Tutoriales y Manuales
Entradas Mensuales
-
►
2023
(Total:
710
)
- ► septiembre (Total: 65 )
-
►
2022
(Total:
967
)
- ► septiembre (Total: 72 )
-
►
2021
(Total:
730
)
- ► septiembre (Total: 56 )
-
►
2020
(Total:
212
)
- ► septiembre (Total: 21 )
-
►
2019
(Total:
102
)
- ► septiembre (Total: 14 )
-
►
2017
(Total:
231
)
- ► septiembre (Total: 16 )
-
►
2016
(Total:
266
)
- ► septiembre (Total: 38 )
-
▼
2015
(Total:
445
)
- ► septiembre (Total: 47 )
-
▼
mayo
(Total:
35
)
-
Locker es el primer ransomware que espera instrucc...
-
Madrid ya navega con los 1.000 Mbps de Fibra FAST!...
-
El fiscal pide más de 5 años de cárcel para la cúp...
-
Comparativa de 18 antivirus para Linux
-
La herramienta de análisis IDA reinicia las claves...
-
Denegar ejecución de programas a un usuario de Win...
-
El 97% de los usuarios no es capaz de identificar ...
-
Las API's de Windows más utilizadas por el malware
-
Kali Linux presenta su contenedor Docker oficial b...
-
Moose, el gusano que ataca routers basados en Linu...
-
Rombertik: Un maestro de evasión de técnicas de an...
-
Nuevo ransomware para Android también pide rescate...
-
Obnoxious, otro miembro de Lizard Squad detenido e...
-
Nuevo truco para bypassear UAC en Windows
-
Google recomienda evitar el uso de la "Preguntas s...
-
La NSA planeaba espiar a los usuarios teléfonos mó...
-
Reporte trimestral Akamai ataques DDoS en 2015: SS...
-
Presentación del Libro CiberCrimen de Mercè Molist
-
Disco de recuperación de Windows 7 y 8
-
Adolescente de 15 años quema un ordenador de su co...
-
Nueva variante de TeslaCrypt permite chatear con l...
-
Parche de Oracle para la vulnerabilidad Venom en l...
-
Ofuscación de Macros maliciosas en Documentos Word
-
Una extensión para Chrome permite ver los amigos o...
-
Google cerrará el servicio PageSpeed el 3 de agosto
-
Microsoft Powershell DSC ahora disponible para Linux
-
Rombertik: malware que intenta escribir en el MBR ...
-
Tarjeta controladora (PCB Printed Circuit Board) d...
-
Office 2016 permitirá la edición de documentos en ...
-
Bokken, interfaz gráfica (GUI) para Radare y pyew
-
NoSuchApp para Android decubre apps que se conecta...
-
CCN-CERT: Medidas de seguridad contra el Ransomware
-
TeslaCrypt, una variante del ransomware CryptoLock...
-
Introducción a los ataques DDoS basados en JavaScript
-
Se cumplen 15 años del Virus I Love You
-
-
►
2014
(Total:
185
)
- ► septiembre (Total: 18 )
-
►
2013
(Total:
100
)
- ► septiembre (Total: 3 )
-
►
2011
(Total:
7
)
- ► septiembre (Total: 1 )
Blogroll
Etiquetas
seguridad
(
389
)
privacidad
(
349
)
ransomware
(
318
)
google
(
311
)
vulnerabilidad
(
262
)
Malware
(
242
)
android
(
227
)
Windows
(
220
)
tutorial
(
215
)
cve
(
207
)
manual
(
200
)
software
(
198
)
hardware
(
180
)
linux
(
120
)
twitter
(
109
)
ddos
(
86
)
Wifi
(
80
)
WhatsApp
(
75
)
herramientas
(
75
)
cifrado
(
73
)
hacking
(
72
)
app
(
63
)
sysadmin
(
60
)
Networking
(
49
)
nvidia
(
49
)
ssd
(
47
)
youtube
(
41
)
firmware
(
39
)
hack
(
39
)
adobe
(
38
)
office
(
38
)
firefox
(
34
)
contraseñas
(
32
)
eventos
(
32
)
antivirus
(
31
)
cms
(
30
)
anonymous
(
27
)
flash
(
27
)
juegos
(
26
)
programación
(
25
)
MAC
(
24
)
multimedia
(
22
)
apache
(
21
)
exploit
(
21
)
javascript
(
21
)
Kernel
(
19
)
ssl
(
18
)
SeguridadWireless
(
17
)
documental
(
16
)
conferencia
(
15
)
Forense
(
14
)
Debugger
(
13
)
lizard squad
(
13
)
técnicas hacking
(
13
)
auditoría
(
12
)
delitos
(
11
)
metasploit
(
11
)
Virtualización
(
10
)
adamo
(
9
)
reversing
(
9
)
Rootkit
(
8
)
Ehn-Dev
(
7
)
MAC Adress
(
6
)
antimalware
(
6
)
oclHashcat
(
5
)
Entradas populares
-
SQLmap es una de las herramienta más conocidas para hacer ataques SQLi (SQL Injection) escrita en Python. SQLmap se encarga de realizar pe...
-
El investigador de seguridad Naor Hodorov (aka @mansk1es) ha hecho público un exploit de prueba de concepto (PoC) para una vulner...
-
Numerosos usuarios de Windows 11 se han despertado hoy con la sorpresa de que su ordenador muestra publicidad en el menú de inicio. Este ca...
Las API's de Windows más utilizadas por el malware
miércoles, 27 de mayo de 2015
|
Publicado por
el-brujo
|
Editar entrada
En Binary Networks vemos un curioso experimento en el que analizaron una
gran cantidad de muestras de malware para ver las APIs más utilizadas.
En total reunieron 5TB de espacio con 549.035 ejecutables, todos únicos y
confirmados por VirusTotal. Luego mediante un script multihilo en
Python extrajeron todos los imports y contaron las veces en las que cada
muestra llamaba a una API.
De este análisis obtuvieron resultados muy interesantes. En total hubo 21.043 muestras sin importaciones mientras que 527.992 por lo menos importaron una API. Es decir, sólo el 3,8% de las muestras no tenía ninguna importación. Eso significa que menos del 5% de los archivos se empaquetaron bien sin importaciones estáticamente incluyendo sus dlls, o estaban usando sus propios métodos para la búsqueda e importación de APIs fuera de la tabla de importación del propio PE.
Del resto, de los que si hacían importaciones, hubo un total de 120.126 API importadas de forma exclusiva, un número mucho más grande de lo imaginado.
Las 10 APIs más utilizadas, con un gran escalón respecto al resto, son las siguientes:
También que quedó claro es que una serie de APIs estaban siendo importados por 3 ª partes de dll.
Por ejemplo av_dup_packet fue importada desde una dll de audio (http://ffmpeg.org/doxygen/0.6/avpacket_8c.html).
Es probable que estas API se utilizan para romper el sandbox de los AntiVirus (y sandboxes de herramientas par aanalizar malware como Cuckoo).
Además hay una serie de importaciones que son igual a los alias de Windows API como vlc_memset (alias a memset).
Estos son dos técnicas interesantes que trabajarían grande para evadir un producto AV basado heurística o firma que está examinando las importaciones.
Para ver algunas otras conclusiones interesantes y obtener el PDF detallado con los resultados visita:
https://www.bnxnet.com/top-maliciously-used-apis/
Fuente:
http://www.hackplayers.com/2015/05/las-apis-mas-utilizadas-por-malware.html
De este análisis obtuvieron resultados muy interesantes. En total hubo 21.043 muestras sin importaciones mientras que 527.992 por lo menos importaron una API. Es decir, sólo el 3,8% de las muestras no tenía ninguna importación. Eso significa que menos del 5% de los archivos se empaquetaron bien sin importaciones estáticamente incluyendo sus dlls, o estaban usando sus propios métodos para la búsqueda e importación de APIs fuera de la tabla de importación del propio PE.
Del resto, de los que si hacían importaciones, hubo un total de 120.126 API importadas de forma exclusiva, un número mucho más grande de lo imaginado.
Las 10 APIs más utilizadas, con un gran escalón respecto al resto, son las siguientes:
#1 GetProcAddress 394546
#2 LoadLibraryA 344607
#3 GetModuleHandleA 305054
#4 ExitProcess 301073
#5 VirtualAlloc 244900
#6 WriteFile 223855
#7 GetModuleFileNameA 221006
#8 CloseHandle 220358
#9 RegCloseKey 213748
#10 VirtualFree 211790
También que quedó claro es que una serie de APIs estaban siendo importados por 3 ª partes de dll.
Por ejemplo av_dup_packet fue importada desde una dll de audio (http://ffmpeg.org/doxygen/0.6/avpacket_8c.html).
Es probable que estas API se utilizan para romper el sandbox de los AntiVirus (y sandboxes de herramientas par aanalizar malware como Cuckoo).
Además hay una serie de importaciones que son igual a los alias de Windows API como vlc_memset (alias a memset).
Estos son dos técnicas interesantes que trabajarían grande para evadir un producto AV basado heurística o firma que está examinando las importaciones.
Para ver algunas otras conclusiones interesantes y obtener el PDF detallado con los resultados visita:
https://www.bnxnet.com/top-maliciously-used-apis/
Fuente:
http://www.hackplayers.com/2015/05/las-apis-mas-utilizadas-por-malware.html
Enviar por correo electrónico
Escribe un blog
Compartir con Twitter
Compartir con Facebook
Compartir en Pinterest
0 comentarios :
Publicar un comentario
Los comentarios pueden ser revisados en cualquier momento por los moderadores.
Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.
Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.