Malware Analysis
Last updated
Last updated
Impara e pratica l'Hacking su AWS: HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica l'Hacking su GCP: HackTricks Training GCP Red Team Expert (GRTE)
https://www.jaiminton.com/cheatsheet/DFIR/#
Usa questo script per scaricare e unire tutte le regole malware yara da github: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9 Crea la directory rules ed eseguilo. Questo creerà un file chiamato malware_rules.yar che contiene tutte le regole yara per il malware.
Puoi utilizzare lo strumento YaraGen per generare regole yara da un file binario. Dai un'occhiata a questi tutorial: Parte 1, Parte 2, Parte 3
Capa rileva potenzialmente capacità dannose negli eseguibili: PE, ELF, .NET. Quindi troverà cose come tattiche Att&ck, o capacità sospette come:
controllare errori di OutputDebugString
eseguire come servizio
creare processo
Ottienilo nel repository di Github.
IOC significa Indicator Of Compromise. Un IOC è un insieme di condizioni che identificano alcuni software potenzialmente indesiderati o confermati malware. I team Blue utilizzano questo tipo di definizione per ricercare questo tipo di file dannosi nei loro sistemi e reti. Condividere queste definizioni è molto utile poiché quando un malware viene identificato in un computer e viene creato un IOC per quel malware, altri team Blue possono utilizzarlo per identificare il malware più rapidamente.
Uno strumento per creare o modificare IOCs è IOC Editor. Puoi utilizzare strumenti come Redline per ricercare IOCs definiti in un dispositivo.
Loki è uno scanner per Indicatori Semplici di Compromissione. La rilevazione si basa su quattro metodi di rilevamento:
Linux Malware Detect (LMD) è uno scanner malware per Linux rilasciato sotto la licenza GNU GPLv2, progettato per affrontare le minacce presenti negli ambienti di hosting condiviso. Utilizza dati sulle minacce dai sistemi di rilevamento delle intrusioni ai margini della rete per estrarre malware attivamente utilizzati negli attacchi e genera firme per la rilevazione. Inoltre, i dati sulle minacce derivano anche dalle segnalazioni degli utenti con la funzionalità di checkout di LMD e dalle risorse della comunità malware.
Strumenti come rkhunter possono essere utilizzati per controllare il filesystem alla ricerca di possibili rootkit e malware.
FLOSS è uno strumento che cercherà di trovare stringhe offuscate all'interno di eseguibili utilizzando diverse tecniche.
PEpper controlla alcune cose di base all'interno dell'eseguibile (dati binari, entropia, URL e indirizzi IP, alcune regole yara).
PEstudio è uno strumento che consente di ottenere informazioni sugli eseguibili di Windows come importazioni, esportazioni, intestazioni, ma controllerà anche VirusTotal e troverà potenziali tecniche Att&ck.
DiE è uno strumento per rilevare se un file è criptato e trovare anche packer.
NeoPI è uno script Python che utilizza una varietà di metodi statistici per rilevare contenuti offuscati e criptati all'interno di file di testo/script. Lo scopo previsto di NeoPI è aiutare nella individuazione di codice shell web nascosto.
PHP-malware-finder fa del suo meglio per rilevare codice offuscato/sospetto e file che utilizzano funzioni PHP spesso utilizzate in malware/shell web.
Quando si controlla un campione di malware si dovrebbe sempre verificare la firma del binario poiché lo sviluppatore che l'ha firmato potrebbe essere già associato a malware.
Se sai che una cartella contenente i file di un server web è stata aggiornata per l'ultima volta in una certa data. Controlla la data in cui tutti i file nel server web sono stati creati e modificati e se una data risulta sospetta, controlla quel file.
Se i file di una cartella non dovrebbero essere stati modificati, puoi calcolare l'hash dei file originali della cartella e confrontarli con quelli attuali. Qualsiasi modifica sarà sospetta.
Quando le informazioni sono salvate nei log, puoi controllare statistiche come quante volte ogni file di un server web è stato accesso poiché un web shell potrebbe essere uno dei più.
Impara e pratica l'Hacking su AWS:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica l'Hacking su GCP: HackTricks Training GCP Red Team Expert (GRTE)
