#Security #IncidentResponse

سناریو :

در این تحلیل، یک سناریوی واقعی از کشف و بررسی بدافزار ValleyRAT در یک شبکه سازمانی صنعتی مورد بررسی قرار گرفته است. ماجرا از جایی آغاز شد که یک هشدار در کنسول Endpoint Detection ثبت شد.

یک ورک‌استیشن ویندوزی در شبکه تولید، تغییر مشکوکی را در کلیدهای استاندارد Run رجیستری نشان می‌داد.

این سناریو مربوط به یک تیم Incident Response است که پس از هشدار EDR و تایید SIEM مبنی بر تغییر مشکوک در کلیدهای Startup رجیستری، وارد فاز تحلیل عمیق بدافزار می‌شود.

هدف اصلی، درک کامل رفتار ValleyRAT، شناسایی قابلیت‌های مخرب آن و استخراج زیرساخت فرماندهی و کنترل (C2) برای اقدامات دفاعی بعدی است.

🔹 بررسی مکانیزم‌های ماندگاری (Persistence) در سیستم و نحوه تثبیت بدافزار
🔹 تحلیل تغییرات مشکوک در Run Key رجیستری و ارتباط آن با اجرای خودکار
🔹 استخراج و رمزگشایی Payloadهای رمزگذاری‌شده درون فایل
🔹 بررسی نحوه اجرای Shellcode و تزریق آن در حافظه
🔹 تحلیل تکنیک‌های دور زدن مکانیزم‌های امنیتی و کاهش احتمال شناسایی
🔹 استخراج تنظیمات داخلی، ساختار ارتباطی و آدرس‌های سرورهای C2


🦅 کانال بایت امن | گروه بایت امن
_

#ReverseEngineering

مهندسی معکوس یک Rootkit امضاشده توسط مایکروسافت، درایور Netfilter

اخیرا به مقاله‌ای برخوردم که یکی از اتفاقات جالب دنیای امنیت ویندوز را بررسی می‌کند و اون ماجرای درایور مخربی به نام Netfilter که در سال ۲۰۲۱ توانست با امضای معتبر مایکروسافت منتشر شود.

نویسنده مقاله در حین بررسی روش‌های دور زدن Driver Signing Enforcement (DSE) سراغ این نمونه رفته و نشان می‌دهد مهاجمان چگونه توانستند از فرآیند امضای درایورها عبور کنند و یک Rootkit را با ظاهری کاملا معتبر روی سیستم‌های ویندوز اجرا کنند.

برخی از موضوعات مطرح‌شده در این تحلیل:

🔹 نحوه عملکرد درایور Netfilter
🔹 فرآیند امضای درایورها در ویندوز
🔹 تکنیک‌های مورد استفاده در Rootkitهای سطح Kernel
🔹 دلایل موفقیت این نمونه در دریافت امضای معتبر
🔹 تغییراتی که مایکروسافت پس از این حادثه در فرآیند تأیید و امضای درایورها اعمال کرد

🦅 کانال بایت امن | گروه بایت امن
_

#AI #EDR

پروژه Project Onyx یک پروژه تحقیقاتی Red Team است که به جای استفاده از روش های سنتی مخفی سازی فایل و کد، روی پنهان کردن رفتار و اجرای چند لایه تمرکز دارد.

در این معماری چند تکنیک مختلف با هم ترکیب شده اند از جمله جعل تله متری مبتنی بر هوش مصنوعی، وابسته کردن اجرا به سخت افزار هدف، مخفی سازی داده ها داخل مدل های ONNX، اجرای کد در محیط WebAssembly و استفاده از به روزرسانی مدل ها برای ارتباط با سرور کنترل.

نویسنده تاکید می کند که این پروژه یک بای پس عملی برای EDR های تجاری نیست و بیشتر به عنوان یک نمونه تحقیقاتی و نقطه شروع برای بررسی ایده های جدید در حوزه EDR Evasion طراحی شده است.

همچنین Payload نهایی عمدا بسیار محدود است و فقط یک Beacon ساده ارسال می کند تا بتوان کل زنجیره اجرا را بدون انجام فعالیت های مخرب یا Post Exploitation بررسی کرد.

🦅 کانال بایت امن | گروه بایت امن
_

#EDR #DLLHIJACKING

با وجود پیشرفت ابزارهای امنیتی و EDR ها در سال های اخیر، DLL Hijacking همچنان یکی از تکنیک های پرکاربرد در حملات ویندوزی محسوب می شود.

در این مطلب، نویسنده به بررسی این تکنیک، نحوه سوء استفاده از فرآیند بارگذاری DLL ها و دلایلی می پردازد که باعث شده DLL Hijacking همچنان برای اجرای کد، ماندگاری و افزایش سطح دسترسی مورد توجه مهاجمان قرار بگیرد.

تقریبا تمامی روش ها در این مقاله پوشش داده شده.

🦅 کانال بایت امن | گروه بایت امن
_