Swahili - Ht
HackTricks Training Twitter Linkedin Sponsor

Malware Analysis

Jifunze kuhusu kudukua AWS kutoka sifuri hadi shujaa na htARTE (Mtaalam wa Timu Nyekundu ya AWS ya HackTricks)!

Njia nyingine za kusaidia HackTricks:

Vipeperushi vya Uchunguzi wa Kielektroniki

https://www.jaiminton.com/cheatsheet/DFIR/#

Huduma za Mtandaoni

Zana za Kupambana na Virus na Uchunguzi Nje ya Mtandao

Yara

Sakinisha

sudo apt-get install -y yara

Andaa sheria

Tumia script hii kupakua na kuchanganya sheria zote za yara za zisizo za kawaida kutoka github: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9 Unda directory ya sheria na kuitekeleza. Hii itaunda faili inayoitwa malware_rules.yar ambayo ina sheria zote za yara kwa ajili ya zisizo za kawaida.

wget https://gist.githubusercontent.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9/raw/4ec711d37f1b428b63bed1f786b26a0654aa2f31/malware_yara_rules.py
mkdir rules
python malware_yara_rules.py

Kuchunguza

yara -w malware_rules.yar image  #Scan 1 file
yara -w malware_rules.yar folder #Scan the whole folder

YaraGen: Angalia kwa zisizo na programu hasidi na Unda sheria

Unaweza kutumia zana YaraGen kuzalisha sheria za yara kutoka kwa faili ya binary. Angalia mafunzo haya: Sehemu 1, Sehemu 2, Sehemu 3

python3 yarGen.py --update
python3.exe yarGen.py --excludegood -m  ../../mals/

ClamAV

Sakinisha

sudo apt-get install -y clamav

Kuchunguza

sudo freshclam      #Update rules
clamscan filepath   #Scan 1 file
clamscan folderpath #Scan the whole folder

Capa

Capa inagundua uwezo wa uwezekano wa kwa faili za kutekelezwa: PE, ELF, .NET. Kwa hivyo, itapata vitu kama mbinu za Att&ck, au uwezo wa shaka kama vile:

  • angalia kosa la OutputDebugString

  • tekeleza kama huduma

  • unda mchakato

Pakua kutoka kwenye repo ya Github.

IOCs

IOC inamaanisha Ishara ya Kukiuka. IOC ni seti ya mazingira yanayotambua programu fulani inayoweza kutokuwa ya kawaida au malware iliyothibitishwa. Timu za Bluu hutumia aina hii ya ufafanuzi kutafuta faili za aina hii ya uovu kwenye mifumo yao na mitandao. Kushiriki ufafanuzi huu ni muhimu sana kwani wakati malware inagunduliwa kwenye kompyuta na IOC kwa malware hiyo inaundwa, Timu za Bluu zingine zinaweza kutumia hiyo kuitambua malware haraka zaidi.

Zana ya kuunda au kuhariri IOCs ni Mhariri wa IOC. Unaweza kutumia zana kama Redline kutafuta IOCs zilizofafanuliwa kwenye kifaa.

Loki

Loki ni skana ya Viashiria Rahisi vya Kukiuka. Ugunduzi unategemea njia nne za ugunduzi:

1. File Name IOC
Regex match on full file path/name

2. Yara Rule Check
Yara signature matches on file data and process memory

3. Hash Check
Compares known malicious hashes (MD5, SHA1, SHA256) with scanned files

4. C2 Back Connect Check
Compares process connection endpoints with C2 IOCs (new since version v.10)

Uchunguzi wa Malware wa Linux

Linux Malware Detect (LMD) ni programu ya kutambua malware kwa mifumo ya Linux iliyotolewa chini ya leseni ya GNU GPLv2, ambayo imeundwa kuzingatia vitisho vinavyokabiliwa katika mazingira ya kuhudumia pamoja. Inatumia data ya vitisho kutoka kwa mifumo ya uchunguzi wa kuingilia kwenye mtandao ili kuchambua malware inayotumiwa kwa shambulio na kuzalisha saini za kutambua. Aidha, data ya vitisho pia hutokana na michango ya watumiaji na rasilimali za jamii ya malware kupitia kipengele cha ukaguzi wa LMD.

rkhunter

Zana kama rkhunter inaweza kutumika kuchunguza mfumo wa faili kwa rootkits na malware.

sudo ./rkhunter --check -r / -l /tmp/rkhunter.log [--report-warnings-only] [--skip-keypress]

FLOSS

FLOSS ni chombo ambacho kitajaribu kutafuta strings zilizofichwa ndani ya faili za kutekelezwa kwa kutumia njia tofauti.

PEpper

PEpper huchunguza vitu vya msingi ndani ya faili ya kutekelezwa (data ya binary, entropy, URLs na IPs, baadhi ya sheria za yara).

PEstudio

PEstudio ni chombo kinachoruhusu kupata taarifa za faili za kutekelezwa za Windows kama vile uingizaji, utoaji, vichwa, lakini pia itachunguza virus total na kupata mbinu za uwezekano wa shambulio (Att&ck techniques).

Detect It Easy(DiE)

DiE ni chombo cha kugundua ikiwa faili ime fichwa na pia kupata packers.

NeoPI

NeoPI ni skripti ya Python inayotumia aina mbalimbali za njia za takwimu kugundua maudhui yaliyofichwa na yaliyofichwa ndani ya faili za maandishi/skripti. Lengo la NeoPI ni kusaidia katika ugunduzi wa nambari iliyofichwa ya web shell.

php-malware-finder

PHP-malware-finder inafanya bidii yake kutambua nambari iliyofichwa/nambari ya shaka pamoja na faili zinazotumia PHP kazi mara nyingi hutumiwa katika malwares/webshells.

Saini za Binary za Apple

Unapochunguza sampuli fulani za malware unapaswa daima kuchunguza saini ya binary kwani mwendelezaji aliyetia saini inaweza tayari kuwa husiana na malware.

#Get signer
codesign -vv -d /bin/ls 2>&1 | grep -E "Authority|TeamIdentifier"

#Check if the app’s contents have been modified
codesign --verify --verbose /Applications/Safari.app

#Check if the signature is valid
spctl --assess --verbose /Applications/Safari.app

Mbinu za Kugundua

Kufunga Faili

Ikiwa unajua kwamba folda fulani inayohifadhi faili za seva ya wavuti ilisasishwa mwisho tarehe fulani. Angalia tarehe ambayo faili zote kwenye seva ya wavuti ziliumbwa na kuhaririwa na ikiwa tarehe yoyote ni ya shaka, hakiki faili hiyo.

Vipimo vya Msingi

Ikiwa faili za folda hazipaswi kuhaririwa, unaweza kuhesabu hash ya faili za asili za folda na kuzilinganisha na za sasa. Kitu chochote kilichohaririwa kitakuwa cha shaka.

Uchambuzi wa Takwimu

Wakati habari inahifadhiwa kwenye magogo unaweza kagua takwimu kama mara ngapi kila faili ya seva ya wavuti ilipatikana kwani kabati la wavuti inaweza kuwa mojawapo ya.

Jifunze kuhusu kudukua AWS kutoka sifuri hadi shujaa na htARTE (Mtaalam wa Timu Nyekundu ya AWS ya HackTricks)!

Njia nyingine za kusaidia HackTricks:

PreviousLinux ForensicsNextMemory dump analysis

Last updated