Полиморфная малварь.

Полиморфная малварь использует слой шифрования/упаковки и небольшой мутирующий декриптор, благодаря чему каждая копия файла выглядит для сигнатурных антивирусов по-разному, хотя расшифрованная нагрузка идентична. Это сводит на нет хеш-сигнатуры и побайтовое сравнение. Полиморфные движки используют перестановку инструкций, мусорный код и переменный выбор регистров. В отличие от метаморфной малвари, сам payload не переписывается — меняются только обёртка и декриптор.

Технике не одно десятилетие. Вирус 1260 (V2PX), написанный Марком Уошберном в 1990 году на основе дизассемблированного Ральфом Бургером вируса Vienna, широко считается первым полиморфным вирусом: он рандомизировал процедуру расшифровки, чтобы менять сигнатуру. В начале 1992 года Mutation Engine (MtE) Dark Avenger превратил полиморфизм в переиспользуемый инструментарий, который мог подключить любой автор вирусов, генерируя новый декриптор и случайный ключ при каждом заражении; Norton сообщал о примерно 900 000 обнаруженных мутаций к концу 1992 года. Современные загрузчики и упаковщики применяют ту же идею в широком масштабе.

Поскольку после распаковки нагрузка неизменна, эффективная защита уходит от байтов файла: поведенческая/EDR-телеметрия, сканирование памяти после отработки декриптора, правила YARA по расшифрованным строкам в памяти, детонация в песочнице и ML-классификаторы, обученные на динамических признаках.

flowchart LR
  A[Неизменная нагрузка] --> B[Шифровать случайным ключом]
  B --> C[Добавить мутирующий декриптор + мусорный код]
  C --> D[Новый уникальный файл на каждое заражение]
  D -->|обходит| E[Сигнатурный/хеш AV]
  D --> F[При запуске: декриптор распаковывает в памяти]
  F --> G[Раскрывается идентичная нагрузка]
  G -->|ловится| H[EDR / скан памяти / поведенческий ML]