هانت با Velociraptor

این هفته تدریس هانت و فارنزیک در یکی از سازمانهای کشور را شروع کردم.

دریکی از جلسات هانت با Velociraptor در برنامه است. یکی از قابلیت‌های ارزشمند Velociraptor در عملیات Threat Hunting و DFIR، امکان اجرای YARA روی حافظه Processها است؛ قابلیتی که به تحلیل‌گران اجازه می‌دهد حملات Fileless و اجرای کد در RAM را شناسایی کنند.

در یکی از سناریوهای عملیاتی، از یک Rule ساده YARA برای جستجوی رشته‌هایی مانند Invoke-Mimikatz و DownloadString در حافظه Processها استفاده میشود.

rule Suspicious_PS
{
strings:
$a = "Invoke-Mimikatz" nocase wide ascii
$b = "DownloadString" nocase wide ascii
condition:
any of them
}


این رشته‌ها معمولاً با PowerShell-based attack و ابزارهای Post-Exploitation مرتبط هستند. Velociraptor با استفاده از Artifactهایی مانند Windows.Detection.Yara.Process حافظه Processهای فعال را به‌صورت Remote اسکن کرده و وجود این الگوها را شناسایی می‌کند.

نتیجه این Hunt نشان میدهد که حتی در شرایطی که فایل مخربی روی Disk وجود ندارد و مهاجم از تکنیک‌های Fileless استفاده می‌کند، همچنان می‌توان آثار اجرای حمله را در Memory مشاهده کرد. این موضوع اهمیت Memory Hunting را در کشف تهدیدات مدرن نشان می‌دهد؛ جایی که تحلیل صرف فایل‌ها و آنتی‌ویروس‌های سنتی ممکن است ناکافی باشند. Velociraptor با ترکیب YARA، Threat Hunting و DFIR، دید عمیق‌تری از رفتار واقعی مهاجم در Endpoint فراهم می‌کند.