مقاله «Practical .NET Malware Analysis – First-Stage Loader (Part 1)» نوشته Ab Hussain، یک مطالعه عملی روی تحلیل بدافزارهای نوشته‌شده با .NET است که نقش لودر مرحله اول را دارند. لودر مرحله اول اولین کد مخربی است که پس از اجرای فایل آلوده عمل می‌کند و وظیفه‌اش دریافت یا بارگذاری مرحله‌های بعدی حمله، پنهان‌سازی ردپا و آماده‌سازی محیط برای اجرای Payload اصلی است.

نویسنده فایل را در محیط ایزوله بررسی کرده و با ابزارهایی مانند dnSpy و ILSpy کد .NET را دی‌کامپایل کرده است. این لودر با obfuscation سنگین و رشته‌های رمزنگاری‌شده سعی در گمراه‌کردن تحلیلگر دارد. با رفع رمز رشته‌ها، آدرس دامنه C2 و جزئیات ارتباطات کشف شده است. لودر از APIهای Win32 مثل VirtualAlloc و CreateThread استفاده می‌کند تا payload مرحله دوم را مستقیماً در حافظه تزریق و اجرا کند، بدون ایجاد فایل روی دیسک؛ روشی که شناسایی توسط آنتی‌ویروس سنتی را دشوار می‌کند.

نتیجه اصلی مقاله این است که بدافزارهای .NET می‌توانند با ترکیب کد Managed و API سطح پایین، لودری بسیار خطرناک بسازند. شناسایی این نوع تهدیدها نیازمند مانیتورینگ رفتار حافظه، تحلیل تماس‌های شبکه، و شکار تهدید مبتنی بر EDR با قوانین YARA یا IOC هدفمند است.


#آکادمی_روزبه

https://medium.com/@Ab_Hussain/practical-net-malware-analysis-first-stage-loader-part-1-f2e670861678