വോട്ടെടുപ്പ് പരാജയപ്പെട്ടു: നമുക്ക് AgentTesla ശുദ്ധജലത്തിലേക്ക് തുറന്നുകാട്ടാം. ഭാഗം 3

ഈ ലേഖനം ഉപയോഗിച്ച് ഞങ്ങൾ ക്ഷുദ്ര സോഫ്റ്റ്‌വെയറിന്റെ വിശകലനത്തിനായി നീക്കിവച്ചിരിക്കുന്ന പ്രസിദ്ധീകരണങ്ങളുടെ പരമ്പര പൂർത്തിയാക്കുന്നു. IN ആദ്യ ഭാഗം ഒരു യൂറോപ്യൻ കമ്പനിക്ക് മെയിൽ വഴി ലഭിച്ച ഒരു രോഗബാധയുള്ള ഫയലിന്റെ വിശദമായ വിശകലനം ഞങ്ങൾ നടത്തി അവിടെ നിന്ന് AgentTesla സ്പൈവെയർ കണ്ടെത്തി. ഇൻ രണ്ടാം ഭാഗം പ്രധാന AgentTesla മൊഡ്യൂളിന്റെ ഘട്ടം ഘട്ടമായുള്ള വിശകലനത്തിന്റെ ഫലങ്ങൾ വിവരിച്ചു.

ഇന്ന് സിഇആർടി ഗ്രൂപ്പ്-ഐബിയിലെ ക്ഷുദ്രവെയർ വിശകലനത്തിലെ സ്പെഷ്യലിസ്റ്റായ ഇല്യ പോമറാൻസെവ്, ക്ഷുദ്രവെയർ വിശകലനത്തിന്റെ ആദ്യ ഘട്ടത്തെക്കുറിച്ച് സംസാരിക്കും - സിഇആർടി ഗ്രൂപ്പ്-ഐബി സ്പെഷ്യലിസ്റ്റുകളുടെ പരിശീലനത്തിൽ നിന്നുള്ള മൂന്ന് മിനി കേസുകളുടെ ഉദാഹരണം ഉപയോഗിച്ച് ഏജന്റ്ടെസ്‌ല സാമ്പിളുകളുടെ സെമി-ഓട്ടോമാറ്റിക് അൺപാക്കിംഗ്.

സാധാരണഗതിയിൽ, ക്ഷുദ്രവെയർ വിശകലനത്തിന്റെ ആദ്യ ഘട്ടം ഒരു പാക്കർ, ക്രിപ്റ്റർ, പ്രൊട്ടക്ടർ അല്ലെങ്കിൽ ലോഡർ എന്നിവയുടെ രൂപത്തിലുള്ള സംരക്ഷണം നീക്കംചെയ്യലാണ്. മിക്ക കേസുകളിലും, ക്ഷുദ്രവെയർ പ്രവർത്തിപ്പിക്കുന്നതിലൂടെയും ഒരു ഡംപ് നടത്തുന്നതിലൂടെയും ഈ പ്രശ്നം പരിഹരിക്കാൻ കഴിയും, എന്നാൽ ഈ രീതി അനുയോജ്യമല്ലാത്ത സാഹചര്യങ്ങളുണ്ട്. ഉദാഹരണത്തിന്, ക്ഷുദ്രവെയർ ഒരു എൻക്രിപ്റ്ററാണെങ്കിൽ, അത് അതിന്റെ മെമ്മറി റീജിയണുകൾ ഡംപ് ചെയ്യപ്പെടാതെ സംരക്ഷിക്കുന്നുവെങ്കിൽ, കോഡിൽ വെർച്വൽ മെഷീൻ ഡിറ്റക്ഷൻ മെക്കാനിസങ്ങൾ ഉണ്ടെങ്കിൽ, അല്ലെങ്കിൽ മാൽവെയർ ആരംഭിച്ച ഉടൻ തന്നെ റീബൂട്ട് ചെയ്യുന്നുവെങ്കിൽ. അത്തരം സന്ദർഭങ്ങളിൽ, "സെമി-ഓട്ടോമാറ്റിക്" അൺപാക്കിംഗ് എന്ന് വിളിക്കപ്പെടുന്നവ ഉപയോഗിക്കുന്നു, അതായത്, ഗവേഷകന് ഈ പ്രക്രിയയിൽ പൂർണ്ണ നിയന്ത്രണം ഉണ്ട്, എപ്പോൾ വേണമെങ്കിലും ഇടപെടാൻ കഴിയും. AgentTesla കുടുംബത്തിന്റെ മൂന്ന് സാമ്പിളുകൾ ഉപയോഗിച്ച് ഈ നടപടിക്രമം ഒരു ഉദാഹരണമായി പരിഗണിക്കാം. നിങ്ങൾ നെറ്റ്‌വർക്ക് ആക്‌സസ് അപ്രാപ്‌തമാക്കിയാൽ ഇത് താരതമ്യേന ദോഷകരമല്ലാത്ത മാൽവെയറാണ്.

സാമ്പിൾ നമ്പർ 1

കേടുപാടുകൾ CVE-2017-11882 ചൂഷണം ചെയ്യുന്ന ഒരു MS Word പ്രമാണമാണ് ഉറവിട ഫയൽ.

തൽഫലമായി, പേലോഡ് ഡൗൺലോഡ് ചെയ്യുകയും സമാരംഭിക്കുകയും ചെയ്യുന്നു.

പ്രോസസ് ട്രീയുടെയും ബിഹേവിയറൽ മാർക്കറുകളുടെയും വിശകലനം പ്രക്രിയയിലേക്കുള്ള കുത്തിവയ്പ്പ് കാണിക്കുന്നു RegAsm.exe.

ഏജന്റ് ടെസ്‌ലയുടെ സ്വഭാവ സവിശേഷതകളുണ്ട്.

ഡൗൺലോഡ് ചെയ്‌ത സാമ്പിൾ എക്‌സിക്യൂട്ടബിൾ ആണ് ഭാഷയായി- ഫയൽ ഒരു സംരക്ഷകനാൽ സംരക്ഷിച്ചിരിക്കുന്നു .NET റിയാക്ടർ.

നമുക്ക് അത് യൂട്ടിലിറ്റിയിൽ തുറക്കാം dnSpy x86 എൻട്രി പോയിന്റിലേക്ക് നീങ്ങുക.

ചടങ്ങിന് പോയത് കൊണ്ട് തീയതി സമയംഓഫ്സെറ്റ്, പുതിയതിനായുള്ള ഇനീഷ്യലൈസേഷൻ കോഡ് ഞങ്ങൾ കണ്ടെത്തും ഭാഷയായി- മൊഡ്യൂൾ. ഇടാം ബ്രേക്ക്പോയിന്റ് ഞങ്ങൾക്ക് താൽപ്പര്യമുള്ള വരിയിൽ ഫയൽ പ്രവർത്തിപ്പിക്കുക.

തിരികെ നൽകിയ ബഫറുകളിലൊന്നിൽ നിങ്ങൾക്ക് MZ ഒപ്പ് കാണാം (0x4D 0x5A). നമുക്ക് സംരക്ഷിക്കാം.

ഒരു ഡംപ്ഡ് എക്സിക്യൂട്ടബിൾ ഫയൽ ഒരു ലോഡർ ആയ ഒരു ഡൈനാമിക് ലൈബ്രറിയാണ്, അതായത്. റിസോഴ്‌സ് വിഭാഗത്തിൽ നിന്ന് പേലോഡ് എക്‌സ്‌ട്രാക്‌റ്റുചെയ്‌ത് അത് സമാരംഭിക്കുന്നു.

അതേസമയം, ആവശ്യമായ വിഭവങ്ങൾ തന്നെ മാലിന്യത്തിൽ ഇല്ല. അവ പാരന്റ് സാമ്പിളിലാണ്.

യൂട്ടിലിറ്റി dnSpy രണ്ട് അനുബന്ധ ഫയലുകളിൽ നിന്ന് വളരെ വേഗത്തിൽ ഒരു "ഫ്രാങ്കെൻസ്റ്റീൻ" സൃഷ്ടിക്കാൻ ഞങ്ങളെ സഹായിക്കുന്ന വളരെ ഉപയോഗപ്രദമായ രണ്ട് പ്രവർത്തനങ്ങളുണ്ട്.

1. പാരന്റ് സാമ്പിളിലേക്ക് ഒരു ഡൈനാമിക് ലൈബ്രറി "ഒട്ടിക്കാൻ" ആദ്യത്തേത് നിങ്ങളെ അനുവദിക്കുന്നു.

   

2. തിരുകിയ ഡൈനാമിക് ലൈബ്രറിയുടെ ആവശ്യമുള്ള രീതി വിളിക്കാൻ എൻട്രി പോയിന്റിൽ ഫംഗ്ഷൻ കോഡ് വീണ്ടും എഴുതുക എന്നതാണ് രണ്ടാമത്തേത്.

   

ഞങ്ങൾ ഞങ്ങളുടെ "ഫ്രാങ്കെൻസ്റ്റീൻ", സെറ്റ് സംരക്ഷിക്കുന്നു ബ്രേക്ക്പോയിന്റ് ഡീക്രിപ്റ്റ് ചെയ്ത ഉറവിടങ്ങളുള്ള ഒരു ബഫർ തിരികെ നൽകുന്ന ലൈനിൽ, മുമ്പത്തെ ഘട്ടവുമായി സാമ്യമുള്ള ഒരു ഡംപ് നിർമ്മിക്കുക.

രണ്ടാമത്തെ ഡമ്പ് എഴുതിയിരിക്കുന്നു VB.NET ഞങ്ങൾക്ക് പരിചിതമായ ഒരു സംരക്ഷകൻ പരിരക്ഷിച്ച എക്സിക്യൂട്ടബിൾ ഫയൽ കൺഫ്യൂസർഎക്സ്.

സംരക്ഷകനെ നീക്കം ചെയ്തതിന് ശേഷം, ഞങ്ങൾ നേരത്തെ എഴുതിയ YARA നിയമങ്ങൾ ഉപയോഗിക്കുകയും പായ്ക്ക് ചെയ്യാത്ത ക്ഷുദ്രവെയർ ശരിക്കും AgentTesla ആണെന്ന് ഉറപ്പാക്കുകയും ചെയ്യുന്നു.

സാമ്പിൾ നമ്പർ 2

ഉറവിട ഫയൽ ഒരു MS Excel പ്രമാണമാണ്. ഒരു ബിൽറ്റ്-ഇൻ മാക്രോ ക്ഷുദ്ര കോഡിന്റെ നിർവ്വഹണത്തിന് കാരണമാകുന്നു.

തൽഫലമായി, PowerShell സ്ക്രിപ്റ്റ് സമാരംഭിച്ചു.

സ്ക്രിപ്റ്റ് C# കോഡ് ഡീക്രിപ്റ്റ് ചെയ്യുകയും അതിലേക്ക് നിയന്ത്രണം കൈമാറുകയും ചെയ്യുന്നു. കോഡ് തന്നെ ഒരു ബൂട്ട്ലോഡർ ആണ്, സാൻഡ്ബോക്സ് റിപ്പോർട്ടിൽ നിന്നും കാണാൻ കഴിയും.

പേലോഡ് ഒരു എക്സിക്യൂട്ടബിൾ ആണ് ഭാഷയായി- ഫയൽ.

ഫയൽ തുറക്കുന്നു dnSpy x86, അത് അവ്യക്തമാണെന്ന് നിങ്ങൾക്ക് കാണാം. യൂട്ടിലിറ്റി ഉപയോഗിച്ച് അവ്യക്തത നീക്കം ചെയ്യുന്നു de4dot വിശകലനത്തിലേക്ക് മടങ്ങുക.

കോഡ് പരിശോധിക്കുമ്പോൾ, നിങ്ങൾക്ക് ഇനിപ്പറയുന്ന പ്രവർത്തനം കണ്ടെത്താം:

എൻകോഡ് ചെയ്ത വരികൾ ശ്രദ്ധേയമാണ് എൻട്രിപോയിന്റ് и ഇൻകോക്ക് ചെയ്യുക. ഞങ്ങൾ വെച്ചു ബ്രേക്ക്പോയിന്റ് ആദ്യ വരിയിലേക്ക്, ബഫർ മൂല്യം പ്രവർത്തിപ്പിച്ച് സംരക്ഷിക്കുക ബൈറ്റ്_0.

ഡംപ് വീണ്ടും ഒരു ആപ്ലിക്കേഷൻ ഓണാണ് ഭാഷയായി സംരക്ഷിക്കപ്പെടുകയും ചെയ്തു കൺഫ്യൂസർഎക്സ്.

ഉപയോഗിച്ച് ഞങ്ങൾ അവ്യക്തത നീക്കംചെയ്യുന്നു de4dot ലേക്ക് അപ്ലോഡ് ചെയ്യുക dnSpy. ഫയൽ വിവരണത്തിൽ നിന്ന് ഞങ്ങൾ അഭിമുഖീകരിക്കുന്നുണ്ടെന്ന് ഞങ്ങൾ മനസ്സിലാക്കുന്നു CyaX-Sharp ലോഡർ.

ഈ ലോഡറിന് വിപുലമായ ആന്റി അനാലിസിസ് പ്രവർത്തനം ഉണ്ട്.

ബിൽറ്റ്-ഇൻ വിൻഡോസ് പ്രൊട്ടക്ഷൻ സിസ്റ്റങ്ങളെ ബൈപാസ് ചെയ്യൽ, വിൻഡോസ് ഡിഫൻഡർ പ്രവർത്തനരഹിതമാക്കൽ, അതുപോലെ സാൻഡ്‌ബോക്‌സ്, വെർച്വൽ മെഷീൻ ഡിറ്റക്ഷൻ മെക്കാനിസങ്ങൾ എന്നിവ ഈ പ്രവർത്തനത്തിൽ ഉൾപ്പെടുന്നു. നെറ്റ്വർക്കിൽ നിന്ന് പേലോഡ് ലോഡ് ചെയ്യാനോ റിസോഴ്സ് വിഭാഗത്തിൽ സംഭരിക്കാനോ സാധിക്കും. വിക്ഷേപണം അതിന്റെ സ്വന്തം പ്രക്രിയയിലേക്കോ സ്വന്തം പ്രക്രിയയുടെ തനിപ്പകർപ്പിലേക്കോ പ്രക്രിയകളിലേക്കോ കുത്തിവയ്പ്പിലൂടെയാണ് നടത്തുന്നത്. MSBuild.exe, vbc.exe и RegSvcs.exe ആക്രമണകാരി തിരഞ്ഞെടുത്ത പാരാമീറ്റർ അനുസരിച്ച്.

എന്നിരുന്നാലും, ഞങ്ങളെ സംബന്ധിച്ചിടത്തോളം അവ പ്രാധാന്യമർഹിക്കുന്നതിനേക്കാൾ കുറവാണ് ആന്റിഡമ്പ്-ചേർക്കുന്ന പ്രവർത്തനം കൺഫ്യൂസർഎക്സ്. ഇതിന്റെ സോഴ്സ് കോഡ് ഇവിടെ കാണാം സാമൂഹികം.

സംരക്ഷണം പ്രവർത്തനരഹിതമാക്കാൻ, ഞങ്ങൾ അവസരം ഉപയോഗിക്കും dnSpy, ഇത് നിങ്ങളെ എഡിറ്റ് ചെയ്യാൻ അനുവദിക്കുന്നു IL-കോഡ്.

സംരക്ഷിച്ച് ഇൻസ്റ്റാൾ ചെയ്യുക ബ്രേക്ക്പോയിന്റ് പേലോഡ് ഡീക്രിപ്ഷൻ ഫംഗ്‌ഷൻ വിളിക്കുന്ന ലൈനിലേക്ക്. പ്രധാന ക്ലാസിന്റെ കൺസ്ട്രക്റ്ററിലാണ് ഇത് സ്ഥിതിചെയ്യുന്നത്.

ഞങ്ങൾ പേലോഡ് ലോഞ്ച് ചെയ്യുകയും ഡംപ് ചെയ്യുകയും ചെയ്യുന്നു. മുമ്പ് എഴുതിയ YARA നിയമങ്ങൾ ഉപയോഗിച്ച്, ഇത് AgentTesla ആണെന്ന് ഞങ്ങൾ ഉറപ്പാക്കുന്നു.

സാമ്പിൾ നമ്പർ 3

സോഴ്സ് ഫയൽ എക്സിക്യൂട്ടബിൾ ആണ് VB നേറ്റീവ് PE32- ഫയൽ.

എൻ‌ട്രോപ്പി വിശകലനം ഒരു വലിയ എൻ‌ക്രിപ്റ്റ് ചെയ്ത ഡാറ്റയുടെ സാന്നിധ്യം കാണിക്കുന്നു.

അപേക്ഷാ ഫോം വിശകലനം ചെയ്യുമ്പോൾ വിബി ഡീകംപൈലർ ഒരു വിചിത്രമായ പിക്സലേറ്റഡ് പശ്ചാത്തലം നിങ്ങൾ ശ്രദ്ധിച്ചേക്കാം.

എൻട്രോപ്പി ഗ്രാഫ് bmp-image യഥാർത്ഥ ഫയലിന്റെ എൻട്രോപ്പി ഗ്രാഫിന് സമാനമാണ്, വലിപ്പം ഫയൽ വലുപ്പത്തിന്റെ 85% ആണ്.

ചിത്രത്തിന്റെ പൊതുവായ രൂപം സ്റ്റെഗാനോഗ്രാഫിയുടെ ഉപയോഗത്തെ സൂചിപ്പിക്കുന്നു.

പ്രോസസ് ട്രീയുടെ രൂപവും അതുപോലെ ഒരു ഇഞ്ചക്ഷൻ മാർക്കറിന്റെ സാന്നിധ്യവും നമുക്ക് ശ്രദ്ധിക്കാം.

അൺപാക്കിംഗ് പുരോഗമിക്കുകയാണെന്ന് ഇത് സൂചിപ്പിക്കുന്നു. വിഷ്വൽ ബേസിക് ലോഡറുകൾക്ക് (അക്ക VBKrypt അഥവാ വിബിഇൻജെക്ടർ) സാധാരണ ഉപയോഗം ഷെൽകോഡ് പേലോഡ് ആരംഭിക്കുന്നതിനും അതുപോലെ തന്നെ കുത്തിവയ്പ്പ് നടത്തുന്നതിനും.

ൽ വിശകലനം വിബി ഡീകംപൈലർ ഒരു സംഭവത്തിന്റെ സാന്നിധ്യം കാണിച്ചു ഭാരം രൂപത്തിൽ ഫെഗറ്റാസോക് എയർബലൂൺ2.

നമുക്ക് പോകാം IDA പ്രോ നിർദ്ദിഷ്ട വിലാസത്തിലേക്ക് പോയി ഫംഗ്ഷൻ പഠിക്കുക. കോഡ് വളരെയധികം അവ്യക്തമാണ്. ഞങ്ങൾക്ക് താൽപ്പര്യമുള്ള ഒരു ഭാഗം ചുവടെ അവതരിപ്പിച്ചിരിക്കുന്നു.

ഇവിടെ പ്രോസസ്സിന്റെ വിലാസ സ്ഥലം ഒരു ഒപ്പിനായി സ്കാൻ ചെയ്യുന്നു. ഈ സമീപനം അങ്ങേയറ്റം സംശയാസ്പദമാണ്.

ആദ്യം, സ്കാനിംഗ് ആരംഭ വിലാസം 0x400100. ഈ മൂല്യം സ്റ്റാറ്റിക് ആണ്, അടിസ്ഥാനം മാറ്റുമ്പോൾ അത് ക്രമീകരിക്കില്ല. അനുയോജ്യമായ ഹരിതഗൃഹ സാഹചര്യങ്ങളിൽ ഇത് അവസാനത്തെ സൂചിപ്പിക്കും PEഎക്സിക്യൂട്ടബിൾ ഫയലിന്റെ തലക്കെട്ട്. എന്നിരുന്നാലും, ഡാറ്റാബേസ് സ്റ്റാറ്റിക് അല്ല, അതിന്റെ മൂല്യം മാറാം, കൂടാതെ ആവശ്യമായ ഒപ്പിന്റെ യഥാർത്ഥ വിലാസം തിരയുന്നതിന്, അത് വേരിയബിൾ ഓവർഫ്ലോയ്ക്ക് കാരണമാകില്ലെങ്കിലും, വളരെ സമയമെടുക്കും.

രണ്ടാമതായി, ഒപ്പിന്റെ അർത്ഥം iWGK. അദ്വിതീയത ഉറപ്പുനൽകാൻ 4 ബൈറ്റുകൾ വളരെ ചെറുതാണെന്ന് വ്യക്തമാണെന്ന് ഞാൻ കരുതുന്നു. നിങ്ങൾ ആദ്യ പോയിന്റ് കണക്കിലെടുക്കുകയാണെങ്കിൽ, ഒരു തെറ്റ് ചെയ്യാനുള്ള സാധ്യത വളരെ ഉയർന്നതാണ്.

വാസ്തവത്തിൽ, ആവശ്യമായ ശകലം മുമ്പ് കണ്ടെത്തിയതിന്റെ അവസാനം ഘടിപ്പിച്ചിരിക്കുന്നു bmpഓഫ്സെറ്റ് വഴിയുള്ള ചിത്രങ്ങൾ 0xA1D0D.

നിവൃത്തി ഷെൽ കോഡ് രണ്ടു ഘട്ടങ്ങളിലായി നടത്തി. ആദ്യത്തേത് പ്രധാന ബോഡിയെ മനസ്സിലാക്കുന്നു. ഈ സാഹചര്യത്തിൽ, കീ നിർണ്ണയിക്കുന്നത് ബ്രൂട്ട് ഫോഴ്സ് ആണ്.

ഡീക്രിപ്റ്റ് ചെയ്‌തത് ഉപേക്ഷിക്കുക ഷെൽ കോഡ് ഒപ്പം വരികൾ നോക്കുക.

ആദ്യം, ഒരു ചൈൽഡ് പ്രോസസ്സ് സൃഷ്ടിക്കുന്നതിനുള്ള പ്രവർത്തനം ഇപ്പോൾ നമുക്കറിയാം: CreateProcessInternalW.

രണ്ടാമതായി, സിസ്റ്റത്തിലെ ഫിക്സേഷൻ സംവിധാനത്തെക്കുറിച്ച് ഞങ്ങൾ ബോധവാന്മാരായി.

നമുക്ക് യഥാർത്ഥ പ്രക്രിയയിലേക്ക് മടങ്ങാം. ഇടാം ബ്രേക്ക്പോയിന്റ് ഓൺ CreateProcessInternalW ഒപ്പം നിർവ്വഹണം തുടരുക. അടുത്തതായി നമ്മൾ കണക്ഷൻ കാണുന്നു NtGetContextThread/NtSetContextThread, ഇത് എക്സിക്യൂഷൻ ആരംഭ വിലാസത്തെ വിലാസത്തിലേക്ക് മാറ്റുന്നു ഷെൽകോഡ്.

ഞങ്ങൾ ഒരു ഡീബഗ്ഗർ ഉപയോഗിച്ച് സൃഷ്ടിച്ച പ്രോസസ്സിലേക്ക് കണക്റ്റുചെയ്‌ത് ഇവന്റ് സജീവമാക്കുന്നു ലൈബ്രറിയുടെ ലോഡ്/അൺലോഡ് താൽക്കാലികമായി നിർത്തുക, പ്രക്രിയ പുനരാരംഭിച്ച് ലോഡിംഗിനായി കാത്തിരിക്കുക ഭാഷയായി- ലൈബ്രറികൾ.

കൂടുതൽ ഉപയോഗിക്കുന്നത് പ്രോസസ് ഹാക്കർ പായ്ക്ക് ചെയ്യാത്തത് അടങ്ങിയ ഡംപ് പ്രദേശങ്ങൾ ഭാഷയായി- അപേക്ഷ.

ഞങ്ങൾ എല്ലാ പ്രക്രിയകളും നിർത്തി സിസ്റ്റത്തിൽ ഉൾച്ചേർത്ത ക്ഷുദ്രവെയറിന്റെ പകർപ്പ് ഇല്ലാതാക്കുന്നു.

വലിച്ചെറിഞ്ഞ ഫയൽ ഒരു സംരക്ഷകനാൽ സംരക്ഷിച്ചിരിക്കുന്നു .NET റിയാക്ടർ, ഒരു യൂട്ടിലിറ്റി ഉപയോഗിച്ച് എളുപ്പത്തിൽ നീക്കം ചെയ്യാവുന്നതാണ് de4dot.

മുമ്പ് എഴുതിയ YARA നിയമങ്ങൾ ഉപയോഗിച്ച്, ഇത് AgentTesla ആണെന്ന് ഞങ്ങൾ ഉറപ്പാക്കുന്നു.

സംഗ്രഹിക്കാം

അതിനാൽ, മൂന്ന് മിനി-കേസുകൾ ഉപയോഗിച്ച് സെമി-ഓട്ടോമാറ്റിക് സാമ്പിൾ അൺപാക്ക് ചെയ്യുന്ന പ്രക്രിയ ഞങ്ങൾ വിശദമായി കാണിച്ചു, കൂടാതെ ഒരു പൂർണ്ണമായ കേസിനെ അടിസ്ഥാനമാക്കി ക്ഷുദ്രവെയർ വിശകലനം ചെയ്തു, പഠനത്തിന് കീഴിലുള്ള സാമ്പിൾ AgentTesla ആണെന്ന് കണ്ടെത്തി, അതിന്റെ പ്രവർത്തനക്ഷമതയും ഒരു വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങളുടെ പൂർണ്ണമായ ലിസ്റ്റ്.

ഞങ്ങൾ നടത്തിയ ക്ഷുദ്ര വസ്തുവിന്റെ വിശകലനത്തിന് ധാരാളം സമയവും പരിശ്രമവും ആവശ്യമാണ്, ഈ ജോലി കമ്പനിയിലെ ഒരു പ്രത്യേക ജീവനക്കാരൻ നിർവഹിക്കണം, എന്നാൽ എല്ലാ കമ്പനികളും ഒരു അനലിസ്റ്റിനെ നിയമിക്കാൻ തയ്യാറല്ല.

ഗ്രൂപ്പ്-ഐബി ലബോറട്ടറി ഓഫ് കമ്പ്യൂട്ടർ ഫോറൻസിക്‌സ് ആൻഡ് മാലിഷ്യസ് കോഡ് അനാലിസിസ് നൽകുന്ന സേവനങ്ങളിലൊന്ന് സൈബർ സംഭവങ്ങളോടുള്ള പ്രതികരണമാണ്. സൈബർ ആക്രമണത്തിനിടയിൽ ഉപഭോക്താക്കൾ രേഖകൾ അംഗീകരിക്കുന്നതിനും ചർച്ച ചെയ്യുന്നതിനും സമയം പാഴാക്കാതിരിക്കാൻ, ഗ്രൂപ്പ്-ഐബി ആരംഭിച്ചു. സംഭവ പ്രതികരണം നിലനിർത്തുന്നയാൾ, ക്ഷുദ്രവെയർ വിശകലന ഘട്ടവും ഉൾപ്പെടുന്ന ഒരു പ്രീ-സബ്‌സ്‌ക്രിപ്‌ഷൻ സംഭവ പ്രതികരണ സേവനം. ഇതിനെക്കുറിച്ചുള്ള കൂടുതൽ വിവരങ്ങൾ കണ്ടെത്താനാകും ഇവിടെ.

AgentTesla സാമ്പിളുകൾ എങ്ങനെ അൺപാക്ക് ചെയ്യപ്പെടുന്നുവെന്ന് ഒരിക്കൽ കൂടി പഠിക്കാനും ഒരു CERT ഗ്രൂപ്പ്-IB സ്പെഷ്യലിസ്റ്റ് അത് എങ്ങനെ ചെയ്യുന്നുവെന്ന് കാണാനും ആഗ്രഹിക്കുന്നുവെങ്കിൽ, നിങ്ങൾക്ക് ഈ വിഷയത്തെക്കുറിച്ചുള്ള വെബിനാർ റെക്കോർഡിംഗ് ഡൗൺലോഡ് ചെയ്യാം. ഇവിടെ.

അവലംബം: www.habr.com