Malware Analysis
Last updated
Last updated
Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)
https://www.jaiminton.com/cheatsheet/DFIR/#
Use este script para descargar y fusionar todas las reglas de malware yara de github: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9 Cree el directorio rules y ejecútelo. Esto creará un archivo llamado malware_rules.yar que contiene todas las reglas yara para malware.
Puedes usar la herramienta YaraGen para generar reglas yara a partir de un binario. Consulta estos tutoriales: Parte 1, Parte 2, Parte 3
Capa detecta capacidades potencialmente maliciosas en ejecutables: PE, ELF, .NET. Así que encontrará cosas como tácticas de Att&ck, o capacidades sospechosas como:
verificar el error de OutputDebugString
ejecutarse como un servicio
crear proceso
Consíguelo en el repositorio de Github.
IOC significa Indicador de Compromiso. Un IOC es un conjunto de condiciones que identifican algún software potencialmente no deseado o malware confirmado. Los Blue Teams utilizan este tipo de definición para buscar este tipo de archivos maliciosos en sus sistemas y redes. Compartir estas definiciones es muy útil, ya que cuando se identifica malware en una computadora y se crea un IOC para ese malware, otros Blue Teams pueden usarlo para identificar el malware más rápido.
Una herramienta para crear o modificar IOCs es IOC Editor. Puedes usar herramientas como Redline para buscar IOCs definidos en un dispositivo.
Loki es un escáner para Indicadores Simples de Compromiso. La detección se basa en cuatro métodos de detección:
Linux Malware Detect (LMD) es un escáner de malware para Linux lanzado bajo la licencia GNU GPLv2, que está diseñado en torno a las amenazas enfrentadas en entornos de alojamiento compartido. Utiliza datos de amenazas de sistemas de detección de intrusiones en el borde de la red para extraer malware que se está utilizando activamente en ataques y genera firmas para la detección. Además, los datos de amenazas también se derivan de las presentaciones de los usuarios con la función de pago de LMD y recursos de la comunidad de malware.
Herramientas como rkhunter se pueden utilizar para verificar el sistema de archivos en busca de posibles rootkits y malware.
FLOSS es una herramienta que intentará encontrar cadenas ofuscadas dentro de ejecutables utilizando diferentes técnicas.
PEpper verifica algunas cosas básicas dentro del ejecutable (datos binarios, entropía, URLs e IPs, algunas reglas yara).
PEstudio es una herramienta que permite obtener información de ejecutables de Windows como importaciones, exportaciones, encabezados, pero también verificará virus total y encontrará técnicas potenciales de Att&ck.
DiE es una herramienta para detectar si un archivo está encriptado y también encontrar empaquetadores.
NeoPI es un script de Python que utiliza una variedad de métodos estadísticos para detectar contenido ofuscado y encriptado dentro de archivos de texto/script. El propósito de NeoPI es ayudar en la detección de código de shell web oculto.
PHP-malware-finder hace su mejor esfuerzo para detectar código ofuscado/sospechoso así como archivos que utilizan funciones de PHP a menudo usadas en malwares/webshells.
Al revisar alguna muestra de malware siempre debes verificar la firma del binario ya que el desarrollador que la firmó puede estar ya relacionado con malware.
Si sabes que alguna carpeta que contiene los archivos de un servidor web fue actualizada por última vez en alguna fecha. Verifica la fecha en que se crearon y modificaron todos los archivos en el servidor web y si alguna fecha es sospechosa, revisa ese archivo.
Si los archivos de una carpeta no deberían haber sido modificados, puedes calcular el hash de los archivos originales de la carpeta y compararlos con los actuales. Cualquier cosa modificada será sospechosa.
Cuando la información se guarda en registros, puedes verificar estadísticas como cuántas veces se accedió a cada archivo de un servidor web, ya que un shell web podría ser uno de los más.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
