Malware Analysis
Last updated
Last updated
AWS Hacking'i öğrenin ve pratik yapın:HackTricks Eğitim AWS Kırmızı Takım Uzmanı (ARTE) GCP Hacking'i öğrenin ve pratik yapın: HackTricks Eğitim GCP Kırmızı Takım Uzmanı (GRTE)
https://www.jaiminton.com/cheatsheet/DFIR/#
Bu scripti kullanarak github'dan tüm yara kötü amaçlı yazılım kurallarını indirin ve birleştirin: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9 rules dizinini oluşturun ve çalıştırın. Bu, kötü amaçlı yazılım için tüm yara kurallarını içeren malware_rules.yar adlı bir dosya oluşturacaktır.
Binary'den yara kuralları oluşturmak için YaraGen aracını kullanabilirsiniz. Bu eğitimlere göz atın: Bölüm 1, Bölüm 2, Bölüm 3
Capa, yürütülebilir dosyalarda potansiyel olarak kötü niyetli yetenekleri tespit eder: PE, ELF, .NET. Bu nedenle, Att&ck taktikleri veya aşağıdaki gibi şüpheli yetenekler gibi şeyleri bulacaktır:
OutputDebugString hatasını kontrol et
hizmet olarak çalış
işlem oluştur
Bunu Github repo üzerinden edinebilirsiniz.
IOC, Kompromi Göstergesi anlamına gelir. Bir IOC, bazı potansiyel olarak istenmeyen yazılımları veya onaylanmış kötü amaçlı yazılımları tanımlayan bir koşul setidir. Mavi Takımlar, bu tür tanımları sistemlerinde ve ağlarında bu tür kötü niyetli dosyaları arama amacıyla kullanır. Bu tanımları paylaşmak çok faydalıdır çünkü bir bilgisayarda kötü amaçlı yazılım tespit edildiğinde ve o kötü amaçlı yazılım için bir IOC oluşturulduğunda, diğer Mavi Takımlar bunu kötü amaçlı yazılımı daha hızlı tanımlamak için kullanabilir.
IOC'leri oluşturmak veya değiştirmek için bir araç IOC Editor. Tanımlı IOCs'leri bir cihazda arama yapmak için Redline gibi araçları kullanabilirsiniz.
Loki, Basit Kompromi Göstergeleri için bir tarayıcıdır. Tespit, dört tespit yöntemine dayanmaktadır:
Linux Malware Detect (LMD) , paylaşımlı barındırma ortamlarında karşılaşılan tehditler etrafında tasarlanmış, GNU GPLv2 lisansı altında yayımlanan bir Linux kötü amaçlı yazılım tarayıcısıdır. Saldırılarda aktif olarak kullanılan kötü amaçlı yazılımları çıkarmak ve tespit için imzalar oluşturmak amacıyla ağ kenarı saldırı tespit sistemlerinden tehdit verilerini kullanır. Ayrıca, tehdit verileri LMD ödeme özelliği ile kullanıcı gönderimlerinden ve kötü amaçlı yazılım topluluğu kaynaklarından da elde edilmektedir.
rkhunter gibi araçlar, dosya sisteminde olası rootkit ve kötü amaçlı yazılımları kontrol etmek için kullanılabilir.
FLOSS bir dizi farklı teknik kullanarak yürütülebilir dosyalar içinde obfuscate edilmiş dizeleri bulmaya çalışan bir araçtır.
PEpper yürütülebilir dosya içinde bazı temel şeyleri (ikili veriler, entropi, URL'ler ve IP'ler, bazı yara kuralları) kontrol eder.
PEstudio Windows yürütülebilir dosyaları hakkında bilgi almayı sağlayan bir araçtır; örneğin, ithalatlar, ihracatlar, başlıklar gibi bilgileri alır, ayrıca virüs toplamını kontrol eder ve potansiyel Att&ck tekniklerini bulur.
DiE bir dosyanın şifreli olup olmadığını tespit etmek ve ayrıca paketleyicileri bulmak için bir araçtır.
NeoPI metin/script dosyaları içinde obfuscate edilmiş ve şifreli içeriği tespit etmek için çeşitli istatistiksel yöntemler kullanan bir Python betiğidir. NeoPI'nin amacı, gizli web shell kodunun tespitine yardımcı olmaktır.
PHP-malware-finder obfuscate edilmiş/şüpheli kodu ve ayrıca malware/webshell'lerde sıkça kullanılan PHP fonksiyonlarını içeren dosyaları tespit etmek için elinden gelenin en iyisini yapar.
Bazı malware örneklerini kontrol ederken, imzayı her zaman kontrol etmelisiniz çünkü imzayı atan geliştirici zaten malware ile ilişkili olabilir.
Eğer bir web sunucusunun dosyalarını içeren bir klasörün son güncellenme tarihini biliyorsanız, web sunucusundaki tüm dosyaların oluşturulma ve değiştirilme tarihlerini kontrol edin ve eğer herhangi bir tarih şüpheli ise, o dosyayı kontrol edin.
Eğer bir klasörün dosyaları değiştirilmemiş olmalıysa, klasörün orijinal dosyalarının hash'ini hesaplayabilir ve bunları mevcut olanlarla karşılaştırabilirsiniz. Değiştirilen her şey şüpheli olacaktır.
Bilgiler loglarda saklandığında, her bir web sunucusu dosyasının ne kadar sıklıkla erişildiğini kontrol edebilirsiniz; çünkü bir web shell en çok erişilenlerden biri olabilir.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
