next up previous contents
Successivo: Stealth Viruses Su: Crittoanalisi del polimorfismo Precedente: Come rilevarli ed attaccarli

I limiti di questi attacchi

Quasi tutti i polymorphic engine possono essere rotti usando queste semplici tecniche di crittoanalisi. Le cose possono diventare più complesse se si utilizzano più strati di cifratura.

Supponiamo che un motore cifri ciascuna unità con un ADD ed uno XOR:

eqnarray1368

Si vede facilmente che:

eqnarray1370

Ma ora abbiamo bisogno di ricavare o eliminare la chiave tex2html_wrap_inline2528 che non è tanto facile essendoci lo XOR nel mezzo. Con ulteriori altri strati di cifratura, diventa praticamente impossibile decifrare, ed il peso di ciò ricade tutto sulla complessità della routine di cifratura. Per tale motivo i virus non utilizzano (ancora) schemi di cifratura più complessi come il DES, IDEA, RC5, etc., che porterebbero a virus più grandi, più lenti e quindi facili da rilevare.



Aniello Castiglione e Gerardo Maiorano < anicas,germai@zoo.diaedu.unisa.it >