Путешествие на ПМАТ — 2

После последнего обновления я прошел курс на 21% и не начинал никакого анализа образцов вредоносного ПО в лаборатории. Я готов на 47%, осталось несколько модулей. Я завершил базовый статический анализ и начал базовый динамический анализ . Давайте разберем эти термины.

Статический анализ анализирует вредоносное ПО без выполнения. В то время как динамический анализ анализирует вредоносное ПО во время выполнения образца. Вот почему так важно убедиться, что ваша лабораторная среда заблокирована от Интернета и вашего хост-компьютера. Вы нехотите, чтобы образец вредоносного ПО коснулся вашего хоста или Интернета по нескольким причинам, например, чтобы не заразить ваш хост-компьютер и фактически не загрузить ничего вредоносного с сервера C2 (Command and Control). Вот почему Мэтт потратил много времени и сил, чтобы обеспечить вашу безопасность при детонации вредоносного ПО на протяжении всего курса и после него. Он также уделяет время обсуждению отраслевых стандартов безопасного обращения с вредоносным ПО в качестве средства анализа, безопасных источников образцов вредоносного ПО и гарантии того, что вы сохраните образец вредоносного ПО в чистоте до тех пор, пока вы не будете намеренно готовы атаковать свое вредоносное ПО.

Между прочим, лично я до сих пор посмеиваюсь над терминами «дефанг» и «клык», и это, вероятно, потому, что они напоминают мне о моих глупых борзых и их зубах. Смотри ниже.

Урок по базовому статическому анализу знакомит вас с несколькими темами, включая образцы хеширования, проверку репозиториев вредоносных программ, использование строк и FLOSS, PEview и PEStudio. В дополнение к этому Мэтт гарантирует, что у вас есть немного дополнительных знаний, чтобы понять «почему» то, что вы делаете. Я бесконечно ценю это, как я уверен, что другие будут ценить это во время прохождения курса. При этом он описывает некоторые основные объяснения Windows API (интерфейс прикладного программирования), а также более подробно рассказывает о том, как использовать PEview для более тщательной характеристики вредоносного ПО. Например, Мэтт обсуждает важность просмотра определенных заголовков в PEview, чтобы помочь вам, как аналитику, определить, может ли быть упаковано вредоносное ПО. Упаковка вредоносных программ — это метод, который авторы вредоносных программ могут использовать для маскировки илизапутать исполняемый файл, чтобы избежать обнаружения AV (антивируса).

Ниже я включил скриншот с моей виртуальной машины. Я затемнил и сделал серым часть текста. Некоторые «примеры» в этом курсе написаны Мэттом для имитации вредоносных программ. Таким образом, я не хочу ни а) плагиатить его материал, ни б) отказывать в удовольствии от изучения курса. Выделенные биты, виртуальный размер и размер необработанных данных — это части головоломки при анализе вредоносного ПО, которые помогают определить, упакован ли образец вредоносного ПО.

Некоторые другие части курса, которые открыли мне глаза, — это использование таблицы IMPORT_Address_Table в PEview. Это еще один пример того, как Мэтт дает вам больше «почему», стоящего за задачей. IAT можно использовать для сбора информации о вызовах API и сопоставления этой информации с другими IOC (индикаторами компрометации), чтобы нарисовать более полную картину происходящего. Не волнуйтесь, это также будет подробно объяснено.

Я лично рекомендую быстро просмотреть обзор заметок в конце модуля «Основной статический анализ» , чтобы увидеть, как Мэтт делает заметки, прежде чем вы начнете. Он использует Microsoft OneNote, но если это вам недоступно, будет достаточно текстового процессора с возможностью удержания скриншотов. Вам не нужно понимать, о чем он говорит в данный момент. Просто узнайте, как он делает заметки, чтобы вы могли делать заметки по мере прохождения модуля.

Наконец, Мэтт добавил несколько обновлений с момента первоначального выпуска курса. 28.11.21 он добавил информацию об отличном ресурсе и о том, как его использовать, MalAPI.io от mrd0x. Это поможет вам определить, какими API-интерфейсами Windows обычно злоупотребляют вредоносные программы. Кроме того, 19.11.22 было сделано более свежее обновление, в котором обсуждался инструмент под названием Capa от Mandiant. Capa сам по себе является зверем и соответствует таким фреймворкам, как MITRE ATT&CK , отраслевому стандарту определения тактики, методов и процедур (TTP), а также Каталогу поведения вредоносных программ или MBC.

О, и я уже упоминал, что сегодня Мэтт Кили проводит мероприятие Advent of Cyber ​​2022 на TryHackMe, и есть песня, которую нужно сопровождать. Я проверю это после того, как опубликую это.