👆👆ادامه از پست قبل
قسمت سوم
ساخت PE Header تقلبی برای شروع تحلیل: در صورتی که offset و entry point کشف شود، PE Header تقلبی ساخته و فایل dump در ابزارهای تحلیل بارگذاری شود.
تحلیل هیستوری حافظه: جستجو در page table برای یافتن الگوی بارگذاری غیرمعمول.
رهگیری پردازش‌های کوتاه‌عمر: بسیاری مهاجمان، shellcode را در پروسس‌های کوتاه‌عمر اجرا و بلافاصله نابود می‌کنند.
۷. توصیه‌های کاربردی برای تیم‌های IR و Threat Hunting
۱. مراکز عملیات SOC باید به Memory Forensics مجهز باشند: فقط AV/EDR مبتنی بر disk کافی نیست؛ تحلیل memory لازم است.
۲. به دنبال بخش‌های مشکوک با no PE header باشید: مثلاً process hollowing یا رفتار mapped manual.
۳. به روز رسانی رویه‌های incident response: ابزارهایی چون FTK Imager، Magnet RAM Capture و … باید در کنار Volatility و PE Sieve به کار گرفته شوند.
۴. استفاده از sandboxهای اختصاصی memory: برای شناسایی رفتار runtime.
۵. با تیم‌های امنیتی تهدید پیشرفته (Threat Intel) همکاری نزدیک داشته باشید: تجربه و ابزارهای آنها در این حوزه راهگشاست.
۸. جمع‌بندی
دنیای تهدیدات پیشرفته روزبه‌روز حرفه‌ای‌تر می‌شود و مهاجمان با حذف بخش‌های پایه‌ای فایل اجرایی (PE Header)، باعث سردرگمی ابزارها و تحلیل‌گران شده‌اند؛ Ghost PE و پیاده‌سازی آن (GhostPepper) شکل مدرن حمله «Fileless» و «in-memory execution» را ایجاد کرده است. راهکار مقابله، تجهیز تیم به ابزارهای پیشرفته forensic memory (مانند Volatility و PE-Sieve)، توسعه دانش تحلیل dynamic و memory-based، و ترکیب آن با تهدیدشناسی پیشرفته است. به مدد این رویکردها، حتی پیچیده‌ترین بدافزارهای Fileless قابل شناسایی و مهار خواهند شد.
#آکادمی_روزبه
مرکز تخصصی CISSP
Www.Roozbeh.academy
https://www.fortinet.com/blog/threat-research/deep-dive-into-a-dumped-malware-without-a-pe-header
قسمت سوم
ساخت PE Header تقلبی برای شروع تحلیل: در صورتی که offset و entry point کشف شود، PE Header تقلبی ساخته و فایل dump در ابزارهای تحلیل بارگذاری شود.
تحلیل هیستوری حافظه: جستجو در page table برای یافتن الگوی بارگذاری غیرمعمول.
رهگیری پردازش‌های کوتاه‌عمر: بسیاری مهاجمان، shellcode را در پروسس‌های کوتاه‌عمر اجرا و بلافاصله نابود می‌کنند.
۷. توصیه‌های کاربردی برای تیم‌های IR و Threat Hunting
۱. مراکز عملیات SOC باید به Memory Forensics مجهز باشند: فقط AV/EDR مبتنی بر disk کافی نیست؛ تحلیل memory لازم است.
۲. به دنبال بخش‌های مشکوک با no PE header باشید: مثلاً process hollowing یا رفتار mapped manual.
۳. به روز رسانی رویه‌های incident response: ابزارهایی چون FTK Imager، Magnet RAM Capture و … باید در کنار Volatility و PE Sieve به کار گرفته شوند.
۴. استفاده از sandboxهای اختصاصی memory: برای شناسایی رفتار runtime.
۵. با تیم‌های امنیتی تهدید پیشرفته (Threat Intel) همکاری نزدیک داشته باشید: تجربه و ابزارهای آنها در این حوزه راهگشاست.
۸. جمع‌بندی
دنیای تهدیدات پیشرفته روزبه‌روز حرفه‌ای‌تر می‌شود و مهاجمان با حذف بخش‌های پایه‌ای فایل اجرایی (PE Header)، باعث سردرگمی ابزارها و تحلیل‌گران شده‌اند؛ Ghost PE و پیاده‌سازی آن (GhostPepper) شکل مدرن حمله «Fileless» و «in-memory execution» را ایجاد کرده است. راهکار مقابله، تجهیز تیم به ابزارهای پیشرفته forensic memory (مانند Volatility و PE-Sieve)، توسعه دانش تحلیل dynamic و memory-based، و ترکیب آن با تهدیدشناسی پیشرفته است. به مدد این رویکردها، حتی پیچیده‌ترین بدافزارهای Fileless قابل شناسایی و مهار خواهند شد.
#آکادمی_روزبه
مرکز تخصصی CISSP
Www.Roozbeh.academy
https://www.fortinet.com/blog/threat-research/deep-dive-into-a-dumped-malware-without-a-pe-header
Comments
Be the first to add a comment
Log in to comment