گامی برای تجزیه و تحلیل بدافزارهای کامپیوتری
لینک اصلی خبر : http://myfreetime.ir/blog
بسم الله الرحمن الرحیم؛ همانطور که می دانید مبحث تجزیه و تحلیل بدافزارهای کامپیوتری یک موضوع بسیار حیاطی است که روزانه بر اهمیت آن افزوده می شود. خصوصا برای افرادی که در کشور جمهوری اسلامی ایران زندگی می کنند، زیرا شدت آماج حملات طراحی شده برای تاسیسات زیرساختی و سازمانی کشور ما بسیار زیاد است. به عنوان مثال از این نوع حملات می توانیم به حمله استاکس نت، دکو، بتچ ویپر و اخیرا رجین (مقاله تحلیل جاسوس افزار رجین را می توانید در این لینک مورد مطالعه قرار بدهید) اشاره کرد. در لیست زیر خلاصه ای از برخی بدافزار ها و هدف آنها آورده شده است که شما می توانید مشاهده کنید، البته اطلاعات آورده شده در تصویر زیر به روز نیست ولی به هر حال منظور بنده را می تواند به مخاطبین می رساند.
به همین دلیل به عنوان یکی از افرادی که عاشق علم آموزی هست و از آن بیشترعاشق آموزش دادن هست، تصمیم گرفتم وقت های خالی که دارم در این زمینه مقالاتی ترجمه و یا تالیف کنم و با زبان شیرین پارسی آنها را در اختیار شما جوانان و علم آموزان ایرانی قرار بدهم تا برای برچینی افراد خود دانشمند پندار و جاهل که حوزه امنیت و تحلیل کشور عزیزمان ایران را پر کرده اند، گامی هر چند ساده برداشته باشم.
امیدوارم از این مقالات نهایت استفاده را ببرید و با کمک های مالی (Donate) بنده را برای ادامه این راه کمک کنید. البته این آموزش های کاملا رایگان هستند و هیچ الزامی به منظور کمک مالی به بنده در آن وجود ندارد. اما اگر مقالات نوشته شده توسط بنده برای شما مفید و سودمند واقع شد، می توانید به حساب 8742-3626-9918-6037 به نام میلاد کهساری الهادی مبلغی را به عنوان کمک مالی ارسال کنید.شایان ذکر است، بنده کتاب Practical Malware Analysis نوشته آقایان اندرو هوینگ و مایکل سیکروسکی که پژوهشگران حال حاضر در NSA هستند را کاملا ترجمه کرده ام که اکنون در حال گذراندن فرآیند گرفتن مجوز است.
انشالله این کتاب هم به زودی توسط انتشارات دیباگران نشر خواهد شد. در این کتاب بنده سعی خود را کرده ام که متن ترجمه شده تا حدالمکان مطابق با متن اصلی باشد، اما در برخی جاها به منظور اینکه متن برای خواننده قابل فهم تر باشد کمی در متن دست برده و توضیحات بیشتری را لحاظ کرده ام. در هر حال امیدوارم آن کتاب هم بتواند نمره قابل قبولی از خوانندگان گرامی دریافت کند.همچنین قابل ذکر است، در این سری مقالاتی که بنده قرار است در وب سایت خودم به اشتراک بگذارم، به مباحث آورده شده در قسمت زیر خواهم پرداخت و در آینده لیست زیر را هم تکمیل و به روز رسانی به مباحث جدید خواهم کرد تا یک منبع آنلاین نسبتا کاملی برای متخصصان ایرانی ایجاد شده باشد. همچنین بنده هیچ نظری ندارم که نوشتن این مقالات چقدر طول خواهد کشید، اما تلاش خودم را خواهم کرد که در زمان اندکی این پروژه ترجمه را هم به پایان برسانم. موضوعاتی که مورد بررسی قرار خواهند گرفت در زیر آورده شده اند.
- قسمت 01 : تجزیه و تحلیل بدافزار در یک محیط مجازی (قسمت اول، قسمت دو)
- قسمت 02 : درآمدی بر دیباگ کردن بدافزارها در سطح 3 (Ring 3) (قسمت اول)
- قسمت 03 : درآمدی بر روش های ضد دیباگ کردن بدافزارها (قسمت اول ، قسمت دوم، قسمت سوم)
- قسمت 04 : درآمدی برخود کدگشایی (Self-Decoding) و خود استخراج کردن قسمت کد (Self-Extraction Code Segment)
- قسمت 05 : کاوش کردن ساختارهای داده ای هسته (Kernel)
- قسمت 06 : جدول خروجی (Export Table) و سرآیند فایل PE
- قسمت 07 : جدول خروجی کدگذاری شده (Encoded Export Table)
- قسمت 08 : حقه هایی برای گیج کردن ابزارهای تجزیه و تحلیل ایستا
- قسمت 09 : تکنیک Starling و ربودن (Hijack) فراخوانی های سیستمی هسته (Kernel) با استفاده از نقطه های توقف سخت افزاری
- قسمت 10 : دیباگ کردن دیباگر – درست کردن اطلاعات ماژول و فایل UDD
- قسمت 11 : دنبال کردن نقطه ورودی DLL
- قسمت 12 : بازیابی کلید خودکدگشایی بدافزار
- قسمت 13 : تزریق کردن (Injecting) یک ترد (Thread) به درون یک فرآیند در حال اجرا
- قسمت 14 : حمله برنامه نویسی بازگشتی (Return Oriented Programing)
- قسمت 15 : آلوده کردن ماژول های سیستم
- قسمت 16 : آلوده کردن فایل های درایور
- قسمت 17 : آناتومی یک درایور آلوده شده
- قسمت 18 : دیباگ کردن هسته – بررسی کردن بارگزاری درایورها
- قسمت 19 : ربودن (Hijack) درایور دیسک
- قسمت 20 : کنترل کننده IRP و درایور دیسک آلوده شده
- قسمت 21 : دنبال کردن اطلاعات و داده های کرنل با استفاده از نقطه های توقف اطلاعاتی
- قسمت 22 : دنبال کردن رفتارهای شبکه مخرب TDI بدافزار Max++
- قسمت 23 : فراخوانی رویه تعویق افتاده (Deferred Procedure Call) و تماس TCP
- قسمت 24 : پیکربندی روتکیت
- قسمت 25 : بارگزاری مخفیانه یک درایور مخرب
- قسمت 26 : شکستن محافظ مخفی درایور روتکیت Max++
- قسمت 29 : بارگزاری مخفیانه کتاب خانه (قسمت دوم، استفاده از Self-Modifying APC)
- قسمت 30 : خود رونویسی بارگزاری COM برای بارگزاری راه دور DLL
- قسمت 31 : فاش کردن جریان کنترل مخفی
- قسمت 32 : کاوش کردن کلاینت یک بات نت
- قسمت 33 : ارزیابی یک سیستم تجزیه و تحدید خودکار بدافزارها
