Malware Analysis
Last updated
Last updated
AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)
https://www.jaiminton.com/cheatsheet/DFIR/#
このスクリプトを使用して、githubからすべてのyaraマルウェアルールをダウンロードしてマージします: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9 rules ディレクトリを作成し、実行します。これにより、すべてのマルウェア用のyaraルールを含む malware_rules.yar というファイルが作成されます。
バイナリからyaraルールを生成するために、ツールYaraGenを使用できます。これらのチュートリアルをチェックしてください: パート 1, パート 2, パート 3
Capa は、実行可能ファイル（PE、ELF、.NET）内の潜在的に悪意のある 機能 を検出します。したがって、Att&ck 戦術や次のような疑わしい機能を見つけることができます：
OutputDebugString エラーのチェック
サービスとして実行
プロセスの作成
Github リポジトリ から入手できます。
IOC は、妥協の指標を意味します。IOC は、潜在的に望ましくないソフトウェアまたは確認された マルウェア を特定する 条件のセット です。ブルーチームは、この種の定義を使用して、システム や ネットワーク 内のこの種の悪意のあるファイルを 検索 します。 これらの定義を共有することは非常に有用で、コンピュータ内でマルウェアが特定され、そのマルウェアの IOC が作成されると、他のブルーチームはそれを使用してマルウェアをより迅速に特定できます。
IOC を作成または修正するためのツールは IOC Editorです。 Redline のようなツールを使用して、デバイス内の定義された IOC を検索 できます。
Loki は、単純な妥協の指標のスキャナーです。 検出は、4つの検出方法に基づいています：
Linux Malware Detect (LMD) は、GNU GPLv2 ライセンスの下でリリースされた Linux 用のマルウェアスキャナーで、共有ホスティング環境で直面する脅威に基づいて設計されています。ネットワークエッジ侵入検知システムからの脅威データを使用して、攻撃に積極的に使用されているマルウェアを抽出し、検出のためのシグネチャを生成します。さらに、脅威データは、LMD チェックアウト機能を使用したユーザーの提出やマルウェアコミュニティリソースからも得られます。
rkhunter のようなツールを使用して、ファイルシステムに可能な rootkits やマルウェアがないかをチェックできます。
FLOSSは、異なる技術を使用して実行可能ファイル内の難読化された文字列を見つけようとするツールです。
PEpperは、実行可能ファイル内の基本的な情報（バイナリデータ、エントロピー、URLおよびIP、いくつかのyaraルール）をチェックします。
PEstudioは、インポート、エクスポート、ヘッダーなどのWindows実行可能ファイルの情報を取得するツールですが、ウイルス総合チェックも行い、潜在的なAtt&ck技術を見つけます。
DiEは、ファイルが暗号化されているかどうかを検出し、パッカーを見つけるツールです。
NeoPIは、テキスト/スクリプトファイル内の難読化された暗号化されたコンテンツを検出するためにさまざまな統計的方法を使用するPythonスクリプトです。NeoPIの目的は、隠れたウェブシェルコードの検出を支援することです。
PHP-malware-finderは、難読化された/怪しいコードや、マルウェア/ウェブシェルでよく使用されるPHP関数を使用しているファイルを検出するために最善を尽くします。
いくつかのマルウェアサンプルをチェックする際は、署名を常に確認するべきです。署名した開発者がすでにマルウェアに関連している可能性があります。
もしウェブサーバーのファイルを含むフォルダーが最後に更新された日付を知っているなら、ウェブサーバーのすべてのファイルが作成および変更された日付を確認し、もし疑わしい日付があれば、そのファイルを確認してください。
フォルダーのファイルが変更されるべきではなかった場合、フォルダーの元のファイルのハッシュを計算し、現在のものと比較できます。変更されたものは疑わしいです。
情報がログに保存されている場合、各ウェブサーバーのファイルがどれだけアクセスされたかなどの統計を確認できます。ウェブシェルが最もアクセスされる可能性があります。
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
