Ders 3.3: Dizeler ve göstergeler
Can, Q3-report.xlsm'i gerçekten açmış. Bilgisayarı yalıtıldı ve uç nokta koruması iki dosya yakaladı: makronun indirdiği PowerShell betiği ve onun bıraktığı bir DLL. Statik analiz, bir dosyanın ne yaptığını onu çalıştırmadan içeriğinden öğrenmektir. Betiği güvenle metin olarak okuyor, yeniden başlatmadan nasıl sağ çıktığını buluyor, gizli Base64 komutunu çözüyor, DLL'den okunabilir dizeleri çıkarıyor ve bulduklarını ekibin diğer tüm makinelerde arama yapmasını sağlayan ele geçirilme göstergelerine (IOC) dönüştürüyorsun.
17 dk
Bu derste öğreneceklerin
- Statik ve dinamik analizi açıklamak
- Bir betiği çalıştırmadan güvenle okumak
- Run anahtarıyla kalıcılığı tanımak
- Bir PowerShell -enc komutunu çözmek
- Bir ikili dosyadan dizeleri ve IOC'leri çıkarmak
Temel terimler
- Statik analiz
- Bir dosyanın içeriğini ve yapısını onu çalıştırmadan incelemek.
- Ele geçirilme göstergesi (IOC)
- Bir saldırıya işaret eden gözlemlenebilir iz: özet, IP, alan adı, URL, dosya yolu, kayıt defteri anahtarı ya da mutex.
- Kalıcılık
- Zararlı yazılımın yeniden başlatma ya da oturum kapatma sonrasında tekrar başlamasını sağlayan teknik.
- Kodlanmış komut
- Base64 olarak gizlenmiş komut (PowerShell -enc / -EncodedCommand UTF-16LE metin kullanır).
- C2 (komuta ve denetim)
- Bulaşılmış makinelerin rapor verdiği ve emir aldığı saldırgan sunucusu.
- Mutex
- Bir programın oluşturduğu adlandırılmış kilit; zararlı yazılım yalnızca bir kopya çalışsın diye sabit bir ad kullanır, bu da onu güvenilir bir gösterge yapar.
← Metin dosyalarına bakmak: cat, less ve more · Tüm dersler · Özel adresler, NAT ve port yönlendirme →