Giriş

Bu makalede, son iki yazımda anlattığım tespit mühendisliği sürecini takip ederek HTML kaçakçılığı tespitini derinlemesine inceleyeceğim. Bu süreç, araştırma, test etme ve yeni algılama konseptlerinin geliştirilmesini içerir. Ancak önceki gönderilerimin aksine, bu kez laboratuvarda gerçek QakBot kötü amaçlı yazılımlarını gözlemliyor, profilliyor ve tespit ediyor olacağız. Bu parça ile, mevcut ve gelecek vadeden tespit mühendislerinin, gerçek dünyadaki saldırgan tekniklerini incelemek ve tespit etmek için simüle edilmiş, CTF tarzı zorlukların ötesine nasıl geçebileceğini, bunları SOC'miz için işaretlediğini ve olay müdahale meslektaşlarımızın tehdidi etkisiz hale getirmesine izin verdiğini göstermeyi umuyorum.

Seyahat Programımız

Biraz bilgi edindikten ve hedefi tanımladıktan sonra, Splunk'taki davranışını izleyerek, laboratuvarda QakBot HTML Smuggling kötü amaçlı yazılımını nasıl yürütebileceğimizi göstereceğim. Ardından, bu saldırının gözlemlenebilir olaylarını sıralayacağım ve faydalı tespit noktalarını ("yapı taşları" veya saldırı zincirinin halkaları olarak düşündüğüm) belirleyeceğim. Ayrıca, tehdit algılama araç kutunuzdaki çok önemli bir araç olan korelasyonu (özellikle zincir kurallarını) tanıtacağım. Bunun neye benzediğini göstermek için, Sigma'nın henüz yayınlanmamış bir yeteneği olan Sigma Korelasyonlarını tartışacağım ve göstereceğim. Nasıl performans gösterdiğini görmek için yeni bir zincir kuralını 10 ek QakBot HTML Smuggling kötü amaçlı yazılım örneğine karşı test ederek toparlayacağım.

Başlayalım!

Arka plan

Siber güvenlik yolculuğumun başlarında, Black Hills Information Security'den John Strand, aklımda kalan bir şey söyledi: "'SALDIRILDINIZ' günlüğü yok." Olay günlükleri kafa karıştırıcı olabilir ve iyi bir günde bile okunması zor olabilir. Günlüklerden yararlı, eyleme geçirilebilir içgörüler elde etmek zordur! Zorluk bazen başarılı olmak için derin analiz ve özel teknikler gerektirir.

Güvenlik kariyerim boyunca bu dersi aklımın bir köşesinde yaşadım ve bu düşünceyle birkaç ay önce @pr0xylife'dan bunun gibi tonlarca gönderi görmeye başladım :

Pr0xylife ve meslektaşlarının bu saldırıları kısa ve öz bir şekilde özetleme şeklini seviyorum ve kendimi dosya türlerinin sırasını yüksek sesle tekrarlarken buldum - neredeyse tuhaf bir şiir biçimi gibi!

Daha fazlasını öğrenmek istiyordum ama nasıl başlayacağımı bilmiyordum. Trellix ekibi tarafından QakBot hakkında yapılan bazı mükemmel araştırmaları inceledim, bu yüzden teknikleri hakkında biraz bilgi sahibi oldum. (QakBot'u hiç duymadıysanız, lütfen Trellix raporunu okuyun!) QakBot etkinliğini takip etmeye ve daha derine inmeye başladığımda, pr0xylife ve diğerlerinin, QakBot'un kurbanlarını kandırıp bizimkinden kaçabilme yolundaki ince kombinasyonları ve varyasyonları tanımladığını fark ettim. savunmalar. Bazı örnekler:

• Kodlanmış JavaScript içeren kötü amaçlı bir HTML dosyasının kurbanın tarayıcısı tarafından yürütülerek yükün bir sonraki aşamasını indirdiği HTML Kaçakçılığını kullanır .
• Korumalı alan analizini engellemek için parola korumalı zip dosyaları kullanır .
• Red Canary'nin çok iyi açıkladığı gibi, Mark-of-the-Web korumasından kaçınmak için .iso dosyası adı verilen bir disk görüntüsü formatı kullanır .
• Kullanıcıları gizli .CMD ve .DLL dosyalarını çalıştırmaya çekmek için kılık değiştirmiş LNK dosyaları.
• Ve her zamankinden daha aldatıcı numaralarla devam ediyor!

Amaç

HTML kaçakçılığı ve diğer QakBot bağlantılı teknikler için bazı tespitler var. Bunlar çoğunlukla, Elastic security'deki gibi eşleşen şüpheli günlük olaylarını temel alır:

Saldırı davranışındaki ince değişimlere karşı dayanıklı hale getirmek için (basit eşlemenin aksine) korelasyon kullanarak kendi tespitlerimi oluşturup oluşturamayacağımı görmek istedim .

TBH, ayrıca QakBot'un aptal hilelerinden bıkmıştım ve onu doğrudan görüş alanımıza yerleştirmek için güvenilir bir yol istiyordum.

QakBot Kötü Amaçlı Yazılımlarının İlk Gözlemi ve Analizi

Hedefime ulaşmak için, güvenlik sağlayıcılarından alınan tehdit istihbaratı raporlarının ve Atomic Red Team testlerinin ötesine geçmem gerekiyordu; Gerçek kötü amaçlı yazılım örneklerinden oluşturulan kendi verilerime ihtiyacım vardı. Eski bir favoriye döndüm: Brad Duncan'ın (@malware_traffic) yazdığı malware-traffic-analysis.net. Bu site güvenlik konusunda karşılaştığım en faydalı eğitim kaynakları arasında yer alıyor. Site, Wireshark eğitimlerine ve uygulamalı ağ trafiği alıştırmalarına ek olarak, QakBot HTML kaçakçılığı dosyaları da dahil olmak üzere gerçek dünyadaki kötü amaçlı yazılım örneklerinin kaliteli analizini sunar.

Laboratuvar VM'lerimin anlık görüntülerini aldıktan sonra, sanal algılama laboratuvarımı çalıştırdım ve yakın tarihli bir girişi ziyaret ettim. Dikkatli olun, bu sitede barındırılan dosyalar güvenli değildir!

Artifacts zip dosyasını indirdim ve algılama laboratuvarımda yerleşik olan WinRAR yardımcı programını kullanarak indirilenler klasörüme çıkardım:

IOC notları, dahil edilen dosyalara bağlam vermede son derece yardımcı oldu. Notlar arasında, bulaşma zincirinin SCAN_DT6281.html adlı HTML dosyasıyla başladığını bana bildiren aşağıdakiler vardı.

2022-12-09 (FRIDAY) - HTML SMUGGLING FOR QAKBOT (QBOT) DISTRIBUTION TAG: AZD

DISTRIBUTION:

- Unknown source, possibly email --> HTML file --> password-protected zip archive --> extracted ISO image with .img file extension

…elbette zip dosyasını açalım, neden olmasın?

Zip dosyası parola korumalıydı ancak HTML sayfasında görüntülenen parola kullanılarak açılabilirdi. Zip dosyası, takılabilir başka bir disk görüntü dosyası biçimi olduğunu bildiğim tek bir .img dosyası içeriyordu. Buna çift tıklamak, dosyayı sistemimde D sürücüsü olarak bağladı:

Ayrıca bir .lnk dosyası, Psikoloji ile ilgili Wikipedia sayfasından alıntılar içeren (şaka yapmıyorum) iki metin dosyası, bir .cmd dosyası ve bir .lc dosyası içeren IncomingPay adında gizli bir dizin fark ettim.

Bir güvenlik uzmanı ve kurumsal güvenlik farkındalığı eğitiminin görevine sadık bir izleyicisi olarak, tüm 'larım havadaydı ve esintiyle dalgalanıyordu. Ama bu bilim için, ben de yemi yutup LNK dosyasına çift tıklıyorum, tıpkı saldırganın kurbanın yapmasını istediği gibi. Birkaç saniyeliğine bir komut satırı penceresi görünür, ardından kaybolur:

LNK dosya hedefi özelliği ilginçtir:

C:\Windows\System32\cmd.exe /c IncomingPay\Issues.cmd A B C D E F G H I J K L M N O P Q R S T U V W X Y Z 0 1 2 3 4 5 6 7 8 9

Hangi aramaların çalıştırılacağını nasıl bilebilirim? Tam olarak bilmiyorum, ancak bir analist ve araştırmacı olarak deneyimlerime dayanarak, günlüklerimde görünebilecek belirli türde kanıtların olduğunu biliyorum - işlem yürütme, dosya oluşturma, ağ bağlantıları ve benzerleri. Güvenlik analisti olarak iş başında deneyim veya iyi dozda CTF tarzı eğitimler ( CyberDefenders veya LetsDefend'de bulunanlar gibi ) burada işe yarar.

Aramalarımı birkaç kez tazeledikten ve yanlış bir şey yapıp yapmadığımı merak ettikten sonra, kesin, reddedilemez bir izinsiz giriş işareti fark ettim: kurban sunucumda bir keşif faaliyeti patlaması:

Bu komutlara bakarken, meydana geldikleri süreyi not ettim - hepsi birkaç saniye içinde! Ayrıca, işlemlerin tümü olağandışı bir ebeveyn olan wermgr.exe (Windows Hata Raporlama Yöneticisi) tarafından oluşturuldu. Belki de iyi bir tespit fırsatı? En karışık yönetici veya aşırı oluşturulmuş [yasal] yazılım parçası bile, tüm bu şüpheli keşif komutlarını bu kadar kısa bir zaman dilimi içinde ve asla bir wermgr.exe'nin çocukları olarak çalıştırmaz. Ağ bağlantılarıma geçerken, wermgr.exe'nin birdenbire harici IP adresleriyle son derece konuşkan hale geldiğini fark ettim:

Verilerimin bu ilk değerlendirmesini takiben, şunları belirledim:

• Kötü amaçlı yazılım örneği, kötü amaçlı bir ilk erişim vektörü (duh, .html, .zip, .img, .lnk, .cmd ve .lc dosyalarının hileli galerisi) içeriyordu.
• Kötü amaçlı yazılım, HTML sayfasını bir tarayıcıda açtıktan sonra zip dosyasını indirir ve zip dosyası takılabilir bir .img dosyası içerir.
• Takılan sürücü, ek komutların yürütülmesine neden olacak kötü amaçlı bir kısayol içeriyordu.
• Enjekte edilen bir wermgr.exe işlemi, otomatik bir keşif etkinliği patlaması oluşturdu ve ardından muhtemelen saldırgana sistemimiz ve ağımız hakkında bilgi göndermek için şüpheli harici IP adreslerine bağlandı.

Saldırıyı Tespit Yapı Taşlarına Ayrıştırma

Laboratuarda QakBot HTML kaçakçılığı tekniğinin ilk uygulamasını gerçekleştirdikten ve VM anlık görüntülerime geri döndükten sonra, neler olduğunu görmek için günlükleri daha fazla inceleme zamanı gelmişti.

Saldırının yarattığı çeşitli olay türlerini incelerken, neler olduğuna dair sade bir anlatım anlayışı geliştirmeye başladım:

“Bir saldırgan , kurbana, onları ilgilendiren bir rapor, fatura veya başka bir belge içerdiğini iddia eden bir HTML dosyası gönderir . Temel olarak, bir kimlik avı tuzağı. Kurban dosyayı tarayıcısında açtığında , kurbanın sistemine parola korumalı bir zip dosyası indiren veya oluşturan katıştırılmış JavaScript kodu yürütülür . Kurban arşivi açtığında , çıkarma işlemi takılabilir bir disk görüntü dosyası oluşturur. Sürücüyü monte ettikten sonra kullanıcı, kendisini bulmaya çalıştıkları kaynağa götüreceğine inandıkları bir kısayol görür. Ancak kısayol, aslında diğer kötü amaçlı dosyaları yürüten bir komut veya komut dosyası yorumlayıcısını çağırır.disk sürücüsünde gizli olan ve ilk erişim güvenliğinin tehlikeye girmesine yol açan."

Orada çok uzun bir nesir yığını var, ama kafamda mantıklı geliyor. Bir şeyi tespit edeceksem, önce onu anlamam gerekiyor! Kalın metne dikkat edin: Saldırı zincirini tespit etmek için kullanabileceğim olayları vurgulamak için anlatımımı kullandım. Bu incelemeye dayanarak, aşağıdaki olayları izole etmeye çalışarak saldırının günlüklerini analiz ettim:

1. Bir HTML eki içeren kurbana gönderilen kimlik avı e-postası.
2. Şüpheli konumlarda bir HTML dosyasının oluşturulması.
3. Bir tarayıcı uygulamasında bağımsız bir HTML dosyasının açılması.
4. Tarayıcı uygulaması tarafından bir zip dosyasının indirilmesi/oluşturulması.
5. Parola korumalı bir zip dosyasının açılması/çıkarılması.
6. Takılabilir bir disk sürücüsü dosya biçiminin (.iso, .img, vb.) oluşturulması.
7. Bir sürücünün montajı.
8. Harici bir sürücüde işlem yürütme (ya o sürücüdeki bir yürütülebilir dosyadan ya da o sürücüdeki dosyalara dokunan sistem yürütülebilir dosyasından).

Güzel haberler

İyi haber şu ki, yukarıda listelenen hemen hemen her olayı tespit etmenin yolları var! Bu, gelecekteki algılamalar için anlamlı olayları (yapı taşları) ayıklamak için mevcut günlükleri nasıl sorgulayacağıma ve filtreleyeceğime dair çok sayıda fikrim olduğu anlamına geliyor.

Kötü Haber

Kötü haber şu ki, bu pek çok olayın hiçbiri tek başına kötü niyetli değil. Yine, SALDIRILDINIZ günlüğü yok: Bu olayların her biri normal iş akışı içinde meydana gelebilir ve tamamen güvenli ve zararsız olabilir. Çözüm, bu olayları sıralı veya sırasız bir sırayla ilişkilendirmek, bunları ana bilgisayar adı gibi ortak bir özniteliğe göre gruplandırmak ve tüm bunlar bir saat gibi bir zaman penceresi içinde gerçekleştiğinde bir uyarı tetiklemek olacaktır. Sorun şu ki, benim analizim ve testlerim (birazdan bunun hakkında daha fazla bilgi vereceğim), birçok olayı zincirlemek veya ilişkilendirmek kırılgan bir tespitle sonuçlanacak.

Gevrek ve Esnek

"Kırılganlık", saldırgan tekniklerindeki ince değişiklikler, kurbanın gerçekleştirdiği eylemlerdeki farklılıklar, günlük kaydıyla ilgili sorunlar veya kontrolümüz dışındaki diğer faktörler karşısında bir tespit fikrinin ne derece başarısız olduğunu tanımlar. Kırılgan algılamalar, esnek olan ve bu ince değişimlere dayanabilen "esnek" algılamalarla tezat oluşturuyor.

"Kırılgan = kötü ve esnek = iyi" demek kadar basit değil. Kırılgan bir algılama, dar bir "açıklık" ile yüksek oranda hedeflenebilir. Avantajı, kırılgan bir saptama kuralı etkinleşirse, bunun gerçek bir pozitif olma olasılığının çok yüksek olması olabilir. Dirençli algılamalar daha geniş bir açıklığa sahip olabilir ve daha fazla olası kötü amaçlı etkinlikle eşleşebilir. Ancak bu, dikkatli bir şekilde geliştirilmezlerse yanlış pozitiflere ve hüsrana uğramış bir SOC'ye yol açabilir.

Bunu aklımda tutarak, yukarıdan olaylar listeme geri döndüm.

Test Edilecek Yapı Taşlarını Belirleme

Bağlam olarak, yukarıdaki listedeki birden üçe kadar olan öğelerin HTML Kaçakçılığı tespitimin iyi bileşenleri olmayabileceğini fark ettim. Görünürlük eksikliği ve yüksek hacimli masum davranış, 1. maddeyi engelleyecektir. Bu olayı test etme yeteneğim sınırlı olduğu için ikinci maddeyi vurdum ve kullandığım tarayıcıya bağlı olarak üçüncü madde güvenilmez oldu. Ayrıca, teknik olarak HTML Kaçakçılığı olmasa da, birçok QakBot etkinliği, ilk yükü teslim etmek için bağımsız HTML dosyaları yerine URL'leri kullanır.

Beşinci öğe (parola korumalı bir zip dosyasının çıkarılması) çok fazla potansiyele sahiptir ve Florian Roth tarafından yazılan ve @SBousseaden araştırmasından esinlenen bu kural kullanılarak tespit edilebilir . Ancak, 1) bu olay laboratuvarımda günlüğe kaydedilmediği ve 2) bazı belgeler bunun yalnızca belirli işletim sistemleri için geçerli olduğunu gösterdiği için onu kapsamımın dışında bıraktım.

Verilerimi keşfettikten, korelasyonum için olası tespit yapı taşlarını sıraladıktan ve daha fazla analize dayalı olarak bu listeyi gözden geçirdikten sonra, aşağıdaki yapı taşlarını elde ettim:

1. Web Tarayıcı Zip Arşiv Dosyası Oluşturur (İndirir) (kötü amaçlı HTML dosyasını bir tarayıcıda açmayı temsil eder).
2. Zip'ten Çıkarılan ISO, VHD, LNK veya IMG Dosyası (kötü amaçlı disk görüntü dosyasını ayıklamak).
3. Disk Image Mount (görüntünün montajı - bunu doğrudan Sigma'dan çektim).
4. Harici Sürücüde Şüpheli Kullanıcı Tarafından Başlatılan İşlem Yürütme (harici sürücüdeki dosyaları çalıştıran veya dosyalara başvuran .lnk dosyasını tıklatarak).

Sigma Korelasyonları

Korelasyon, günlük olaylarını zaman içinde izlememizi sağlar. Bir zincirleme kural korelasyonu, yukarıda listelenen dört olayın her biri için bir uyarı tetiklemek yerine, yalnızca dört olayın tümü aynı ana bilgisayarda aynı kullanıcı tarafından sırayla meydana geldiğinde uyarı vermemize olanak tanır ki bu çok daha şüphelidir. Birçok SIEM ürünü ve bunlara karşılık gelen sorgu dilleri, bu tür zincirlemeyi destekler (bazıları desteklemese de).

Bu işlevselliği desteklemek için Sigma'nın, ortak bir formatta özel korelasyon kuralları yazmamıza ve ardından bunları bu mantığı destekleyen herhangi bir SIEM ürününe dönüştürmemize izin verecek bir Korelasyonlar standardı vardır. Taslak standart burada incelenebilir:

Bu neye benzeyebilir? Bu bir taslak standarttır ve değişikliğe tabidir , ancak kaba kuvvet zincir kuralına basit bir örnek şöyle görünebilir:

action: correlation
type: temporal
rule:
    - many_failed_logins
    - successful_login
group-by:
    - User
timespan: 1h
ordered: true

Taslak korelasyon kuralım şöyle görünür:

title: HTML Smuggling Activity - Chain Rule
id: 0952f2fa-e29b-4eb5-831c-ce21520c56e3
status: experimental
description: Detects HTML smuggling-style compromise (such as HTML > ZIP > ISO/IMG/VHD > CMD/BAT/VBS > DLL). Includes rules to detect zipfile dropped by browser, ISO/IMG/VHD/LNK file extraction, disk image mount, followed by user-initiated process creation on an external drive.
references:
    - https://blog.talosintelligence.com/html-smugglers-turn-to-svg-images/#:~:text=HTML%20smuggling%20is%20a%20technique,directly%20on%20the%20victim's%20device.
    - https://www.malwarebytes.com/blog/news/2021/11/evasive-maneuvers-html-smuggling-explained
    - Original research and analysis performed off of QakBot intelligence gathered at https://github.com/pr0xylife/Qakbot, https://www.malware-traffic-analysis.net/, and https://github.com/executemalware/Malware-IOCs
author: Micah Babinski
date: 2022/12/27
tags:
    - attack.s0650
    - attack.s0483
    - attack.initial_access
    - attack.defense_evasion
    - attack.execution
    - attack.t1564
    - attack.t1566.001
    - attack.t1566
    - attack.t1027
    - attack.t1027.006
    - attack.t1059
    - attack.t1204
    - attack.t1204.002
action: correlation
type: temporal
rule:
    - 1_win_zipfile_drop.yml
    - 2_win_susp_file_extraction.yml
    - 3_win_security_iso_mount.yml
    - 4_win_process_creation_ext_drive.yml
group-by:
    - ComputerName
    - User
timespan: 1h
ordered: true
falsepositives:
    - Unknown
level: high

Yine, Sigma Korelasyonları belirtimi geliştirme aşamasındadır ve değişikliğe tabidir. Yine de bu, Sigma'nın yeteneklerinin çok faydalı bir genişlemesi olacak, bu yüzden şimdi sizin için önizlemesini yapmak istedim!

Korelasyonun Test Edilmesi

Bu algılama kavramının şekillenmesi ve korelasyon kuralım şeklinde geliştirilen bir hipotez ile, algılamayı daha büyük bir örneklem boyutuyla test etmenin zamanı gelmişti. Abuse.ch'in etiketli kötü amaçlı yazılım örneklerinden oluşan yararlı bir kitaplık sağlayan MalwareBazaar deposuna güvendim. İlk görülme tarihleri ​​11 Temmuz ile 22 Aralık 2022 arasında değişen ve çoğu pr0xylife tarafından bildirilen 10 QakBot HTML örneğini indirdim. Örnekleri laboratuvar sanal makinemde hazırladım ve her birini ilk görülme tarihine ve "humanhash"ına göre adlandırdım. özellik (rastgele, benzersiz bir insan tarafından okunabilir sözcük dizisi, örneğin (“dakota-earth-mockingbird-march”):

Sonuçlarımı izlemek için Google E-Tablolar'da basit bir tablo yaptım:

Her testten sonra geri dönmek için kurban sanal makine sunucumun temiz, ön test anlık görüntüsünü oluşturdum ve teste başladım. On örneğin yedisini test ettikten sonra, dört yapı taşından oluşan dizim mükemmel kapsama alanı sağladı! Ancak sekizinci örneği vurduğumda, zincirdeki dördüncü kural tetiklenmedi çünkü .lnk dosyası cmd.exe veya wscript.exe yerine doğrudan RunDLL32.exe'yi çağırdı. Bu iyiydi - Sigma kuralımın koşullarında bir ayarlama yaptım, yeniden test ettim ve mükemmel eşleşmeler elde ettim! Sonuçlardan çok memnun kaldım ve algılama kullanım senaryosunu toplulukla paylaşmaktan heyecan duydum.

Bonus Turu!

Çoğu QakBot kimlik avı saldırısında .html ekleri kullanılmaz, bunun yerine gömülü bağlantılar içeren kötü amaçlı .pdf dosyaları veya güvenliği ihlal edilmiş bir web sitesinde barındırılan zip dosyalarına işaret eden eski moda kimlik avı bağlantıları kullanılır. Tespitimin bu örnekleri de yakalayacak kadar esnek olup olmadığını test etmek için, bunları @ExecuteMalware tarafından sağlanan IOC deposundaki son birkaç örnek üzerinde test ettim ve bu URL tabanlı saldırıların da algılama tarafından yakalandığını gördüm. Burada belgelenen dosya, aşina olmadığım ama yine de algılamamla yakalandığım bir dosya türü olan bir .wsf (Windows Komut Dosyası) içeriyordu.

Dayanıklılık için yaşasın!

Çözüm

Tebrikler! Bazı yoğun, karmaşık konular hakkında uzun bir yazının sonuna geldiniz. Başvurulan tüm kuralları burada bulabilirsiniz . Okuduğunuz için teşekkür ederim ve umarım QakBot, HTML Kaçakçılığı, Sigma ve korelasyonlar hakkındaki saçma sapan yazılarımı beğenmişsinizdir. Sigma Correlations'ın lansmanı için gerçekten heyecanlıyım. Algılama mühendisliği topluluğu için büyük bir kazanç olacak ve daha gelişmiş algılama kullanım durumlarını paylaşmamıza olanak tanıyacak.

Özellikle zincir kuralımdaki yapı taşlarından birinin başarısız olduğunu ve ayarlanması gerektiğini gösterdiğinde, testlerimin gidişatından gerçekten memnun kaldım! Sonuçta, işinizin zaten mükemmel olduğunu düşünüyorsanız neden test edesiniz? Son olarak, bu deneyim benim için zaten inanmaya başladığım şeyi, yani anlamadığımız şeyi tespit edemediğimizi anlamamı sağladı. Ne yaptığını görmeye çalışıyorsanız, gerçek canlı kötü amaçlı yazılımla ilk elden deneyimin yerini hiçbir şey tutamaz.

Daha önceki yazılarımda hayran kaldığım Detection Lab projesi sayesinde bu gerçek hayat deneyimi her zamankinden daha fazla kişiye ulaşıyor. Son olarak, erişmemiz, analiz etmemiz ve anlamamız için iyi belgelenmiş QakBot kötü amaçlı yazılım örneklerinin bozulmamış depolarını sağlayan pr0xylife, Brad (malware_traffic) ve executivemalware sayesinde. Bunlar gerçekten bir eğitim hazinesi!

Lütfen bana nasıl geliştirebileceğim konusunda fikir, yorum veya önerilerinizi göndermekten çekinmeyin. Bu konuda hala yeniyim ve her türlü saygılı geri bildirim ve eleştiriyi memnuniyetle karşılıyorum.

Her zaman olduğu gibi, iyi analizler!