Malware Analysis
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
https://www.jaiminton.com/cheatsheet/DFIR/#
Use this script to download and merge all the yara malware rules from github: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9 Create the κανόνες directory and execute it. This will create a file called malware_rules.yar which contains all the yara rules for malware.
Μπορείτε να χρησιμοποιήσετε το εργαλείο YaraGen για να δημιουργήσετε κανόνες yara από ένα δυαδικό αρχείο. Δείτε αυτά τα σεμινάρια: Μέρος 1, Μέρος 2, Μέρος 3
Capa ανιχνεύει δυνητικά κακόβουλες ικανότητες σε εκτελέσιμα: PE, ELF, .NET. Έτσι θα βρει πράγματα όπως τακτικές Att&ck ή ύποπτες ικανότητες όπως:
έλεγχος για σφάλμα OutputDebugString
εκτέλεση ως υπηρεσία
δημιουργία διαδικασίας
Αποκτήστε το στο Github repo.
IOC σημαίνει Δείκτης Συμβιβασμού. Ένα IOC είναι ένα σύνολο συνθηκών που προσδιορίζουν κάποιο δυνητικά ανεπιθύμητο λογισμικό ή επιβεβαιωμένο κακόβουλο λογισμικό. Οι ομάδες Blue χρησιμοποιούν αυτόν τον τύπο ορισμού για να αναζητούν αυτόν τον τύπο κακόβουλων αρχείων στα συστήματα και δίκτυά τους. Η κοινή χρήση αυτών των ορισμών είναι πολύ χρήσιμη καθώς όταν εντοπίζεται κακόβουλο λογισμικό σε έναν υπολογιστή και δημιουργείται ένα IOC για αυτό το κακόβουλο λογισμικό, άλλες ομάδες Blue μπορούν να το χρησιμοποιήσουν για να εντοπίσουν το κακόβουλο λογισμικό πιο γρήγορα.
Ένα εργαλείο για τη δημιουργία ή την τροποποίηση IOCs είναι το IOC Editor. Μπορείτε να χρησιμοποιήσετε εργαλεία όπως το Redline για να αναζητήσετε καθορισμένα IOCs σε μια συσκευή.
Loki είναι ένας σαρωτής για Απλούς Δείκτες Συμβιβασμού. Η ανίχνευση βασίζεται σε τέσσερις μεθόδους ανίχνευσης:
Linux Malware Detect (LMD) είναι ένας σαρωτής κακόβουλου λογισμικού για Linux που κυκλοφορεί υπό την άδεια GNU GPLv2, σχεδιασμένος γύρω από τις απειλές που αντιμετωπίζονται σε κοινές φιλοξενούμενες περιβάλλοντα. Χρησιμοποιεί δεδομένα απειλών από συστήματα ανίχνευσης εισβολών στο δίκτυο για να εξάγει κακόβουλο λογισμικό που χρησιμοποιείται ενεργά σε επιθέσεις και δημιουργεί υπογραφές για ανίχνευση. Επιπλέον, τα δεδομένα απειλών προέρχονται επίσης από υποβολές χρηστών με τη δυνατότητα checkout του LMD και πόρους της κοινότητας κακόβουλου λογισμικού.
Εργαλεία όπως το rkhunter μπορούν να χρησιμοποιηθούν για να ελέγξουν το σύστημα αρχείων για πιθανά rootkits και κακόβουλο λογισμικό.
FLOSS είναι ένα εργαλείο που θα προσπαθήσει να βρει κρυμμένες συμβολοσειρές μέσα σε εκτελέσιμα αρχεία χρησιμοποιώντας διάφορες τεχνικές.
PEpper ελέγχει κάποια βασικά στοιχεία μέσα στο εκτελέσιμο (δυαδικά δεδομένα, εντροπία, URLs και IPs, κάποιους κανόνες yara).
PEstudio είναι ένα εργαλείο που επιτρέπει την απόκτηση πληροφοριών για εκτελέσιμα Windows όπως εισαγωγές, εξαγωγές, κεφαλίδες, αλλά θα ελέγξει επίσης το virus total και θα βρει πιθανές τεχνικές Att&ck.
DiE είναι ένα εργαλείο για να ανιχνεύει αν ένα αρχείο είναι κρυπτογραφημένο και επίσης να βρίσκει πακετάρισμα.
NeoPI είναι ένα σενάριο Python που χρησιμοποιεί μια ποικιλία στατιστικών μεθόδων για να ανιχνεύει κρυμμένο και κρυπτογραφημένο περιεχόμενο μέσα σε αρχεία κειμένου/σεναρίων. Ο προορισμός του NeoPI είναι να βοηθήσει στην ανίχνευση κώδικα κρυμμένου web shell.
PHP-malware-finder κάνει το καλύτερο δυνατό για να ανιχνεύσει κρυμμένο/ύποπτο κώδικα καθώς και αρχεία που χρησιμοποιούν συναρτήσεις PHP που συχνά χρησιμοποιούνται σε malwares/webshells.
Όταν ελέγχετε κάποιο δείγμα malware θα πρέπει πάντα να ελέγχετε την υπογραφή του δυαδικού αρχείου καθώς ο προγραμματιστής που το υπέγραψε μπορεί ήδη να είναι σχετικός με malware.
Αν γνωρίζετε ότι κάποιο φάκελο που περιέχει τα αρχεία ενός web server ενημερώθηκε τελευταία σε κάποια ημερομηνία. Ελέγξτε την ημερομηνία που δημιουργήθηκαν και τροποποιήθηκαν όλα τα αρχεία στον web server και αν κάποια ημερομηνία είναι ύποπτη, ελέγξτε αυτό το αρχείο.
Αν τα αρχεία ενός φακέλου δεν έπρεπε να έχουν τροποποιηθεί, μπορείτε να υπολογίσετε το hash των αρχικών αρχείων του φακέλου και να τα συγκρίνετε με τα τρέχοντα. Οτιδήποτε τροποποιηθεί θα είναι ύποπτο.
Όταν οι πληροφορίες αποθηκεύονται σε logs μπορείτε να ελέγξετε στατιστικά όπως πόσες φορές κάθε αρχείο ενός web server προσπελάστηκε καθώς ένα web shell μπορεί να είναι ένα από τα πιο.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
