Многие разработчики знакомы с исполняемыми упаковщиками, такими как UPX, это инструменты, предназначенные для уменьшения размера исполняемых файлов путем их сжатия. Это создает проблему для антивирусных продуктов, поскольку изменяет внешний вид исполняемых файлов.

Поставщики антивирусов решают эту проблему двумя способами. Сначала они пишут специальные распаковщики, чтобы обратить вспять работу наиболее распространенных упаковщиков, а затем используют эмуляцию для обработки менее распространенных и пользовательских упаковщиков. Проблема обоих этих решений заключается в том, что они чрезвычайно сложны и подвержены уязвимостям; сделать код, подобный этому, чрезвычайно сложно, создавая ключевые точки проекта. Рекомендуют «песочницу» и жизненный цикл разработки безопасности, но продавцы здесь часто будут срезать углы. Из-за этого распаковщики и эмуляторы остаются огромным источником уязвимостей, мы писали о примерах в Comodo, ESET, Kaspersky, Fireeye и многих других.
Стоит рассмотреть пример с Symantec и Norton Antivirus. Эта уязвимость имеет необычную характеристику: Symantec запускает свои распаковщики в ядре.
Читать дальше →