Шпион против шпиона: новый инструмент для автоматического удаления вредоносных программ может остановить большинство вредоносных программ, управляемых удалённо

Кибератаки могут нарушить рабочий процесс, поставить под угрозу конфиденциальную информацию клиентов и стоить корпорациям и правительствам миллионы долларов. Ботнет — сеть, заражённая вредоносным ПО, — может привести к особенно серьёзным последствиям. Новый инструмент Технологического института Джорджии автоматизирует процесс удаления вредоносного ПО, экономя инженерам часы работы, а компаниям — деньги.

Инструмент ECHO обращает вредоносное ПО против него самого, используя встроенные механизмы обновления и предотвращая восстановление ботнетов. ECHO на 75% эффективен при удалении ботнетов. Раньше на удаление вредоносного ПО уходили дни или недели, но теперь это можно сделать за несколько минут. Как только служба безопасности понимает, что их система взломана, они могут запустить ECHO, который работает достаточно быстро, чтобы предотвратить взлом ботнета и выход из строя всей сети.

«Понять поведение вредоносного ПО обычно очень сложно, и это не приносит инженеру особой пользы, поэтому мы создали автоматическое решение», — сказал Рунзе Чжан, аспирант Школы кибербезопасности и конфиденциальности (SCP) и Школы электротехники и вычислительной техники.

Исследователи представили доклад «Вакцина-автостопщик: повышение эффективности устранения ботнетов с помощью повторного использования удалённого кода» на февральском симпозиуме по сетевой и распределённой системной безопасности (NDSS 2025). Код ECHO с открытым исходным кодом доступен на GitHub.

Предыстория ботнета

Ботнеты представляют собой проблему с 1980-х годов, а в последнее время их эффективность возросла. Например, в 2019 году вредоносное ПО под названием Retadup скомпрометировало системы Windows по всей Латинской Америке. Чешская компания по кибербезопасности Avast в сотрудничестве с правительством Франции устранила этого бота. Они провели обратный инжиниринг вредоносного ПО, фактически создав «вакцину» от него. Каким бы эффективным ни было это решение, его было нелегко воспроизвести.

Однако Брендан Сальтаформагжио увидел в этом возможность.

«Это действительно хороший подход, но он был чрезвычайно трудоёмким, — сказал Сальтаформагжио, доцент кафедры SCP. — Поэтому моя группа собралась вместе и поняла, что нам нужно провести исследование, чтобы сделать этот метод научным, систематическим, воспроизводимым, а не разовой, основанной на человеческом труде, жалкой попыткой».

Сбой ботнета

ECHO устраняет вредоносное ПО в три этапа. Сначала он определяет, как вредоносное ПО внедряет свой вредоносный код. Затем ECHO выявляет возможности этого механизма внедрения и определяет, как их можно использовать для устранения последствий. Далее он создаёт код для устранения последствий, который использует те же механизмы для отключения вредоносного ПО. Этот код тестируется и в конечном итоге внедряется в систему. Команда протестировала ECHO на 702 образцах вредоносного ПО для Android и успешно остановила 523 из них.

Они надеются, что успех ECHO остановит злоумышленников.

«В нашей лаборатории мы подходим к решению проблем таким образом, чтобы найти компромисс между усилиями злоумышленников и нашими усилиями по борьбе с ними, — сказал Сальтаформагжио. — Мы никогда не сможем найти идеальное решение, но мы можем поднять планку настолько высоко, что злоумышленникам не будет смысла использовать вредоносное ПО таким образом».

С помощью таких инструментов, как ECHO, ботнеты можно удалить до того, как они нанесут экономический и операционный ущерб. Вредоносное ПО постоянно развивается, но Сальтаформагжио и его команда совершенствуют свои методы вместе с ним. Следующая атака вредоносного ПО неизбежна, но решение тоже есть.

Источник: Tech Xplore