Елизаров Дмитрий Александрович, кандидат технических наук, доцент; доцент кафедры «Информационная безопасность»,
644046, г. Омск, пр. Маркса, 35
Dmitry A. Elizarov, Cand. Sci.(Eng.), Assoc. Prof., Department «Information security»,
35 Marx Ave., Omsk 644046
Алексей Викторович Катков, студент,
644046, г. Омск, пр. Маркса, 35
Alexey V. Katkov, student,
35 Marx Ave., Omsk 644046
Цель. В настоящее время главным способом атак на организации является вредоносное ПО (ВПО). Проблема усиления защиты от такого способа атаки остается актуальной и требует новых подходов. Основная задача – анализ ВПО для оценки угроз и своевременное обнаружение и принятия мер.
Метод. Для анализа следует использовать изолированную среду с настроенным окружением и ПО.
Результат. В данной работе описан процесс создания изолированного стенда для анализа ВПО и проведен практический анализ файла malware.bin, взятого с учебного ресурса cyberdefenders.org. Для предотвращения воздействия на сеть, которая связывает две виртуальные машины, сконфигурированы сетевые интерфейсы. В результате анализа техник и особенностей, используемых в данном вредоносном ПО, было выявлено, что оно принадлежит к семейству банковских троянов Dridex. Для получения информации из данного семейства можно использовать инструмент AppGate Lab Dridex Toolkit.
Вывод. Основываясь на проведенном анализе с применением статических и динамических методов, можно разработать правила детектирования для дальнейшего определения ВПО.
Objective. Currently, the main method of attack on organizations is malware. The problem of strengthening protection against this type of attack remains relevant and requires new approaches. The main task is to analyze malware to assess threats and timely detection and take action.
Method. For analysis, you should use an isolated environment with a customized environment and software.
Result. This paper describes the process of creating an isolated stand for malware analysis and conducted a practical analysis of the malware.bin file taken from the cyberdefenders.org educational resource. Network interfaces are configured to prevent impact to the network that connects the two virtual machines. As a result of the analysis of the techniques and features used in this malware, it was revealed that it belongs to the Dridex family of banking Trojans. To obtain information from this family, you can use the AppGate Lab Dridex Toolkit.
Conclusion. Based on the analysis performed using static and dynamic methods, detection rules can be developed for further identification of malware.
The authors declare that there are no conflicts of interest present.