3️⃣ نکته در تحلیل بدافزار
از کاردانی تا مهندسی
۱.استفاده از Multi-Format Parsing برای شناسایی فایل‌های چندشکلی (Polyglot Files)
بسیاری از موتورهای اسکن تنها به بررسی Magic Number یا MIME Type بسنده می‌کنند. مهاجم می‌تواند فایلی ایجاد کند که همزمان دو یا چند فرمت معتبر داشته باشد (مثلاً PDF + ZIP). این ساختار اجازه می‌دهد بخشی از فایل از دید EDR پنهان شود. استفاده از موتورهای تحلیل که کل محتوا را بر اساس همه فرمت‌های ممکن پارس می‌کنند، احتمال شناسایی را افزایش می‌دهد.
۲. تحلیل پویا با تغییر Locale و TimeZone سیستم
برخی بدافزارها برای فعال‌سازی بخش‌های خاص خود، به شرایط محیطی وابسته‌اند—مانند منطقه زمانی یا زبان سیستم. این رفتار معمولاً برای هدف‌گیری جغرافیایی استفاده می‌شود. ایجاد محیط‌های آزمایش با Locale و TimeZone متفاوت می‌تواند باعث فعال‌شدن کدهای مخفی شود و تحلیلگر را به کشف منطق حمله هدایت کند.
۳. پایش Thread Creation/Termination برای تشخیص Race Condition
در حملات پیچیده، بدافزار ممکن است قبل از شناسایی توسط EDR، با ایجاد و خاتمه سریع Threadها روی پروسس‌های حساس، شرایط Race ایجاد کند تا رفتار دفاعی مختل شود (مثلاً توقف آنتی‌ویروس). ثبت و مقایسه وقایع Thread قبل، حین، و بعد از اجرای نمونه در Sandbox، می‌تواند این ناهنجاری‌ها را آشکار کند.
در مجموع، عبور از روش‌های سنتی تحلیل و بررسی لایه‌های عمیق‌تر رفتاری، برای مقابله با نسل جدید بدافزارها ضروری است. ترکیب Multi-Format Parsing، محیط‌های چندمنطقه‌ای در تحلیل پویا، و پایش دقیق نخ‌ها، به تیم‌های امنیتی قدرت می‌دهد تا حتی مخفی‌ترین مکانیزم‌های مهاجم را شناسایی کنند
#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290
از کاردانی تا مهندسی
۱.استفاده از Multi-Format Parsing برای شناسایی فایل‌های چندشکلی (Polyglot Files)
بسیاری از موتورهای اسکن تنها به بررسی Magic Number یا MIME Type بسنده می‌کنند. مهاجم می‌تواند فایلی ایجاد کند که همزمان دو یا چند فرمت معتبر داشته باشد (مثلاً PDF + ZIP). این ساختار اجازه می‌دهد بخشی از فایل از دید EDR پنهان شود. استفاده از موتورهای تحلیل که کل محتوا را بر اساس همه فرمت‌های ممکن پارس می‌کنند، احتمال شناسایی را افزایش می‌دهد.
۲. تحلیل پویا با تغییر Locale و TimeZone سیستم
برخی بدافزارها برای فعال‌سازی بخش‌های خاص خود، به شرایط محیطی وابسته‌اند—مانند منطقه زمانی یا زبان سیستم. این رفتار معمولاً برای هدف‌گیری جغرافیایی استفاده می‌شود. ایجاد محیط‌های آزمایش با Locale و TimeZone متفاوت می‌تواند باعث فعال‌شدن کدهای مخفی شود و تحلیلگر را به کشف منطق حمله هدایت کند.
۳. پایش Thread Creation/Termination برای تشخیص Race Condition
در حملات پیچیده، بدافزار ممکن است قبل از شناسایی توسط EDR، با ایجاد و خاتمه سریع Threadها روی پروسس‌های حساس، شرایط Race ایجاد کند تا رفتار دفاعی مختل شود (مثلاً توقف آنتی‌ویروس). ثبت و مقایسه وقایع Thread قبل، حین، و بعد از اجرای نمونه در Sandbox، می‌تواند این ناهنجاری‌ها را آشکار کند.
در مجموع، عبور از روش‌های سنتی تحلیل و بررسی لایه‌های عمیق‌تر رفتاری، برای مقابله با نسل جدید بدافزارها ضروری است. ترکیب Multi-Format Parsing، محیط‌های چندمنطقه‌ای در تحلیل پویا، و پایش دقیق نخ‌ها، به تیم‌های امنیتی قدرت می‌دهد تا حتی مخفی‌ترین مکانیزم‌های مهاجم را شناسایی کنند
#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290
Comments
Be the first to add a comment
Log in to comment