مثالهایی که باهاشون درگیر بودم :


بدافزارهایی هستن که کامل توی رم اجرا میشن و هیچ اثری از خودشون رو دیسک باقی نمیذارن. اما یه سطح بالاترش هم هست—بدافزاری که با استفاده از WMI (Windows Management Instrumentation) نه تنها فایل نمی‌سازه، بلکه کد خودش رو به صورت اسکریپت (مثلاً PowerShell) توی property یه کلاس WMI ذخیره می‌کنه!
بعد فقط با یه Query به WMI، اون کد اجرا میشه و هیچ ردپایی توی پروسه‌های عادی وجود نداره.

تصور کن حتی با جست‌وجو در پروسه‌ها و فایل‌ها هم چیزی پیدا نمی‌کنی، چون کد مخرب فقط وقتی Query خاص اجرا بشه از دل WMI بیرون میاد!



تنها راه کشفش اینه که ریجستری و دیتابیس WMI رو مستقیم برای Payloadهای مشکوک اسکن کنی که خیلی از آنتی‌ویروس‌ها یا حتی تحلیل‌گرها بهش دقت نمی‌کنن.


✅️شروع دوره CISSP تاریخ ۳۰ مرداد

آخرین مهلت برای استفاده از تخفیف ۳۰ درصدی تاریخ ۲۰ مرداد

واتس اپ و بله 09902857290
Www.haumoun.com