палит 6 недоаверов , среди которых, как ни странно, VBA (был о нем лучшего мнения).

    2 скан - настройки по дефолту, файл 400 кб, палит разный сброд в т.ч. битдеф.

    Я уже привык, что ехе-шники на Асм дают 100 детектов, потому что там нестандартные РЕ , нет рантайма и так далее. Но с чего аверам не нравится D ? Вроде на нем малвари никто массово не писал пока что.
     

    Вложения:

    • aver.PNG
      aver.PNG
      Размер файла:
      25,8 КБ
      Просмотров:
      141
    • aver2.PNG
      aver2.PNG
      Размер файла:
      49,2 КБ
      Просмотров:
      139
  2. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    5.241
    У DMD компилятора, если мне память не изменяет, код находится в секции CODE, а не text. Может это подозрительно? Попробуй LDC компилятор просканить, там вроде стандартные секции.
     
  3. M0rg0t

    M0rg0t Well-Known Member

    Публикаций:
    0
    Регистрация:
    18 окт 2010
    Сообщения:
    1.574
    Rel, нет, сейчас .text называется в нем. Да как бы пофиг, добавить иконку и все прочее, и детекты собьются. Но сам факт удивляет. Или это новое поколение AI-аверов тупо детектит все подряд нативное?
     
  4. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    5.241
    Я помню на пхдейзе была презетнация по машинному обучению в касперском, там много спорных решений, да. От МЛя в аверах лучше не становится, хотя в теории это должно помогать от всяких полиморфов, но на практике пройдет еще много лет, пока аверы разберуться, как МЛ применять в своих продуктах. Но вообще вряд ли это относится к машинному обучению, просто аверы - гуан собачий.
     
    M0rg0t нравится это.
  5. Intro

    Intro Active Member

    Публикаций:
    0
    Регистрация:
    29 авг 2009
    Сообщения:
    561
    На мои асм консоль программки только пару тройку аверов агрятся. Не нравится им нестандартный стартовый код, хотя это уже самый настоящий стандартный отлаженный код.
    ЗЫ
    Забавно, но даже стажёр, с помощью идушки, за одну минуту докажет полную безопасность моих файлов.
    --- Сообщение объединено, 12 сен 2021 ---
    ЗЫ
    Некоторые аверы уже добавили мой стартовый код в исключения, т.к. один перестал агрится.
     
  6. M0rg0t

    M0rg0t Well-Known Member

    Публикаций:
    0
    Регистрация:
    18 окт 2010
    Сообщения:
    1.574
    Intro, c асма я давно не удивляюсь, как и Си или дельфи там.
    странно, что агрятся на языки, на которых как бы ничего не создавалось.
     
  7. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    5.241
    Они скорее всего агрятся не на что-то "черного" софта в этих исполняемых файлах, а на то, что они не похожи на экзешники "белого" софта.
     
    M0rg0t нравится это.
  8. im.

    im. Active Member

    Публикаций:
    0
    Регистрация:
    16 сен 2017
    Сообщения:
    310
    Вероятно кто-то наклепал на D лодеров и закрепов, в АВ конторе какой-то лох не понял, что это стандартный стаб компилера D и теперь детектит все подряд. Порядочный человек в АВ контору работать не пойдет, поэтому контингент там из маргиналов различных. Хэкеры нагенерили миллионы вариаций и морфов, до такой степени выросла параноя у АВ, что они работают по белым спискам, у них там апрувленные бинари имеют 0 детектов, а все остальное с ровного места жестко палится. И чем более редкий файлик бинаря, тем больше его дрочат в облаках всяких.

    Простыми словами АВ индустрия, в виду некомпетентности, перешла к тоталитаризму. Сейчас легче жить под линем, какие-то свободы хоть.
     
  9. ormoulu

    ormoulu Well-Known Member

    Публикаций:
    0
    Регистрация:
    24 янв 2011
    Сообщения:
    1.208
    Антивирусы могут беспокоиться тупо от отсутствия валидной подписи.
    ЗЫ: мне на днях виндовс дефендер снес мюторрент как нежелательную программу. И дистрибутивы сожрал лежавшие в двух разных местах. Ссылки в меню пуск оставил, что интересно.
     
  10. f13nd

    f13nd Well-Known Member

    Публикаций:
    0
    Регистрация:
    22 июн 2009
    Сообщения:
    1.953
    "Хеур" или "дженерик" как бэ указывают на эвристический анализ - древнюю гавнотехнологию детекта с погрешностью около 100%. "АИ скоре" это намек новомодную продвинутую гавнотехнологию, где мозг даже тупого человека ни разу не поучаствовал в создании критериев для детекта. Это как платяную вошь обучать детекту вирусов. Такие детекты стоит воспринимать только как критерий паршивости антивируса. Кстати касперского в списке нету, еще одно подтверждение, что в число паршивых он не входит.
     
    Indy_ нравится это.
  11. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    5.241
    Ни чуть не защищаю аверов, но нужно понимать, что ML дает хорошие результаты и вычисляет редко уловимую схожесть в тех семплах, на которых он обучался. Но для этого нужно еще и выбрать правильный алгоритм, правильно подготовить обучающую выборку и тд. Я далеко не уверен, что то, как реализован ML в Касперском и других аверах, является наиболее эффективным решением. Тот же фильтр Блума на строках, кажется странным решением. Понятно, что это оптимизация, но дает ли она хороший результат в плане детектов? Мне кажется, что не должна.
     
  12. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    4.775
    Rel,

    > ML дает хорошие результаты и вычисляет редко уловимую схожесть в тех семплах

    Сомнительное утверждение. Чтобы нейронка выдала какой никакой результат нужен датасет, причём в данном случае малварных семплов, которых нет тк на этом никто их не собирал. Так на чём обучать нейронку ?

    Скорее всего штатный эвристик по пе формату, энтропия и тп. Авер может даже и не знает про этот яп.
     
  13. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    5.241
    Лол, ты же сам гонял тысячи семплов малвари, а теперь удивляешься откуда их брать? Уж у Женьки Касперского их целая куча, особенно с введением в их продукт облачных технологий. Вот тут, например, утверждается, что ихняя обучающая выборка была 300 миллионов семплов: https://standoff365.com/phdays10/sc...e/adversarial-attacks-on-malware-classifiers/

    Если ты про малварь на конкретно Дэ, то внимательно читай моё сообщение, никакого отношения конкретно к малвари на Дэ мое утверждение не имеет. Только к малваре в общем.
     
  14. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    4.775
    Rel,

    Имеется ввиду сборки на том самом D. Я не видел никогда, там что билдер используется левый, врядле хотя можно посмотреть и потестить. Это займёт много времени, что бы хоть простую последовательность апи вызвать. Всегда есть приоритет: сигнатуры -> эмуляция -> эвристик -> датасет.
     
  15. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    5.241
    Хз, по идее сборки -betterC не должны существенно отличаться кодом от Цэ. Обычные сборки имеют жирную стандартную библиотеку в них (Phobos называется вроде), но в ней тоже не должно быть подозрительного кода, там всякие RTTI-таблицы у классов, типа как в Го. Надо будет самому собрать и посмотреть, чего там такого нестандартного, из-за чего аверы перевозбуждаются.
     
  16. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    4.775
    Rel,

    Я не видел никогда сабжевые билды, это не нужно всегда работают общие принципы по детекту. В этой цепочке от сигнатур до датасета накапливается ошибка, последнее для детекта имхо вовсе не применимо. Бинарь можно криптовать как угодно и это делает принципиально не применимым детект на основе обучения. Ошибки будут 10 из 10, тк нс попытается найти подобие на незнакомом семпле. Глупая затея.
     
  17. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    5.241
    Если нейронка обучится на достаточном количестве семплов одного и того же криптора, то сможет его детектить. Так или иначе будут какие-то общие фрагменты кода или данных между всеми семплами. Как ты не обфусцируй или не морфь код, все равно какие-то фрагменты или трансформации кода или данных будут общими между всеми семплами.

    Посмотри презентацию, что я скинул, там в общих чертах описывается, как ML работает в Касперском, и какие у него есть недостатки.
     
  18. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    4.775
    Rel,

    Это получается те самые сигнатуры. Технология поиска подобий не применима к малварке.
     
  19. Rel

    Rel Well-Known Member

    Публикаций:
    2
    Регистрация:
    11 дек 2008
    Сообщения:
    5.241
    Ну и да и нет. На больших объемах семплов и с работающим облаком и сендбоксами нормально работающее машинное обучение выгоднее, можно экономить на зарплатах "дятлов". Да и потом та же нейронка способна выявить более сложно уловимые подобия в массивах данных. Чтобы какой-то хитрый морфер сигнатурно детектировать нужно, чтобы какой-то "дятел" посидел и алгоритмически составил сложную сигнатуру или несколько сигнатур для одного семейства, а нейронка может сама это сделать, после того, как облако или "дятлы" установили, что это семплы из одного семейства.
     
  20. Indy_

    Indy_ Well-Known Member

    Публикаций:
    4
    Регистрация:
    29 апр 2011
    Сообщения:
    4.775
    Rel,

    Видос есть от известного кардера с идой и прочей мелочью:



    Учитывая их уровень и инструменты, про какие то экзотические" технологии нет смысла говорить. Они простейший крипт вирту и тп не разматают с таким подходом.