Parcours PMAT — 2

Dernière mise à jour, j'étais à 21 % du cours et je n'avais commencé aucune analyse sur les échantillons de logiciels malveillants dans le laboratoire. Je suis à 47 % complet avec plusieurs modules à parcourir. J'ai terminé l'analyse statique de base et commencé l'analyse dynamique de base . Décomposons ces termes.

L'analyse statique analyse les logiciels malveillants sans les exécuter. Alors que l'analyse dynamique analyse les logiciels malveillants pendant l'exécution de l'échantillon. C'est pourquoi il est si impératif de s'assurer que votre environnement de laboratoire est verrouillé à partir d'Internet et de votre machine hôte. Vous n'avez passouhaitez que l'échantillon de logiciel malveillant touche votre hôte ou Internet pour plusieurs raisons, telles que ne pas infecter votre machine hôte et ne pas télécharger quoi que ce soit de malveillant à partir d'un serveur C2 (commande et contrôle). C'est pourquoi Matt a passé beaucoup de temps et de concentration pour s'assurer que vous êtes en sécurité lorsque vous faites exploser des logiciels malveillants tout au long de ce cours et au-delà. Il passe également du temps à discuter des normes de l'industrie en matière de traitement en toute sécurité des logiciels malveillants en tant qu'analyse, de sources sûres pour les échantillons de logiciels malveillants et de s'assurer que vous gardez votre échantillon de logiciels malveillants sans défense jusqu'à ce que vous soyez délibérément prêt à attaquer votre logiciel malveillant.

Soit dit en passant, personnellement, je rigole encore avec les termes defang et crocs et c'est probablement parce que cela me rappelle mes lévriers loufoques et leurs dents. Voir ci-dessous.

La leçon d'analyse statique de base vous guide à travers plusieurs sujets pour inclure des exemples de hachage, la vérification des référentiels de logiciels malveillants, l'utilisation de chaînes et FLOSS, PEview et PEStudio. En plus de cela, Matt s'assure que vous avez un peu de connaissances supplémentaires pour comprendre le "pourquoi" derrière ce que vous faites. J'apprécie cela sans fin, car je suis sûr que d'autres le feront tout en suivant le cours. Avec cela, il couvre certaines explications de base de l'API Windows (interface de programmation d'application) ainsi que des informations plus approfondies sur la façon d'utiliser PEview pour caractériser plus en détail les logiciels malveillants. Par exemple, Matt explique l'importance d'examiner des en-têtes spécifiques dans PEview pour vous aider, en tant qu'analyste, à déterminer si des logiciels malveillants peuvent être compressés. L'empaquetage de logiciels malveillants est une technique que les auteurs de logiciels malveillants peuvent utiliser pour dissimuler oumasquer un exécutable pour éviter la détection AV (anti-virus).

Ci-dessous, j'ai inclus une capture d'écran de ma machine virtuelle. J'ai noirci et grisé une partie du texte. Certains des "exemples" de ce cours sont écrits par Matt pour imiter les logiciels malveillants. Donc, je ne veux pas A) plageriser son matériel ni B) donner le plaisir de l'exploration dans le cours. Les bits en surbrillance, la taille virtuelle et la taille des données brutes, font partie du puzzle de l'analyse des logiciels malveillants pour aider à déterminer si l'échantillon de logiciels malveillants est emballé.

Certaines autres parties du cours qui m'ont ouvert les yeux utilisent IMPORT_Address_Table dans PEview. Ceci est encore un autre exemple de la façon dont Matt vous donne plus de "pourquoi" derrière une tâche. L'IAT peut être utilisé pour glaner des informations sur les appels d'API et corréler ces informations avec d'autres IOC (indicateurs de compromis) pour brosser un tableau plus large de ce qui se passe. Ne vous inquiétez pas, ce sera également expliqué en détail.

Personnellement, je recommande de regarder rapidement la revue des notes à la fin du module d'analyse statique de base pour voir comment Matt prend des notes avant de commencer. Il utilise Microsoft OneNote mais si cela n'est pas disponible pour vous, un traitement de texte avec la possibilité de conserver des captures d'écran suffira. Vous n'avez pas besoin de comprendre de quoi il parle pour le moment. Ayez juste une idée de la façon dont il prend des notes afin que vous puissiez prendre des notes au fur et à mesure que vous avancez dans le module.

Enfin, Matt a ajouté quelques mises à jour depuis la sortie initiale du cours. Le 28/11/21, il a ajouté des informations sur une excellente ressource et comment l'utiliser, MalAPI.io par mrd0x. Cela vous aide à identifier les API Windows qui sont couramment utilisées par les logiciels malveillants. De plus, une mise à jour plus récente a été faite le 19/11/22 discutant d'un outil appelé Capa par Mandiant. Capa est une bête en soi et correspond à des frameworks tels que MITRE ATT&CK , et la norme de l'industrie sur la définition des tactiques, techniques et procédures (TTP), et le Malware Behavioral Catalog ou MBC.

Oh, et ai-je mentionné, Matt Kiely organise aujourd'hui l'événement Advent of Cyber ​​2022 sur TryHackMe et il y a un chant pour accompagner. Je vérifierai ça après avoir posté ça.