עקרונות הפעולה של אנטי וירוס Windows Defender

בלי כתוביותעם כתוביות

מילון מושגים:

אנטי וירוס - תוכנה שמזהה, חוסמת ומסירה תוכנות זדוניות מהמחשב, ומנטרת פעילות חשודה.

וירוס - תוכנה זדונית שמשכפלת את עצמה ומתפשטת ממחשב למחשב, ועלולה לפגוע בקבצים או בפעולת המערכת.

ענן - אספקת משאבי מחשוב כשירות דרך האינטרנט, כמו שרתים, אחסון ותוכנות, במקום להחזיק אותם מקומית.

מכונה וירטואלית - מחשב מדומה שרץ כתוכנה על גבי מחשב פיזי, עם מערכת הפעלה ומשאבים משלו, בבידוד מהמערכת המארחת.

PowerShell - סביבת שורת פקודה ושפת סקריפטים של מיקרוסופט לניהול אוטומטי של מערכות Windows ושירותים.

תוכנה זדונית - כל תוכנה שנועדה לפגוע במערכת, לגנוב מידע או להשתלט עליה, כמו וירוסים, תולעים וסוסים טרויאנים.

HTTPS - הגרסה המאובטחת של HTTP, שמצפינה את התקשורת בין הדפדפן לשרת בעזרת TLS ומאמתת את זהות האתר.

חתימה דיגיטלית - מנגנון מבוסס הצפנה שמוכיח את מקור המידע ושלא שונה בדרך, בעזרת המפתח הפרטי של החותם.

עקרונות הפעולה של אנטי וירוס Windows Defender

בשיעור זה נפתח פרק חדש על עקיפת אנטי-וירוסים, נלמד כיצד פועל Windows Defender המובנה בווינדוס 10 ובכלל כיצד פועלים אנטי-וירוסים, בשתי רמות הגנה מרכזיות, סריקת חתימות וניטור התנהגות בסנדבוקס.

נושאי הסיכום המוצגים בשיעור:

1. הפרק החדש: בהרצאות הקרובות נלמד כיצד עוקפים אנטי-וירוס, והיריב המרכזי שלנו הוא Windows Defender המובנה בווינדוס 10, אנטי-וירוס חזק ואיכותי שמיקרוסופט פיתחה ושיפרה במשך שנים.

2. הגדרות הברירת מחדל של Defender: האנטי-וירוס כולל הגנה בזמן אמת והגנת ענן, ואנו מנטרלים את החלקים הקשורים לענן כדי להתרכז באנטי-וירוס המקומי בלבד.

3. העברת דוגמאות לענן: Defender יודע לשלוח קוד חשוד לענן של מיקרוסופט לניתוח מעמיק, ולכן מכבים את אפשרויות ה-Cloud Delivery והשליחה האוטומטית של דוגמאות, ואיננו מוסיפים שום אזורים פטורים מסריקה, כך שנותרת רק הסריקה המקומית בזמן אמת.

4. העקרונות זהים בכל האנטי-וירוסים: כל מה שיוסבר נכון לכל האנטי-וירוסים ולא רק ל-Defender, ולכן הבנת העקרונות נותנת ידע אוניברסלי.

5. רמה אסריקה, סריקת חתימות: לפני הרצת קובץ האנטי-וירוס סורק אותו ומחפש חתימות, טקסטים ופקודות אסורים שזוהו בעבר על ידי חוקרי אבטחת מידע, אשר כותבים עבורם חוקים המכונים Yara Rules.

6. חשיבות העדכון ורשימה שחורה: חתימות חדשות מתגלות כל הזמן ולכן חובה לעדכן את האנטי-וירוס, ומכיוון שאין אפשרות מעשית לייצר רשימה לבנה של כל התוכנות הטובות בעולם, האנטי-וירוס עובד במודל של רשימה שחורה וחוקים שתופסים תוכנות אסורות.

7. רמה ב', ניטור התנהגות בסנדבוקס: לאחר שהקובץ עבר את בדיקת החתימות, האנטי-וירוס מריץ אותו בארגז חול, מכונה וירטואלית מבודדת בצד, מנטר מה הקוד מנסה לעשות ומקבל החלטה האם הפעולה מסוכנת, לפני שהוא מאפשר להריץ אותו במחשב האמיתי.

8. זיהוי הסנדבוקס: כדי להתחמק מניטור ההתנהגות ניתן לשלב בקוד בדיקות שמזהות שאנו רצים בתוך מכונה וירטואלית מבודדת, למשל בדיקת גודל הדיסק הקטן המאפיין סנדבוקס, ובמקרה כזה להתנהג כתוכנה תמימה, ולהריץ את הקוד הזדוני רק על מחשב אמיתי.

9. VirusTotal: אתר שמריץ את הקובץ על עשרות אנטי-וירוסים מוכרים בחינם ובמהירות, וחוסך הקמת מכונות וירטואליות רבות עם אנטי-וירוסים שונים, אך החיסרון שהדוגמאות שמעלים אליו עוברות לחוקרי אבטחת המידע השותפים, מה שעלול להביא ליצירת חתימות חדשות לקוד שלנו.

10. AntiScan: אתר שסורק בחינם אך אינו מעביר את הדוגמאות הלאה, ולכן הוא הבחירה הנכונה למי שמייצר קוד זדוני ורוצה לבדוק אם הוא מתגלה, בעוד המשתמש התמים שקיבל קובץ דרך האינטרנט דווקא רוצה להשתמש ב-VirusTotal כדי שהקובץ יגיע לחוקרים.

11. AMSI, ממשק הסריקה של PowerShell: היום פקודות PowerShell עוברות דרך Anti-Malware Scan Interface, כלומר לפני הרצת כל פקודה PowerShell מעביר אותה לאנטי-וירוס וממתין לתשובה, וזה מנגנון שנועד לסתום פתח שהיה פתוח בעבר.

12. הדגמת החסימה: הדפסת מחרוזות רגילות עוברת בשלום, אך הכנסת מילה שנמצאת ברשימת המילים האסורות של האנטי-וירוס גורמת לחסימה עם הודעה מפורשת על חסימת אנטי-וירוס, ורק לאחר כיבוי ההגנה בזמן אמת הטקסט מודפס כרגיל.

13. ייצור קובץ זדוני בעזרת msfvenom: בקאלי ובהרשאות מנהל, msfvenom מייצא את ה-payload לקובץ חיצוני בפורמטים שונים, קובץ exe לשליחה, קוד PowerShell, ויז'ואל בייסיק ועוד, והדגמה של ייצוא payload מסוג reverse HTTPS עם הכתובת והפורט שלנו בפורמט שפת C אל קובץ טקסט.

14. אספקטים של הפצת הקובץ: שליחת קובץ exe דורשת התחשבות בחתימה דיגיטלית שמונעת חסימה על ידי הדפדפן, ולכן נעשה שימוש בטריקים כמו דחיסה ב-7-zip, העלאה לשירותי ענן עם לינק להורדה, או גרימת הקורבן להריץ קוד בצורות אחרות.

לסיכום, בשיעור זה הבנו את שתי רמות ההגנה של האנטי-וירוס, חתימות והתנהגות בסנדבוקס, הכרנו את חוקי ה-Yara, את ההבדלים בין VirusTotal ל-AntiScan מנקודות מבט שונות, את מנגנון ה-AMSI של PowerShell, והכנו את הקרקע לייצור קוד זדוני שיוגן מהסריקות, כשהעמקה בכל הנושאים ממתינה בהרצאות הבאות.

פרקי ההרצאה: עקרונות הפעולה של אנטי וירוס Windows Defender

תמלול ההרצאה: עקרונות הפעולה של אנטי וירוס Windows Defender

הטקסט המלא של הדקות הראשונות בהרצאה «עקרונות הפעולה של אנטי וירוס Windows Defender» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, בהרצאות הקרובות נלמד איך עוקפים אנטיווירוס ואנחנו הולכים להילחם בווינדוס 10 בדפנדר המובנה שם שזה אנטיווירוס מאוד מאוד חזק ואיכותי שמייקרוסופט עשו ושיפרו אותו במשך שנים והוא מגיע בילט אין מובנה בתוך ווינדוס 10 ולכן נורא חשוב ללמוד
00:20
איך הוא עובד ואיך עוקפים אותו בואו נראה קודם כל מה הגדרות ברירת המחדל שלו יש לו real time protection ויש לו גם cloud מה זה אומר Cloud? שהוא פונה לענן ונותן להם דוגמאות של קוד חשוד אנחנו עכשיו לא רוצים להסתבך עם בינה מלאכותית
00:39
ולנסות לעקוף את הענן החכם של מייקרוסופט אנחנו רוצים להתרכז קודם כל באנטיווירוס מקומי שעובד אצלי בלי קשר לענן אז אני מנתק Cloud Delivery שלא ישלח שום דבר לענן כי הוא מנסה להיות כזה חכם שאם יש לו חשד לפעולה כזאת עם מחשידה בתוך הקובץ, לשלוח אותה לענן לניתוח מעמיק.
01:03
אז אני מכבה את זה. אוטומטיק סמפל סאבמישן, זה מה שאמרנו, שהוא שולח את הדוגמאות למייקרוסופט. אני מכבה. ועוד הגנה שהם עשו נוספת, אני גם מכבה אותה וגם לא מכניס שום דבר לאקסקלוז'נס.
01:20
מה זה אומר אקסקלוז'נס? על מה לא להסתכל, על מה לדלג. שלא ידלג על כלום, יסרוק את כל המערכת אבל רק בצורה מקומית רק real time פרוטקשן רק סריקה מקומית אז כרגע חיביתי את הכל והשארתי רק real time פרוטקשן מה עושה real time פרוטקשן real time
01:39
פרוטקשן הזה יודע לעשות שני דברים באופן כללי כל מה שאני אספר לכם זה נכון לגבי כל האנטיווירוסים זה לא רק לגבי דפנדר כל האנטיווירוסים עובדים באותה שיטה ואנחנו הולכים ללמוד איך הם עובדים ואיך עוקפים אותם.
01:55
דבר ראשון שאנטיווירוס עושה, הוא סורק את הכובד לפני ההרצאה שלו ומחפש סיגנצ'רס, חתימות, טקסטים אסורים. זאת אומרת, אם חוקרי אבטחת מידע מגלים איזשהו וירוס, הם מזהים את הטקסט בפנים, את הפקודות שיש לו בפנים, וכותבים חוקי יארה, זה נקרא יארה רולס,
02:18
החוקים שתופסים את הווירוס הזה לפעם הבאה. ולכן נורא חשוב לעדכן את האנטיווירוסים כל הזמן כדי שיידעו את החתימות החדשות. חתימה זה למעשה הפקודות של הווירוס.
02:34
עכשיו, להם יש בעיה רצינית, כי כל יום מייצרים מיליוני תוכנות טובות, אז הם לא יכולים לעשות רשימה של כל התוכנות הטובות, את ה-white list, את הרשימה הלבנה של כל התוכנות הטובות, בלתי אפשרי לייצר, כי כל יום קם בן אדם וכותב איזושהי תוכנה חדשה.
02:53
מה הם עושים הם מייצרים רשימה של תוכנות אסורות רשימה שחורה וכותבים חוקיים שתופסים את התוכנות האסורות אז אנחנו צריכים קודם כל לעקוף את החתימה אחרי שאנחנו נעקוף את החתימה אנחנו מגיעים לשלב ב התנהגות זאת אומרת שהוא עושה מוניטורינג עוקב אחרי ההתנהגות שלנו בתוך מכונה וירטואלית מבודדת בתוך סנדבוקס זאת אומרת האנטיווירוס לפני
03:21
שהוא מפעיל את התוכנה שלנו במחשב האמיתי הוא מריץ אותה בסנדבוקס בארגז חול שזה למעשה מכונה וירטואלית מבודדת קטנה בצד רואה מה הקוד הזה מבצע מה הוא מנסה לעשות ומקבל החלטה האם הפעולה הייתה מסוכנת או לא זה נקרא לעקוב אחרי ההתנהגות בהייבר מוניטורינג זאת אומרת שזה שלב ב' עכשיו אנחנו יכולים לכתוב כל מיני פקודות כל מיני טריקים כדי להתחמק מהזיהוי הזה לדוגמה אנחנו נבדוק כמה
03:56
ג'יגה יש בהרדיסק ואם זה הרדיסק מאוד מאוד קטן אז כנראה שבודקים אותנו בתוך מכונה וירטואלית זאת אומרת אנחנו יכולים להכניס לקוד שלנו כל מיני תוספות כדי לזהות האם אנחנו בתוך מכונה וירטואלית מבודדת בתוך סנדבוקס בתוך ארגז חול מבודד ומנסים לבדוק אותנו או שזה מחשב אמיתי ורק אם אנחנו על מחשב אמיתי אנחנו נפעיל את הקוד הזדוני שלנו את הסוס הטרויאני אם
04:23
אנחנו בתוך סנדבוקס בתוך מכונה וירטואלית מבודדת אנחנו נצא כאילו אנחנו ילדים טובים ואז הוא יחשוב שזאת סתם תוכנה רגילה וזהו אז יש לנו שתי רמות של בדיקה בדיקת חתימות האם בכלל מותר להריץ את התוכנה הזאת ובדיקת התנהגות אחרי שמריצים אותה בסביבה המבודדת עוד משהו קטן שחשוב לספר לכם שאפשר לא להתקין מלא מכונות
04:46
וירטואליות עם מלא אנטיווירוסים אלא להשתמש באתרים כמו וירוס טוטאל שמפעיל המון סריקות אנטיווירוס על הקוד שלנו זאת אומרת אנחנו נותנים לו את הקובץ והוא מריץ אותו בכל האנטיווירוסים הידועים להגיד לי האם הקוד הזה זדוני או לא האתר הזה וירוס טוטאל חוסך לי את הצורך להקים עשרות מכונות וירטואליות
05:12
ובכל מכונה וירטואלית לשים אנטיווירוס אחר אז במקום שאני אעשה את זה עדנית הוא עושה את זה אוטומט ובחינם אבל מה הבעיה שהם לוקחים את הדוגמאות שאני נותן להם לבדיקה ומעבירים לחוקרי אבטחת מידע ואז ככה תופסים את הווירוס שאני מנסה לייצר הם תופסים אותו ומכניסים את החתימה שלו לרשימת החתימות שהם יודעים הם כותבים יארה רולס חוקי יארה וזה ממש לא טוב לנו ולכן יש אתר אחר שנקרא אנטי
05:42
סקן שהוא סורק לי בחינם ולא מעביר לאחרים כדאי להשתמש באנטי סקן אם אני רוצה לבדוק את הווירוס שאני מייצר מצד שני, הלקוח התמים שרוצה לבדוק את הקובץ שהוא קיבל דרך האינטרנט או הוריד כרגע מאיזשהו מקום, אולי מישהו מכיר את הווירוס הזה כדאי לו ללכת דווקא לווירוס טוטאל כי אז הוא חולק את הקובץ הזה עם כל חוקרי
06:07
אבטחת המידע השותפים שלהם תלוי מאיזה צד אתם, אם אתם בצד של הלקוח תלכו לווירוס טוטאל אם אתם בצד של האקר הפורץ, תלכו לאנטי-סקן כדי שהקוד שלכם לא יעבור לחוקרי אבטחת מידע.
06:20
עוד משהו שכדאי לציין, שפאואר-שייל, פקודות של פאואר-שייל שאנחנו מריצים, התחילו לעבור דרך אנטי-וירוס, דרך דפנדר. זאת אומרת, פאואר-שייל, לפני שהוא מריץ פקודה, הוא מעביר את זה דרך אינטרפייס, דרך ממשק של אנטי-מיילוור סקן אינטרפייס, שנקרא אמסי, אנטי מיילוויר סקן אינטרפייס למעשה פאורשל מעביר את כל הפקודות שאני הולך
06:44
לתת לו להרצה קודם כל דרך אנטיווירוס הוא מתחבר באינטרפייס בממשק התחברות לאנטיווירוס נותן לו את הקוד מחכה לתשובה ממנו רוצים לראות איך זה עובד?
06:56
סתם דוגמה אני לוקח טקסט סתם סטרינג ושם אותו בפאורשל הנה פאור של רגיל, הנה אני יכול לעשות גרש אההה והוא ידפיס לי את האההה, גרש ביביבי והוא ידפיס לי ביביבי.
07:09
נראה תמים, אבל אם אני אכניס לו מילה MSI Utils, שימו לב, טקסט פשוט, כלום לא עושה. בלוגד, שהוא חוסם אותו ביור אנטיווירוס סופטוור.
07:20
בלוגד ביור אנטיווירוס סופטוור, אנחנו רואים פה, זה ממש כתוב פה שחור על גבי לבן, יותר נכון אדום על גבי כחול, שאנטיווירוס חוסם, למה?
07:30
המילה הזאת נמצאת אצלו ברשימת המילים האסורות וזה החתימות שאני דיברתי עליהן שהוא מחפש איזשהו טקסט ואם יש את הטקסט הזה הוא מעיף את התוכנה מסמן אותה כחשודה אם אני אכבה אנטיווירוס אם אני אכנס לאנטיווירוס ואני אכבה פה ב-manage settings את ה-real time protections הנה
07:51
אתם רואים חיביתי אותו הוא נותן לי פה התראה שהאנטיווירוס שלך מכובד תדליק אותו אני אומר לו תודה רבה לא צריך turn on אני לא רוצה אני אני מוריד התראה והוא מחובה כרגע.
08:07
ברגע שהוא מחובה, אתם תראו שהסטרינג הזה מודפס רגיל. זאת אומרת, אני מראה לכם שהפאואר של לא עוקף את האנטיווירוס כמו שהיה פעם, אלא היום הוא מעביר כל פקודה לאנטיווירוס הזה.
08:22
בואו נתחיל לייצר וירוס ובואו ננסה לעקוף את המערכת, איך אנחנו בכלל מייצרים את ה-payload, את הקוד הזדוני שלנו. אז אנחנו הולכים לקאלי, משתמשים בתוכנת MSF ונום.