Malware Analysis
Last updated
Last updated
Jifunze na fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze na fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
https://www.jaiminton.com/cheatsheet/DFIR/#
Tumia skripti hii kupakua na kuunganisha sheria zote za yara malware kutoka github: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9 Unda saraka ya rules na uitekeleze. Hii itaunda faili inayoitwa malware_rules.yar ambayo ina sheria zote za yara za malware.
You can use the tool YaraGen to generate yara rules from a binary. Check out these tutorials: Part 1, Part 2, Part 3
Capa inagundua uwezo ambao unaweza kuwa na madhara katika executable: PE, ELF, .NET. Hivyo itapata mambo kama mbinu za Att&ck, au uwezo wa kutatanisha kama:
angalia kwa makosa ya OutputDebugString
endesha kama huduma
tengeneza mchakato
Pata katika Github repo.
IOC inamaanisha Kielelezo cha Kuathiriwa. IOC ni seti ya masharti ambayo yanaonyesha baadhi ya programu zisizohitajika au malware iliyothibitishwa. Timu za Blue hutumia aina hii ya ufafanuzi ili kutafuta aina hii ya faili zenye madhara katika mifumo yao na mitandao. Kushiriki ufafanuzi huu ni muhimu sana kwani wakati malware inatambuliwa katika kompyuta na IOC kwa malware hiyo inaundwa, timu nyingine za Blue zinaweza kuitumia kuitambua malware haraka zaidi.
Zana ya kuunda au kubadilisha IOCs ni IOC Editor. Unaweza kutumia zana kama Redline ili kutafuta IOCs zilizofafanuliwa katika kifaa.
Loki ni skana kwa Viashiria Rahisi vya Kuathiriwa. Ugunduzi unategemea mbinu nne za ugunduzi:
Linux Malware Detect (LMD) ni skana ya malware kwa Linux iliyotolewa chini ya leseni ya GNU GPLv2, ambayo imeundwa kuzingatia vitisho vinavyokabiliwa katika mazingira ya mwenyeji wa pamoja. Inatumia data za vitisho kutoka kwa mifumo ya kugundua uvamizi kwenye ukingo wa mtandao ili kutoa malware inayotumika kwa shambulio na kuunda saini za kugundua. Zaidi ya hayo, data za vitisho pia zinatokana na michango ya watumiaji kupitia kipengele cha LMD checkout na rasilimali za jamii ya malware.
Zana kama rkhunter zinaweza kutumika kuangalia mfumo wa faili kwa rootkits na malware zinazoweza kuwepo.
FLOSS ni chombo ambacho kitajaribu kupata nyuzi zilizofichwa ndani ya executable kwa kutumia mbinu tofauti.
PEpper inakagua mambo ya msingi ndani ya executable (data ya binary, entropy, URLs na IPs, baadhi ya sheria za yara).
PEstudio ni chombo kinachoruhusu kupata taarifa za Windows executables kama vile imports, exports, headers, lakini pia kitakagua virus total na kupata mbinu za Att&ck zinazoweza kutokea.
DiE ni chombo cha kugundua kama faili ime encrypted na pia kupata packers.
NeoPI ni script ya Python inayotumia mbinu mbalimbali za statistical methods kugundua maudhui yaliyofichwa na encrypted ndani ya faili za maandiko/script. Lengo la NeoPI ni kusaidia katika detection of hidden web shell code.
PHP-malware-finder inajitahidi sana kugundua obfuscated/dodgy code pamoja na faili zinazotumia PHP functions ambazo mara nyingi hutumiwa katika malwares/webshells.
Unapokagua baadhi ya malware sample unapaswa kila wakati check the signature ya binary kwani developer aliyeisaini anaweza kuwa tayari related na malware.
Ikiwa unajua kwamba folda fulani inayoshikilia files za seva ya wavuti ilikua imepitiwa mara ya mwisho kwenye tarehe fulani. Angalia tarehe zote za files katika seva ya wavuti zilizoumbwa na kubadilishwa na ikiwa tarehe yoyote ni siyo ya kawaida, angalia hiyo file.
Ikiwa files za folda hazikupaswa kubadilishwa, unaweza kuhesabu hash ya files za awali za folda na kulinganisha nazo na zile za sasa. Kila kitu kilichobadilishwa kitakuwa siyo ya kawaida.
Wakati taarifa zimehifadhiwa katika logi unaweza kuangalia takwimu kama vile ni mara ngapi kila file ya seva ya wavuti ilifikiriwa kama shell ya wavuti inaweza kuwa moja ya nyingi.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
