Krakoziaber Shylock определяет Remote Desktop Protocol !

Писатели вредоносных программ давно научились определять среду окружения с задачей маскировки или дезинформации противника. Грамотно написанный зловред не будет проявлять никакой активности при запуске в виртуальной машине или изображу так называемую ложную активность. Идея в том, чтобы затруднить обратную разработку программы и анализ вредоносного кода с стороны сотрудников антивирусных компаний. Финансовый троян Shylock, как и другие аналогичные программы, пытается скрыться от обнаружения и не проявляет себя при исполнении в виртуальной машине.


   Исследователи из компании Trusteer сообщают, что при анализе Shylock заметили и новый «трюк»: дроппер Shylock способен обнаруживать протокол RDP (Remote Desktop Protocol), который тоже часто используется при анализе вредоносного кода. Эксперты говорят, что это ведущий дело, когда вредоносная программа демонстрирует способность обнаруживать RDP. Дело в том, что исследователи могут запускать макет вируса на удалённой машине - и наблюдать за его поведением через RDP. Именно этот изложение предусмотрели писатели Shylock, так что в подобной среде программа не будет работать. Обнаружение RDP осуществляется близким образом. Дроппер динамически подгружает библиотеку Winscard.dll и будить миссию SCardForgetReaderGroupA(0, 0). Программа продолжает установку едва в том деле, если возвращаемое значение миссии равно 0x80100011 (SCARD_E_INVALID_VALUE) или 0x2 (ERROR_FILE_NOT_FOUND). Если дроппер исполняется локально, то возвращаемое значение равно 0x80100011, но в сессии RDP оно возвращает другую ошибку 0x80100004 (SCARD_E_INVALID_PARAMETER)

Authors of harmful programs have learnt to define for a long time the environment of an environment for the purpose of masking or misinformation of the opponent. Competently written зловред will not show any activity at start in the virtual car or will show so-called false activity. The idea in complicating return working out of the program and the analysis of a harmful code from employees of the anti-virus companies. Financial trojan Shylock, as well as other similar programs, tries to disappear from detection and does not prove at execution in the virtual car. Researchers from company Trusteer inform that at analysis Shylock have noticed also new "trick": дроппер Shylock it is capable to find out report RDP (Remote Desktop Protocol) which too is often used at the analysis of a harmful code. Experts say that it is the first case when the harmful program shows ability to find out RDP. The matter is that researchers can start the sample of a virus by the remote car — and to observe of its behaviour through RDP. This scenario was provided by authors Shylock so in the similar environment the program will not work. Detection RDP is carried out as follows. Дроппер dynamically подгружает library Winscard.dll also causes function SCardForgetReaderGroupA (0, 0). The program continues installation only in the event that returned value of function equally 0x80100011 (SCARD_E_INVALID_VALUE) or 0x2 (ERROR_FILE_NOT_FOUND). If дроппер it is executed locally returned value is equal 0x80100011, but in session RDP it returns other error 0x80100004 (SCARD_E_INVALID_PARAMETER)