RevStealer оценивает среду для обнаружения песочниц и виртуальных систем

Сравнение исследованных полезных нагрузок выявило совпадение логики противодействия анализу и поведения при оценке среды, а также пересечения в инфраструктуре. Эти характеристики подтверждают атрибуцию конечной полезной нагрузки к RevStealer.

RevStealer использует взвешенную оценку среды для обнаружения песочниц и виртуализированных систем. Процедура проверяет:

• характеристики дисплея и графического процессора;
• топологию ЦП;
• запущенные процессы;
• объём физической памяти;
• время работы системы;
• ускорение сна;
• поддержку аппаратного кодирования H.264;
• согласованность данных CPUID.

Вместо одного индикатора ВПО учитывает несколько сигналов и присваивает им баллы. Когда их сумма достигает 7, образец сбрасывает внутреннее состояние и завершает работу после короткой задержки случайной длительности. Для запуска этой реакции может хватить одного сильного показателя среды. Несколько более слабых показателей также могут привести к достижению порога.

В отчёте проверка поддержки аппаратного кодирования H.264 названа отличительной особенностью. Анализ выявил подпрограмму FUN_140005FFC, которая отвечает за взвешенную оценку и обнаружение песочниц или виртуализированных систем.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.