Prämisse
In dieser Videoanleitung haben wir die Grundlagen des Yara-Dateimusterabgleichs behandelt, um Malware auf der Grundlage von Kompromittierungsindikatoren zu analysieren.
Beschreibung der Herausforderung
In diesem Raum werden grundlegende Kenntnisse über Linux vorausgesetzt, beispielsweise die Installation von Software und Befehle zur allgemeinen Navigation im System. Darüber hinaus ist dieser Raum nicht dazu gedacht, Ihr Wissen zu testen oder Punkte zu sammeln. Er soll Sie dazu ermutigen, mitzumachen und mit dem zu experimentieren, was Sie hier gelernt haben.
Wie immer hoffe ich, dass Sie ein paar Dinge aus diesem Raum mitnehmen, nämlich das Wunder, dass Yara (Noch ein lächerliches Akronym) ist und wie wichtig es heute in der Informationssicherheit ist. Yara wurde von Victor M. Alvarez entwickelt (@plusvic) Und @VirusTotal. Überprüfen Sie das GitHub-Repository Hier.
Holen Sie sich Blue Team Notes
Herausforderungsaufgaben
Antworten
Wäre der Text „Geben Sie Ihren Namen ein“ eine Zeichenfolge in einer Anwendung? (Ja/Nein)
Mit welcher Yara-Regel stimmte es überein?
Als was klassifiziert Loki diese Datei?
Basierend auf der Ausgabe: Mit welcher Zeichenfolge innerhalb der Yara-Regel stimmte es überein?
Wie lauten Name und Version dieses Hacktools?
Untersuchen Sie die eigentliche Yara-Datei, die Datei 1 markiert hat. Wie viele Zeichenfolgen gibt es innerhalb dieser Regel, um diese Datei zu markieren?
Datei 2 scannen. Erkennt Loki diese Datei als verdächtig/bösartig oder harmlos?
Überprüfen Sie Datei 2. Wie lauten Name und Version dieser Web-Shell?
Hat Yara die Flaggendatei 2 regiert? (Ja/Nein)
Kopieren Sie die von Ihnen erstellte Yara-Regel in das Loki-Signaturverzeichnis.
Testen Sie die Yara-Regel mit Loki. Markiert sie Datei 2? (Ja/Nein)
Wie lautet der Name der Variable für die Zeichenfolge, mit der sie übereinstimmt?
Überprüfen Sie die Yara-Regel. Wie viele Zeichenfolgen wurden generiert?
Eine der Bedingungen, die der Yara-Regel entsprechen müssen, gibt die Dateigröße an. Wie groß muss die Datei sein?
Machen Sie dasselbe für Datei 2. Wie heißt die erste Yara-Regel zum Erkennen von Datei 2?
Untersuchen Sie die Informationen für Datei 2 von Virus Total (VT). Von welchem Scanner stammt die Yara-Signaturübereinstimmung?
Geben Sie den SHA256-Hash von Datei 2 in Virus Total ein. Hat jeder Antivirus dies als bösartig erkannt? (Ja/Nein)
Welche andere Erweiterung außer .PHP ist für diese Datei aufgezeichnet?
Zurück zu Valhalla, überprüfen Sie die Informationen zu dieser Regel. Unter „Statistiken“: Was war die höchste Regelübereinstimmung pro Monat in den letzten 2 Jahren? (JJJJ/M)
Video-Komplettlösung
