تحلیل بدافزار برای مبتدیان (گام به گام)

اگر علاقمند به آموزش هک هستید آشناییی با ابزارها و روش های استاندارد صنعت برای شناسایی، درک و تشخیص تهدیدات بدافزاری اهمیت دارد. برای آموزش هک کلیک کنید.

بدافزار چیست؟

بدافزار، مخفف نرم افزار مخرب، اصطلاحی برای انواع مختلف نرم افزارهایی است که به منظور نفوذ، سوء استفاده یا آسیب رساندن به سیستم های کامپیوتری، شبکه ها و داده ها طراحی شده اند.

اگرچه تمام بدافزارها برای اهداف مخرب استفاده می شوند، اهداف خاص بدافزار می تواند بین بازیگران مختلف تهدیدات متفاوت باشد. این اهداف معمولاً در چندین دسته تقسیم می شوند:

• مختل کردن عملیات سیستم میزبان.
• سرقت اطلاعات حیاتی، از جمله داده های شخصی و مالی.
• دستیابی غیرمجاز به سیستم ها.
• انجام فعالیت های جاسوسی.
• ارسال پیام های اسپم.
• استفاده از سیستم قربانی برای حملات انتشار سرویس (DDoS).
• قفل کردن فایل های قربانی بر روی میزبان و درخواست باج (که به آن “رنسوم ویر” نیز گفته می شود).

انواع مختلف بدافزار

در دنیای پرسرعت تهدیدات سایبری، ما خود را در برابر طیف وسیعی از انواع پیچیده و متنوع بدافزارها می بینیم.

در سال های اخیر، دولت ها، سیستم های قضائی، بیمارستان ها، مدارس و شرکت ها مورد حمله بدافزارها و رنسوم ویرهایی مانند Stuxnet و WannaCry قرار گرفته اند.

بیایید لایه های برخی از انواع رایج بدافزارها را بررسی کنیم:

ویروس ها

این اشکال بدنام بدافزارها به گونه ای طراحی شده اند که وارد فایل های میزبان شوند و در آن ها تکثیر یابند و از یک سیستم به سیستم دیگر منتقل شوند. آن ها به برنامه های معتبر متصل می شوند و زمانی که فایل های آلوده فعال می شوند، عمل می کنند.

قدرت تخریب آن ها می تواند از خراب کردن یا تغییر داده ها تا مختل کردن عملکردهای سیستم و حتی پخش شدن از طریق شبکه ها و ایجاد خرابی های گسترده متغیر باشد.

کرم ها

کرم ها بدافزارهایی خودمختار هستند که قادرند بدون نیاز به دخالت انسان در شبکه ها تکثیر یابند. آن ها از نقاط ضعف شبکه استفاده می کنند تا وارد سیستم های دیگر شوند بدون اینکه اجازه ای داشته باشند.

بعد از وارد شدن، ممکن است بارهای مخربی را تحویل دهند یا به تکثیر خود در دستگاه های آسیب پذیر دیگر ادامه دهند. کرم ها می توانند عفونت هایی سریع و رو به افزایش ایجاد کنند که منجر به اختلالات وسیع و حتی حملات احتمالاً انکار سرویس (DoS) شوند.

تروجان ها

این بدافزارها که به “اسب تروجان” نیز شناخته می شوند، به عنوان نرم افزار واقعی پنهان می شوند تا کاربران را فریب دهند تا آن ها را اجرا کنند. پس از ورود به سیستم، این برنامه ها درهای پشتی را ایجاد می کنند که به حمله کنندگان اجازه می دهند کنترل غیرمجاز سیستم را از راه دور به دست آورند.

تروجان ها می توانند به سلاح هایی تبدیل شوند که داده های حساس مانند رمزهای عبور یا اطلاعات مالی را سرقت کنند و سایر فعالیت های مخرب را بر روی سیستم نفوذ کرده انجام دهند.

رنسوم ویر

این نوع بدافزار فایل ها را در سیستم هدف رمزگذاری می کند، به طوری که غیرقابل دسترس می شوند. حمله کنندگان سپس درخواست باج می کنند و در ازای آن کلید رمزگشایی را می خواهند، به این ترتیب داده های قربانی را به گروگان می گیرند.

تأثیرات حملات رنسوم ویر می تواند سازمان ها و افراد را ضعیف کند و منجر به آسیب های مالی و شهرتی جدی شود.

جاسوس افزار

این نوع بدافزار به طور مخفیانه داده های حساس و فعالیت های کاربران را بدون رضایت آن ها جمع آوری می کند. جاسوس افزار می تواند عادات مرور آنلاین، ثبت فشارهای کلیدها و ضبط اطلاعات ورود به سیستم را پیگیری کند و خطرات جدی برای حریم خصوصی و امنیت به همراه داشته باشد. داده های دزدیده شده اغلب به سرورهای راه دور ارسال می شوند تا حملات بیشتری انجام شود.

تبلیغ افزار (Adware)

اگرچه تبلیغ افزار به اندازه سایر بدافزارها مخرب نیست، اما هنوز می تواند مزاحمت ایجاد کند و تهدیدی امنیتی باشد. این بدافزار تبلیغات ناخواسته و مهاجمی را در سیستم های آلوده نمایش می دهد که اغلب منجر به تجربه کاربری ضعیف می شود. تبلیغ افزار همچنین می تواند برای پیگیری رفتار کاربران و جمع آوری داده ها برای تبلیغات هدفمند استفاده شود.

بات نت ها (Botnets)

این ها شبکه هایی از دستگاه های آسیب دیده هستند که به آن ها معمولاً “بات ها” یا “زامبی ها” گفته می شود و توسط یک سرور مرکزی فرماندهی و کنترل (C2) کنترل می شوند.

بات نت ها می توانند برای انواع مختلف فعالیت های مخرب مورد بهره برداری قرار گیرند، از جمله راه اندازی حملات DDoS، پخش اسپم یا انتشار سایر بدافزارها.

روت کیت ها (Rootkits)

این ها فرم های پنهان بدافزار هستند که به منظور دستیابی به دسترسی غیرمجاز و کنترل بر اجزای اصلی (“رِوت”) یک سیستم عامل طراحی شده اند.

روت کیت ها عملکردهای سیستم را تغییر می دهند تا حضور خود را مخفی کنند، که این باعث می شود شناسایی و حذف آن ها بسیار چالش برانگیز باشد. حمله کنندگان می توانند از روت کیت ها برای حفظ دسترسی طولانی مدت و اجتناب از پروتکل های امنیتی استفاده کنند.

درهای پشتی و RATها (تروجان های دسترسی از راه دور)

درهای پشتی و RATها به گونه ای طراحی شده اند که دسترسی غیرمجاز و کنترل بر سیستم های آسیب دیده را از مکان های دور فراهم کنند. حمله کنندگان می توانند از آن ها برای حفظ کنترل طولانی مدت، استخراج داده ها یا انجام حملات اضافی استفاده کنند.

دراپرها (Droppers)

این ها نوعی بدافزار هستند که برای حمل و نصب بارهای مخرب اضافی بر روی سیستم های آلوده استفاده می شوند. دراپرها به عنوان واسطه ای برای سایر بدافزارها عمل می کنند و نصب و اجرای پنهانی تهدیدات پیچیده تر را تضمین می کنند.

دزدان اطلاعات (Information stealers)

این ها برای هدف گیری و استخراج داده های حساس مانند اطلاعات ورود به سیستم، اطلاعات شخصی یا مالکیت معنوی طراحی شده اند تا برای مقاصد مخرب استفاده شوند. این شامل سرقت هویت یا فروش داده ها در دارک وب می شود.

انواع تحلیل بدافزار

توجه: این پست وبلاگ اصول تحلیل استاتیک و داینامیک بدافزار را پوشش می دهد، اما برای یادگیری بیشتر در مورد سایر انواع تحلیل ها می توانید به ماژول “مقدمه ای بر تحلیل بدافزار” مراجعه کنید.

تحلیل استاتیک بدافزار

تحلیل استاتیک رویکردی است برای بررسی کد بدافزار بدون اجرای آن.

یک تحلیلگر ساختار فایل را بررسی می کند، رشته ها را شناسایی می کند، به دنبال امضاهای شناخته شده می گردد و متادیتاها را مطالعه می کند تا بینش اولیه ای درباره ویژگی های بدافزار به دست آورد.

تحلیل داینامیک بدافزار

تحلیل داینامیک شامل اجرای بدافزار در یک محیط کنترل شده مانند سندباکس یا ماشین مجازی است تا رفتار آن مشاهده شود و فعالیت های زمان اجرا ضبط گردد.

این شامل نظارت بر ترافیک شبکه، تماس های سیستمی، تغییرات در سیستم فایل و سایر تعاملات است.

تحلیل کد بدافزار

تحلیل کد (که شامل مهندسی معکوس می شود) شامل تجزیه و تحلیل یا دی کامپایل کد بدافزار است تا منطق، توابع، الگوریتم ها و تکنیک های به کار رفته آن درک شود.

این کمک می کند تا عملکردهای مخفی، روش های سوء استفاده، روش های رمزگذاری، جزئیات زیرساخت C2 و تکنیک های استفاده شده برای اختفای کد و دور زدن شناسایی شناسایی شوند.

توجه: تحلیل کد همچنین می تواند به تحلیلگران کمک کند تا راه های کشف شاخص های احتمالی نقض (IOC) را استنباط کنند.

تحلیل حافظه

تحلیل تعاملات بدافزار با حافظه سیستم کمک می کند تا کدهای تزریق شده، هوک ها یا سایر دستکاری های زمان اجرا شناسایی شوند.

این می تواند در شناسایی روت کیت ها، تحلیل تکنیک های ضدتحلیل یا شناسایی بارهای مخرب مفید باشد.

استخراج بدافزار

این تکنیک به فرایند استخراج و جداسازی کد مخرب پنهان در یک بدافزار که از تکنیک های بسته بندی برای فرار از شناسایی استفاده می کند اشاره دارد.

نویسندگان بدافزار ممکن است از بسته کننده ها برای فشرده سازی، رمزگذاری یا اختفای کد مخرب خود استفاده کنند تا شناسایی تهدید توسط نرم افزارهای آنتی ویروس و سایر ابزارهای تحلیلگران SOC دشوارتر شود.

استخراج بدافزار شامل مهندسی معکوس تکنیک های بسته بندی برای نمایان سازی کد اصلی و بدون اختفاء است تا تحلیل های بیشتری انجام شود.

این می تواند به محققان کمک کند تا عملکرد، رفتار و تأثیر احتمالی بدافزار را درک کنند.