VirusTotal breidt aantal scripttalen waarin malware herkend kan worden uit

VirusTotal breidt het aantal scripttalen uit dat geanalyseerd kan worden voor kwetsbaarheden. De werking van de malware wordt vervolgens in natuurlijke taal uitgelegd. In eerste instantie was er enkel ondersteuning voor PowerShell-bestanden, maar nu is ook onder meer cmd toegevoegd.

De totale lijst van scripttalen die nu worden ondersteund is niet gegeven. VirusTotal noemt in zijn blogpost enkel Command Prompt, Batch, Shell en VBScript. Ook is de maximale bestandslimiet verdubbeld, zodat grotere bestanden op malware geanalyseerd kunnen worden. Daarnaast belooft VirusTotal dat de beschrijvingen van de Code Insight-tool 'bondiger' en 'gerichter' zijn, met een 'grotere nadruk op codegedrag'. Tot slot is de gebruikersinterface aangepast, zodat nu enkel nog de eerste regels van het malwarerapport direct worden getoond.

Het is de bedoeling dat de hoeveelheid ondersteunde scripttalen en maximale bestandgroottes in de toekomst verder worden uitgebreid. Ook moet het later mogelijk worden om binaries en executables te analyseren en om, naast de code zelf, ook 'contextuele informatie' te analyseren.

Code Insight werd in april uitgebracht. De AI-tool kan potentieel gevaarlijke bestanden die via VirusTotal worden geüpload, scannen op malware. Vervolgens kan de tool in 'normaal leesbare taal' aangeven wat er in de code staat en wat het programma doet. De tool geeft ook aan wat bepaalde onderdelen van de code doen. Volgens VirusTotal kijkt Code Insight alleen naar de daadwerkelijke code en niet naar metadata of gegevens die door antivirussoftware is toegevoegd. VirusTotal zegt dat onderzoekers de resultaten daarom ook nog altijd zullen moeten verifiëren om geen verkeerde conclusies te trekken.

Reacties (11)

[Cybermage]

Hmm hoop wel voor ze dat shell dan powershell is wat er ondersteund word en dat ze in toekomst vbscript gaan afvoeren dat is niet meer bij de tijd.
Misschien ook eens gaan nadenken om python in de plaats gaan zetten dan ben je temminste beetje toekomst bestendig.

[Reactie gewijzigd door Cybermage op 23 juli 2024 22:42]

[Bor]

Een scipttaal af voeren lijkt mij helemaal niet gewenst; je zorgt er dan direct voor dat de detectie onnodig afneemt.

[Cybermage]

Ga van de talen waar je tegen aan praat. Natuurlijk detectie moet blijven.
Als sterft vbscript wel uit omdat tegenwoordig overal wel uitstaat en terecht ook wel.

[boolean]

Ik ben nog geen enkele organisatie tegengekomen waar het niet mogelijk is om VBScript uit te voeren. Zelfs bij de grootste banken en verzekeraars waar ik heb gewerkt, wordt dat nog dagelijks gebruikt. Zowel binnen de Office applicaties als daarbuiten. Dus ik weet niet waar jij die "wijsheid" vandaan haalt.

[Cybermage]

Daarbuiten kan ik me niet meer voorstellen. Dat je nog met goed fatsoen een vbs file aftrapt.
Daar pak je tegenwoordig toch powershell voor?
Waar ik het niet over heb is binnen de office apps de macrotaal. Al is dat helemaal weg met 365.
Dus ook daar zie ik weinig toekomst in want je configureerd dan dingen in azure.

[SirBlade]

Voorlopig staan er nog genoeg .vbs files in verschillende subdirectories van c:\windows. Dus voorlopig zullen ze dat niet uit het OS gaan slopen.

adsutil.vbs
gatherNetworkInfo.vbs
IIsExt.vbs
prncnfg.vbs
prndrvr.vbs
prnjobs.vbs
prnmngr.vbs
prnport.vbs
prnqctl.vbs
pubprn.vbs
slmgr.vbs
SyncAppvPublishingServer.vbs
winrm.vbs

En dat is alleen de windows directory, onder program files zal er ook nog wel wat te vinden zijn, al na gelang wat je hebt geinstalleerd.

[MrMonkE]

Hmm hoop wel voor ze dat shell dan powershell is wat er ondersteund word en dat ze in toekomst vbscript gaan afvoeren dat is niet meer bij de tijd.

Ik hoop van niet.
Leuk, alle legacy scripts herschrijven.

[Cybermage]

Hmm vaak is het met powershell sneller op te lossen dan vbs.
Ach door dit soort geneuzel ben ik weggegaan bij windows.
Gewoon bash / python en als het echt moet C++

[Luchtbakker]

Ooit schreef ik een simpel powershell scriptje waarmee heel simpel een machine automatisch aan het AD toegevoegd werd door middel van username, password en AD groep. Tot op heden zien diverse virusscanners dat als Trojan. Sinds ik het heb omgezet naar een .exe geen last meer van.

Ik vraag me soms toch sterk af hoe sommige virusscanners functioneren als ze zo heftig reageren op dit soort simpele scriptjes.

[Bor]

Een normaal Powershell script bestaande uit bekende commandlets wordt echt niet zomaar als malware aangeduid, zeker niet zomaar als trojan en zeker niet door de meeste virusscanners. Dan doe je echt wat vreemds of gebruik je technieken welke ook terug te vinden zijn in malware.

[twiFight]

Als je de scanners binnen deze website bedoelt:
ik heb zeer sterk het idee dat er een aantal scanners tussen zitten die gewoon louche zijn en overal en nergens een detectie op geven in de hoop klanten te trekken. Want 'zij zijn de enigen die dat virus herkennen en de anderen niet, dus ik kan maar beter deze aanschaffen, dan ben ik beter beschermd'. Het zijn ook vaak verder onbekende en/of chinees klinkende scanners bij mij. Die detecteren in 90% van alle bestanden die ik scan zogenaamd een virus.

Als de meest bekende en als betrouwbaar te boek staande scanners allemaal niets vinden, dan beschouw ik zo'n resultaat als een false positive. En als ik dezelfde namen regelmatig terug zie komen beschouw ik de scanner gewoon als troep.

Voorbeelden: MaxSecure, Trapmine, Jiangmin, etc.