وقتی بد افزار خود را به خواب میزند
مقوله Dormant Malware: مکانیزم و چالش شناسایی
موضوع Dormant malware به کد مخربی گفته می‌شود که پس از استقرار در سیستم، فعالیت مخرب فوری ندارد و عمداً در حالت غیرفعال باقی می‌ماند تا از شناسایی توسط ابزارهای امنیتی و تحلیل انسانی فرار کند.مانند ورود جاسوس یه یک منطقه و رفتار عادی برای قاطی شدن با مردم و در پی گرفتن زندگی عادی تا روز موعود . این بدافزار می‌تواند در دیسک، حافظه یا حتی Firmware ذخیره شود و تنها هنگام وقوع یک رویداد خاص فعال شود.
۱. موضوع Time-based Dormancy:
برخی بدافزارها با استفاده از APIهایی مثل Sleep() یا NtDelayExecution فعالیت خود را ساعت‌ها یا روزها به تأخیر می‌اندازند. چون Sandbox و EDR معمولاً مدت اجرای کوتاهی دارند، نمونه در طول تحلیل غیرفعال به‌نظر می‌رسد.
۲. بحث Event-based Activation:
اجرا تنها در صورت وقوع رویداد خاص مانند ورود کاربر ادمین، اتصال به شبکه داخلی یا کلیک روی فایل خاص. این الگو باعث می‌شود بدافزار در تست‌های خودکار بی‌اثر بماند.
۳. موضوع Environmental Awareness:
بدافزار با بررسی نشانه‌هایی مانند تعداد CPU Core، نام کارت شبکه یا کلیدهای رجیستری، محیط تحلیل را شناسایی کرده و تا زمان کاربر واقعی، خود را غیرفعال نشان می‌دهد.
۴. بحث Staged Payload Storage:
کد اصلی در Alternate Data Streams یا Registry ذخیره می‌شود. مرحله اول فقط یک Loader است که ظاهر بی‌ضرر دارد، اما فعال‌سازی را برای شرایط خاص نگه می‌دارد.
۵. مقولهLiving-off-the-Land Persistence:
استفاده از ابزارهای سیستمی (مثل WMI یا PowerShell) برای ایجاد persistence بدون اجرای باینری مخرب تا لحظه نیاز، باعث گمراهی مانیتورینگ مبتنی بر فایل می‌شود.
چالش شناسایی:
این Dormant malware فاقد Indicators of Compromise فوری است، ارتباط شبکه‌ای ندارد، و رفتارهای مخربش در جریان عادی سیستم پنهان می‌شود. شناسایی آن نیازمند memory forensics، تحلیل خط‌زمانی بلندمدت، و شکار مبتنی بر Indicators of Behavior است تا شکاف بین artifact موجود و رفتار واقعی شناسایی گردد.
#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290
مقوله Dormant Malware: مکانیزم و چالش شناسایی
موضوع Dormant malware به کد مخربی گفته می‌شود که پس از استقرار در سیستم، فعالیت مخرب فوری ندارد و عمداً در حالت غیرفعال باقی می‌ماند تا از شناسایی توسط ابزارهای امنیتی و تحلیل انسانی فرار کند.مانند ورود جاسوس یه یک منطقه و رفتار عادی برای قاطی شدن با مردم و در پی گرفتن زندگی عادی تا روز موعود . این بدافزار می‌تواند در دیسک، حافظه یا حتی Firmware ذخیره شود و تنها هنگام وقوع یک رویداد خاص فعال شود.
۱. موضوع Time-based Dormancy:
برخی بدافزارها با استفاده از APIهایی مثل Sleep() یا NtDelayExecution فعالیت خود را ساعت‌ها یا روزها به تأخیر می‌اندازند. چون Sandbox و EDR معمولاً مدت اجرای کوتاهی دارند، نمونه در طول تحلیل غیرفعال به‌نظر می‌رسد.
۲. بحث Event-based Activation:
اجرا تنها در صورت وقوع رویداد خاص مانند ورود کاربر ادمین، اتصال به شبکه داخلی یا کلیک روی فایل خاص. این الگو باعث می‌شود بدافزار در تست‌های خودکار بی‌اثر بماند.
۳. موضوع Environmental Awareness:
بدافزار با بررسی نشانه‌هایی مانند تعداد CPU Core، نام کارت شبکه یا کلیدهای رجیستری، محیط تحلیل را شناسایی کرده و تا زمان کاربر واقعی، خود را غیرفعال نشان می‌دهد.
۴. بحث Staged Payload Storage:
کد اصلی در Alternate Data Streams یا Registry ذخیره می‌شود. مرحله اول فقط یک Loader است که ظاهر بی‌ضرر دارد، اما فعال‌سازی را برای شرایط خاص نگه می‌دارد.
۵. مقولهLiving-off-the-Land Persistence:
استفاده از ابزارهای سیستمی (مثل WMI یا PowerShell) برای ایجاد persistence بدون اجرای باینری مخرب تا لحظه نیاز، باعث گمراهی مانیتورینگ مبتنی بر فایل می‌شود.
چالش شناسایی:
این Dormant malware فاقد Indicators of Compromise فوری است، ارتباط شبکه‌ای ندارد، و رفتارهای مخربش در جریان عادی سیستم پنهان می‌شود. شناسایی آن نیازمند memory forensics، تحلیل خط‌زمانی بلندمدت، و شکار مبتنی بر Indicators of Behavior است تا شکاف بین artifact موجود و رفتار واقعی شناسایی گردد.
#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290
Comments
Be the first to add a comment
Log in to comment