مقاله ی روز
نفوذ عمیق
کشفی از آزمایشگاه فورتی نت در دامپ ۳۳ گیگی حافظه
مقدمه
در دنیای تهدیدات پیچیده روز، مهاجمان سایبری برای عبور از دیواره‌های دفاعی و سخت‌تر کردن فرآیند تحلیل و شکار تهدیدها، به تکنیک‌های جدید و نوآورانه‌ای روی آورده‌اند. یکی از این تکنیک‌های پیشرفته، حذف یا دستکاری PE Header در بدافزارهای فایل اجرایی ویندوز و یا پیاده‌سازی اجرا به صورت کامل در حافظه (in-memory execution) است که نمونه بارز آن را می‌توان در مقوله «Ghost PE» مشاهده کرد. این مقاله به بررسی عمیق dump کردن malwareهای بدون PE Header، چالش‌های تحلیل آن‌ها، مکانیزم Ghost PE، و تدابیر مقابله‌ای می‌پردازد، و بر اساس مطالعه‌ی موردی Fortinet و منابع معتبر دیگر نوشته شده است.
۱. ساختار فایل PE و نقش آن
ساختار PE (Portable Executable) فرمت اصلی فایل‌های اجرایی ویندوز است که شامل بخش‌های حیاتی همچون DOS Header، NT Headers، جدول sectionها (code, data, resource و…)، جدول importها و… می‌شود. وجود PE Header برای بارگذاری صحیح توسط سیستم عامل و ابزارهای تحلیل، لازم است. بسیاری از ابزارهای تحلیل استاتیک و فارنزیک نیز برای تشخیص صحیح، نیاز به وجود این header دارند.
چرا هدف قرار دادن PE Header؟
مهاجمان با حذف یا دستکاری Header، فایل را برای ابزارهای امنیتی غیرقابل شناسایی (undetectable) می‌کنند؛ بدین ترتیب، signatureها و heuristic بسیاری از آنتی‌ویروس‌ها و ابزارهای EDR بی‌اثر می‌شوند.
۲. سناریوی فورتی نت و Dumped Malware بدون PE Header؛ هدف و انگیزه مهاجم
مساله Dump کردن یک بدافزار معمولاً زمانی انجام می‌شود که یک تحلیل‌گر یا ابزار حافظه، بخش‌های مشکوک را مستقیماً از RAM استخراج می‌کند. اگر مهاجم بتواند PE Header را حذف کند یا بدافزار را به گونه‌ای اجرا کند که header در حافظه موجود نباشد، فرایند تحلیل پیچیده و زمان‌بر خواهد شد.
انگیزه‌های مهاجم
مقابله با signature-based detection: حذف بخش قابل شناسایی
دشوارسازی تحلیل post-mortem: متخصصان فارنزیک یا Incident Response با نمونه‌ی غیرقابل تحلیل مواجه می‌شوند
تسریع حمله Fileless: فایل اجرایی هرگز روی دیسک نمی‌نشیند و فقط در حافظه فعالیت دارد
فورتی نت در دامپ ۳۳ گیگی حافظه توانسته است تحلیلی از بدافزاری با PE هدر تخریب شده ارائه دهد.
پایان قسمت اول
ادامه در پستهای بعد ..👇👇
#آکادمی_روزبه
مرکز تخصصی CISSP
Www.Roozbeh.academy
نفوذ عمیق
کشفی از آزمایشگاه فورتی نت در دامپ ۳۳ گیگی حافظه
مقدمه
در دنیای تهدیدات پیچیده روز، مهاجمان سایبری برای عبور از دیواره‌های دفاعی و سخت‌تر کردن فرآیند تحلیل و شکار تهدیدها، به تکنیک‌های جدید و نوآورانه‌ای روی آورده‌اند. یکی از این تکنیک‌های پیشرفته، حذف یا دستکاری PE Header در بدافزارهای فایل اجرایی ویندوز و یا پیاده‌سازی اجرا به صورت کامل در حافظه (in-memory execution) است که نمونه بارز آن را می‌توان در مقوله «Ghost PE» مشاهده کرد. این مقاله به بررسی عمیق dump کردن malwareهای بدون PE Header، چالش‌های تحلیل آن‌ها، مکانیزم Ghost PE، و تدابیر مقابله‌ای می‌پردازد، و بر اساس مطالعه‌ی موردی Fortinet و منابع معتبر دیگر نوشته شده است.
۱. ساختار فایل PE و نقش آن
ساختار PE (Portable Executable) فرمت اصلی فایل‌های اجرایی ویندوز است که شامل بخش‌های حیاتی همچون DOS Header، NT Headers، جدول sectionها (code, data, resource و…)، جدول importها و… می‌شود. وجود PE Header برای بارگذاری صحیح توسط سیستم عامل و ابزارهای تحلیل، لازم است. بسیاری از ابزارهای تحلیل استاتیک و فارنزیک نیز برای تشخیص صحیح، نیاز به وجود این header دارند.
چرا هدف قرار دادن PE Header؟
مهاجمان با حذف یا دستکاری Header، فایل را برای ابزارهای امنیتی غیرقابل شناسایی (undetectable) می‌کنند؛ بدین ترتیب، signatureها و heuristic بسیاری از آنتی‌ویروس‌ها و ابزارهای EDR بی‌اثر می‌شوند.
۲. سناریوی فورتی نت و Dumped Malware بدون PE Header؛ هدف و انگیزه مهاجم
مساله Dump کردن یک بدافزار معمولاً زمانی انجام می‌شود که یک تحلیل‌گر یا ابزار حافظه، بخش‌های مشکوک را مستقیماً از RAM استخراج می‌کند. اگر مهاجم بتواند PE Header را حذف کند یا بدافزار را به گونه‌ای اجرا کند که header در حافظه موجود نباشد، فرایند تحلیل پیچیده و زمان‌بر خواهد شد.
انگیزه‌های مهاجم
مقابله با signature-based detection: حذف بخش قابل شناسایی
دشوارسازی تحلیل post-mortem: متخصصان فارنزیک یا Incident Response با نمونه‌ی غیرقابل تحلیل مواجه می‌شوند
تسریع حمله Fileless: فایل اجرایی هرگز روی دیسک نمی‌نشیند و فقط در حافظه فعالیت دارد
فورتی نت در دامپ ۳۳ گیگی حافظه توانسته است تحلیلی از بدافزاری با PE هدر تخریب شده ارائه دهد.
پایان قسمت اول
ادامه در پستهای بعد ..👇👇
#آکادمی_روزبه
مرکز تخصصی CISSP
Www.Roozbeh.academy
Comments
Be the first to add a comment
Log in to comment