Плагины для системы анализа DRAKVUF. Как обнаруживать вредоносные техники с помощью rpcmon
Чтение файла, запись в реестр, создание нового процесса — вот примеры событий, обработка которых задействует ядро операционной системы. Практика показывает, что большинство интересных операций в ОС стабильно обнаруживается отслеживанием системных вызовов. Большинство, но не все.
Не так давно мы опубликовали статью, посвященную плагину exploitmon для системы динамического анализа вредоносных файлов DRAKVUF. Главным героем нашего сегодняшнего материала стал еще один плагин в этой системе — rpcmon.
Ниже рассмотрим особенности механизма межпроцессного взаимодействия и подходы к обнаружению важных вызовов на пользовательском уровне. Мы расскажем, как это реализовано в PT Sandbox, и приведем случаи, когда перехваты на уровне ядра недостаточно информативны или вовсе бесполезны.
Читать далееИсточник: Хабрахабр
Похожие новости
- Fuzzing-тестирование. Практическое применение
- Подводные грабли экспертных утилит при работе с инцидентами
- Attaque a-la russe: атака с помощью промт-инъекций русскоязычных моделей семейства Saiga2
- Рейтинг онлайн-кинотеатров в России за первый квартал 2024 года
- Как один опытный разработчик за три дня потерял аккаунт в Телеграме, а второй чуть не перевел «другу» 100 тысяч рублей
- Обзор K8s LAN Party — сборника задач по поиску уязвимостей в кластере Kubernetes прямо в браузере
- [Перевод] Настройка Kerberos аутентификации в OpenAM
- Исследование веб-приложений с помощью утилиты Ffuf
- Кирилл Лейцихович: «Исследования: проще лежать в гробу, чем вести презентацию»
- Егор Некрасов: 3 отмазки, которые мешают начать развивать личный бренд. И как я с ними справился