تتطلب فيروسات الصيد والبرامج الضارة أكثر من مجرد التحليل الثابت أو الديناميكي وحده. عادةً ما يتم الجمع بين تقنيات مختلفة مثل الهندسة الثابتة والديناميكية والعكسية للكشف عن طبيعة البرنامج أو الكود الثنائي.
في هذا المنشور، قمنا بتغطية تحليل ثابت بسيط باستخدام أوامر Linux ثم VirusTotal للكشف عما إذا كان الملف فيروسًا أم لا.
قواعد Yara هي وسيلة لتعقب البرامج الضارة باستخدام مؤشرات الاختراق مثل عنوان IP والتجزئة واسم المجال وما إلى ذلك.
يعد إنشاء قواعد Yara أمرًا سهلاً مثل إنشاء ملف بامتداد .yar واتباع الصيغة العامة لملف القاعدة.
تُستخدم قواعد يارا على نطاق واسع جدًا في الصناعة للأغراض المذكورة أعلاه. هناك العديد من المستودعات مفتوحة المصدر لقواعد Yara التي تتقاسمها مؤسسات وأشخاص مختلفون ويمكن لمجتمع الأمان الاستفادة منها في معركتهم ضد البرامج الضارة. هذا جيثب يحتوي المستودع على روابط للكثير من هذه المستودعات مفتوحة المصدر.
في هذا المنشور، قمنا بتحليل ملف اختبار فيروس EICAR باستخدام VirusTotal واستخدمنا قواعد Yara للبحث عن سلاسل من الفيروس ومطابقتها. يستخدم هذا الفيديو مواد مختبرية من TryHackMe ظهور سايبر 3 اليوم 20 و 21.
تحميل المواد التعليمية بصيغة PDF
إجابات لمهام اليوم 20 واليوم 21
افتح الوحدة الطرفية وانتقل إلى الملف الموجود على سطح المكتب المسمى "testfile". باستخدام الأمر "strings"، تحقق من السلاسل الموجودة في الملف. لا يوجد سوى سطر واحد من إخراج الأمر "strings". ما هو الناتج؟
X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
تحقق من نوع ملف "testfile" باستخدام الأمر "file". ما هو نوع الملف؟
ملفات اختبار فيروس EICAR
احسب تجزئة الملف وابحث عنه في موقع VirusTotal. متى ظهر الملف لأول مرة في البرية؟
2005-10-17 22:03:48
في علامة تبويب الكشف في VirusTotal، ما هو التصنيف المخصص للملف من قبل Microsoft؟
الفيروس:DOS/EICAR_Test_File
انتقل إلى هذا الرابط لمعرفة المزيد عن هذا الملف وفيم يستخدم. ما الاسمين الأولين لهذا الملف؟
ducklin.htm أو ducklin-html.htm
يحتوي الملف على 68 حرفًا في البداية تُعرف بالسلسلة المعروفة. يمكن إلحاقه بأحرف مسافة بيضاء تصل إلى عدد محدود من الأحرف. ما هو الحد الأقصى لعدد الأحرف الإجمالية التي يمكن أن تكون في الملف؟
128
قمنا بتغيير النص في السلسلة $a كما هو موضح في قاعدة eicaryara التي كتبناها، من X5O إلى X50، أي أننا استبدلنا الحرف O بالرقم 0. شرط قاعدة Yara هو $a و$b و$c و$d. إذا أردنا فقط إجراء تغيير على العامل المنطقي الأول في هذه الحالة، فما هو العامل المنطقي الذي يجب أن نستبدل به "و" حتى تستمر القاعدة في الوصول إلى الملف؟
أو
ما الخيار المستخدم في أمر Yara لإدراج البيانات الوصفية للقواعد التي تم تسجيلها في الملف؟
-م
ما القسم الذي يحتوي على معلومات عن مؤلف قاعدة يارا؟
البيانات الوصفية
ما الخيار المستخدم لطباعة القواعد التي لم يتم ضربها فقط؟
-ن
قم بتغيير قيمة قاعدة Yara لسلسلة $a إلى X50. أعد تشغيل الأمر، ولكن هذه المرة باستخدام الخيار -c. ما هي النتيجة؟
0
جولة بالفيديو
