Podróż PMAT — 2

Podczas ostatniej aktualizacji ukończyłem kurs w 21% i nie rozpocząłem żadnej analizy próbek złośliwego oprogramowania w laboratorium. Jestem w 47% ukończony i mam kilka modułów do zrobienia. Ukończyłem Podstawową analizę statyczną i rozpocząłem Podstawową analizę dynamiczną . Rozłóżmy te warunki.

Analiza statyczna to analiza złośliwego oprogramowania bez wykonywania. Podczas gdy analiza dynamiczna analizuje złośliwe oprogramowanie podczas wykonywania próbki. Dlatego tak ważne jest, aby upewnić się, że środowisko laboratoryjne jest odcięte od Internetu i hosta. ty niechcesz, aby próbka złośliwego oprogramowania dotknęła twojego hosta ani internetu z kilku powodów, takich jak nie infekowanie komputera hosta i faktycznie nie pobieranie niczego złośliwego z serwera C2 (Command and Control). Właśnie dlatego Matt poświęcił dużo czasu i uwagi, aby upewnić się, że jesteś bezpieczny podczas detonacji złośliwego oprogramowania na tym kursie i poza nim. Poświęca również czas na omawianie branżowych standardów bezpiecznego obchodzenia się ze złośliwym oprogramowaniem jako analizy, bezpiecznych źródeł próbek złośliwego oprogramowania oraz upewnianie się, że próbka złośliwego oprogramowania jest nietknięta, dopóki nie będziesz celowo gotowy do rozsyłania złośliwego oprogramowania.

Na marginesie, osobiście wciąż chichoczę z terminami defang i fang i to prawdopodobnie dlatego, że przypomina mi to o moich głupkowatych chartach i ich zębach. Zobacz poniżej.

Lekcja Podstawowa analiza statyczna przeprowadzi Cię przez kilka tematów, w tym próbki mieszania, sprawdzanie repozytoriów złośliwego oprogramowania, używanie łańcuchów i FLOSS, PEview i PEStudio. Oprócz tego Matt zapewnia, że ​​masz trochę dodatkowej wiedzy, aby zrozumieć „dlaczego” to, co robisz. Doceniam to bez końca, ponieważ jestem pewien, że inni będą to robić podczas kursu. W ten sposób omawia podstawowe wyjaśnienia interfejsu API systemu Windows (Application Programming Interface), a także bardziej szczegółowe informacje na temat korzystania z PEview w celu dokładniejszego scharakteryzowania złośliwego oprogramowania. Na przykład Matt omawia znaczenie patrzenia na określone nagłówki w PEview, aby pomóc analitykowi określić, czy złośliwe oprogramowanie może być spakowane. Pakowanie złośliwego oprogramowania to technika, której autorzy złośliwego oprogramowania mogą używać do ukrywania lubzaciemniać plik wykonywalny, aby uniknąć wykrycia AV (antywirusa).

Poniżej załączam zrzut ekranu z mojej maszyny wirtualnej. Część tekstu zaczerniłem i wyszarzałem. Niektóre „próbki” w tym kursie zostały napisane przez Matta w celu naśladowania złośliwego oprogramowania. Nie chcę więc: A) plagerować jego materiału ani B) zdradzać radości z odkrywania w trakcie kursu. Podświetlone bity, Wirtualny rozmiar i Rozmiar nieprzetworzonych danych to elementy układanki w analizie złośliwego oprogramowania, które pomagają określić, czy próbka złośliwego oprogramowania jest spakowana.

Niektóre inne części kursu, które otworzyły mi oczy, to użycie IMPORT_Address_Table w PEview. To kolejny przykład tego, jak Matt daje ci więcej „dlaczego” za zadaniem. IAT można wykorzystać do zebrania informacji o wywołaniach API i skorelowania tych informacji z innymi IOC (wskaźnikami kompromisu), aby nakreślić szerszy obraz tego, co się dzieje. Nie martw się, zostanie to również dokładnie wyjaśnione.

Osobiście polecam szybkie przejrzenie recenzji notatek na końcu modułu Podstawowej analizy statycznej , aby zobaczyć, jak Matt robi notatki, zanim zaczniesz. Korzysta z Microsoft OneNote, ale jeśli nie jest to dla ciebie dostępne, wystarczy edytor tekstu z możliwością przechowywania zrzutów ekranu. W tej chwili nie musisz rozumieć, o czym on mówi. Po prostu zorientuj się, jak robi notatki, abyś mógł robić notatki podczas przechodzenia przez moduł.

Na koniec Matt dodał kilka aktualizacji od pierwszego wydania kursu. W dniu 28.11.21 dodał informacje o wspaniałym zasobie i sposobach jego wykorzystania, MalAPI.io autorstwa mrd0x. Pomaga to zidentyfikować, które interfejsy API systemu Windows są często wykorzystywane w złośliwym oprogramowaniu. Ponadto 19/11/22 dokonano nowszej aktualizacji omawiającej narzędzie o nazwie Capa firmy Mandiant. Capa jest samo w sobie bestią i mapuje do frameworków, takich jak MITRE ATT&CK i branżowy standard definiowania taktyk, technik i procedur (TTP) oraz katalog zachowań złośliwego oprogramowania lub MBC.

Aha, czy wspominałem już, że Matt Kiely jest dziś gospodarzem wydarzenia Advent of Cyber ​​2022 na TryHackMe, a do tego jest kolęda. Sprawdzę to po opublikowaniu tego posta.