آشنایی با ابزارهای تجاری تیم قرمز

ابزار SHELLTER چگونه امنیت را دور می‌زند؟

۱. تزریق پویای بدافزار (Dynamic Shellcode Injection)
ابزار Shellter فایل اجرایی (exe) سالم و معتبری را برمی‌دارد و کد مخرب را به صورت داینامیک داخل آن تزریق می‌کند.
نقاط ورود (Entry point) را طوری تغییر می‌دهد که ابتدا کد خودش اجرا شود بعد برنامه اصلی.
این روش باعث می‌شود فایل نهایی از نظر ظاهری سالم و مثل فایل واقعی به نظر بیاید، حتی امضا (signature) و متادیتا هم حفظ می‌شود❗

۲. کد مخفی و تغییرشونده (Polymorphic Obfuscation)
کد مخرب دائماً خودش را تغییر می‌دهد (Polymorphic/Junk code) تا هیچ Signature ثابتی برای تشخیص وجود نداشته باشد.
ترکیبی از دستورات بی‌معنی (NOPها، دستورات بی‌اثر) و تغییر ساختار shellcode باعث گیج شدن ابزارهای تحلیل و AV می‌شود.
۳. بارگذاری مرحله‌ای و رمزنگاری شده (Staged & Encrypted Payload)
کد مرحله‌ای (Staged): مرحله اول فقط loader است، اصل بدافزار بعداً و با شرایط خاص decrypt و اجرا می‌شود.
محتوا اکثراً Encode یا Encrypt شده. تا موقع اجرا شدن، چیزی از بدافزار به چشم AV نمی‌آید.
۴. استفاده از APIهای معمولی و رفتار عادی سیستم (Living off the Land)
برای اختصاص حافظه و اجرای shellcode، دقیقاً مثل نرم‌افزارهای معمول از APIهای ویندوز مثل VirtualAlloc و CreateFileMapping استفاده می‌کند.
در نتیجه، رفتار آن خیلی به برنامه‌های قانونی شبیه است و hunting مبتنی بر رفتار (behavioral detection) نیز چالش دارد.
۵. فرار از تحلیل استاتیک و دینامیک (Static & Dynamic Evasion)
با افزودن لایه‌های junk code و rerouting execution، ابزارهای تحلیل مثل IDA Pro یا Sandbox را گمراه می‌کند.
حتی بعضی نسخه‌ها محیط اجرا را چک می‌کنند (Anti-VM)، اگر Sandbox یا VM باشد، اجرا نمی‌شوند یا رفتار جعلی نشان می‌دهند.


خلاصه ای بود از مقاله الستیک در لینک زیر

#آکادمی_روزبه
مرکز تخصصی CISSP

https://www.elastic.co/security-labs/taking-shellter?linkId=836491490