ابزارهایی برای تحلیل بدافزار در فایل های PDF
https://www.linkedin.com/posts/zeal-chhasatiya_cybersecurity-malwareanalysis-pdfsecurity-activity-7173996359518146561-r-Nm?utm_source=share&utm_medium=member_android
https://www.linkedin.com/posts/zeal-chhasatiya_cybersecurity-malwareanalysis-pdfsecurity-activity-7173996359518146561-r-Nm?utm_source=share&utm_medium=member_android
Linkedin
#cybersecurity #malwareanalysis #pdfsecurity #threatintelligence… | Zeal Chhasatiya | 15 comments
Here's a roundup of various tools and platforms specifically tailored for detecting and analyzing malware in PDF files
1)CRITS : https://lnkd.in/eNkDbizx
2)CrowdStrike Feed Management System: https://lnkd.in/eYAEatBi
3)cuckoosandbox/cuckoo : https://lnkd.in/erCQdADG…
1)CRITS : https://lnkd.in/eNkDbizx
2)CrowdStrike Feed Management System: https://lnkd.in/eYAEatBi
3)cuckoosandbox/cuckoo : https://lnkd.in/erCQdADG…
#تجربه
نجات از باج افزار؛
خاطره ای برایEDR قسمت ۱۴
( برای مطالعه سایر قسمت ها به لینکدین مراجعه شود )
یادم میاد چند ماه پیش یه آلرت تو SIEM از EDR دیدم که پراسسی رو kill کرده بود. شاهد دیگه و نکته ای نبود.
پس از تحقیق همچنین مسیری که در لاگ افتاده بود دیدم یکی از دلیل هاش این میتونه باشه که کسی بخواد به Shadow copy ویندوز دست پیدا کنه براش این اتفاق میافته.
این مکانیسم بیشتر بخاطر تلاش باج افزارها برای پاک کردن VSS اتفاق میافته . چون VSS به ما قدرت اینو میده که بتونیم ویندوز رو به حالتی قبل از آلودگی به باج افزار برگردونیم. لذا باج افزارهایی اول سعی می‌کنند VSS رو پاک کنند تا دست ما خالی باشه.
و اما بقیه ماجرا چی شد؟
در اون حالت EDR شناسایی رو انجام داده بود ولی آنتی ویروس نتونسته بود شناسایی کنه . احتمالا چون باج افزار جدید بوده و شاید هم به طرز خاصی از خواب درآمده یا به روش خاصی انداخته شده.
ما با فرض وجود باج افزار کار رو شروع کردیم و درنهایت از طریق سایر روشها محل و سپس منشا آلودگی رو پیدا کردیم.
اینو گفتم که مزیت EDR و همچنین نحوه کارکرد اونو بگم و اینکه
هر حافظ امنیتی قرار نیست همه کار بکند پس آنتی ویروس اگر چیزی رو شناسایی نکرد دلیل بر اینکه اون کلا بد هست نمی‌باشد.
و ضمنا بگم چقدر لازمه آماده به فرضیه سازی و هانت باشید.
روزبه نوروزی
شهریور ۱۴۰۳
#آنتی_ویروس
#تجربه #درس_آموخته
#cybersecurity #threathunting #edr ##antivirus #malware #malwareanalysis
نجات از باج افزار؛
خاطره ای برایEDR قسمت ۱۴
( برای مطالعه سایر قسمت ها به لینکدین مراجعه شود )
یادم میاد چند ماه پیش یه آلرت تو SIEM از EDR دیدم که پراسسی رو kill کرده بود. شاهد دیگه و نکته ای نبود.
پس از تحقیق همچنین مسیری که در لاگ افتاده بود دیدم یکی از دلیل هاش این میتونه باشه که کسی بخواد به Shadow copy ویندوز دست پیدا کنه براش این اتفاق میافته.
این مکانیسم بیشتر بخاطر تلاش باج افزارها برای پاک کردن VSS اتفاق میافته . چون VSS به ما قدرت اینو میده که بتونیم ویندوز رو به حالتی قبل از آلودگی به باج افزار برگردونیم. لذا باج افزارهایی اول سعی می‌کنند VSS رو پاک کنند تا دست ما خالی باشه.
و اما بقیه ماجرا چی شد؟
در اون حالت EDR شناسایی رو انجام داده بود ولی آنتی ویروس نتونسته بود شناسایی کنه . احتمالا چون باج افزار جدید بوده و شاید هم به طرز خاصی از خواب درآمده یا به روش خاصی انداخته شده.
ما با فرض وجود باج افزار کار رو شروع کردیم و درنهایت از طریق سایر روشها محل و سپس منشا آلودگی رو پیدا کردیم.
اینو گفتم که مزیت EDR و همچنین نحوه کارکرد اونو بگم و اینکه
هر حافظ امنیتی قرار نیست همه کار بکند پس آنتی ویروس اگر چیزی رو شناسایی نکرد دلیل بر اینکه اون کلا بد هست نمی‌باشد.
و ضمنا بگم چقدر لازمه آماده به فرضیه سازی و هانت باشید.
روزبه نوروزی
شهریور ۱۴۰۳
#آنتی_ویروس
#تجربه #درس_آموخته
#cybersecurity #threathunting #edr ##antivirus #malware #malwareanalysis
آنچه که بعنوان MZ در امنیت گفته میشود چیست و چرا در تحلیل بدافزار اهمیت دارد؟
عبارت "MZ" دو بایت ابتدایی بسیاری از فایل‌های اجرایی ویندوز است و در مبنای هگزادسیمال به‌صورت "4D 5A" نمایش داده میشود. این حروف از نام Mark Zbikowski، یکی از مهندسان مایکروسافت و طراح قالب اجرایی DOS، گرفته شده‌اند.
فایل‌های اجرایی با ساختار PE، مانند فایل‌های "EXE"، "DLL"، "SYS" و برخی "SCR"ها، معمولاً با امضای MZ آغاز می‌شوند. بخش ابتدایی فایل، "DOS Header" نام دارد. درون این Header، فیلدی به نام "e_lfanew" وجود دارد که محل قرارگیری امضای "PE" و ساختار اصلی فایل اجرایی ویندوز را مشخص می‌کند.
اهمیت MZ زمانی آشکار میشود که مهاجم پسوند واقعی فایل را پنهان کرده باشد. برای مثال ممکن است فایلی با نام "update.dat"، "invoice.jpg" یا "document.pdf" دریافت شود، اما بررسی محتوای آن نشان دهد که دو بایت ابتدایی فایل "MZ" است. این وضعیت نشان می‌دهد فایل احتمالاً یک برنامه اجرایی ویندوز است، نه تصویر یا سند معمولی.
در تحلیل PCAP می‌توان فایل منتقل‌شده را از جریان HTTP یا SMB استخراج و Header آن را بررسی کرد. بااین‌حال، مشاهده MZ به‌تنهایی اثبات بدافزاربودن فایل نیست؛ زیرا برنامه‌های سالم ویندوز نیز همین امضا را دارند. تحلیلگر باید Hash، امضای دیجیتال، Importها، رشته‌ها، رفتار اجرایی و نتایج Sandbox را نیز بررسی کند.
#MZ #PEFile #PortableExecutable #MalwareAnalysis #DigitalForensics #MemoryForensics #NetworkForensics #PCAP #Wireshark #ThreatHunting #IncidentResponse #ReverseEngineering #SOC #CyberSecurity #تحلیل_بدافزار #فارنزیک_دیجیتال #تحلیل_ترافیک #امنیت_سایبری #مرکز_عملیات_امنیت #آکادمی_روزبه
عبارت "MZ" دو بایت ابتدایی بسیاری از فایل‌های اجرایی ویندوز است و در مبنای هگزادسیمال به‌صورت "4D 5A" نمایش داده میشود. این حروف از نام Mark Zbikowski، یکی از مهندسان مایکروسافت و طراح قالب اجرایی DOS، گرفته شده‌اند.
فایل‌های اجرایی با ساختار PE، مانند فایل‌های "EXE"، "DLL"، "SYS" و برخی "SCR"ها، معمولاً با امضای MZ آغاز می‌شوند. بخش ابتدایی فایل، "DOS Header" نام دارد. درون این Header، فیلدی به نام "e_lfanew" وجود دارد که محل قرارگیری امضای "PE" و ساختار اصلی فایل اجرایی ویندوز را مشخص می‌کند.
اهمیت MZ زمانی آشکار میشود که مهاجم پسوند واقعی فایل را پنهان کرده باشد. برای مثال ممکن است فایلی با نام "update.dat"، "invoice.jpg" یا "document.pdf" دریافت شود، اما بررسی محتوای آن نشان دهد که دو بایت ابتدایی فایل "MZ" است. این وضعیت نشان می‌دهد فایل احتمالاً یک برنامه اجرایی ویندوز است، نه تصویر یا سند معمولی.
در تحلیل PCAP می‌توان فایل منتقل‌شده را از جریان HTTP یا SMB استخراج و Header آن را بررسی کرد. بااین‌حال، مشاهده MZ به‌تنهایی اثبات بدافزاربودن فایل نیست؛ زیرا برنامه‌های سالم ویندوز نیز همین امضا را دارند. تحلیلگر باید Hash، امضای دیجیتال، Importها، رشته‌ها، رفتار اجرایی و نتایج Sandbox را نیز بررسی کند.
#MZ #PEFile #PortableExecutable #MalwareAnalysis #DigitalForensics #MemoryForensics #NetworkForensics #PCAP #Wireshark #ThreatHunting #IncidentResponse #ReverseEngineering #SOC #CyberSecurity #تحلیل_بدافزار #فارنزیک_دیجیتال #تحلیل_ترافیک #امنیت_سایبری #مرکز_عملیات_امنیت #آکادمی_روزبه
❤4💯2