マルウェア解析

tl;dr; IDAPython の日本語チートシートできました!! チートシートを参考にするだけで、CTFの問題もシュッと解けます! Emotet の内部で使われている難読化文字列もシュッと戻せます!! Github にハンズオン用の検体とサンプルコード置いたから手を動かしてみたい方はぜひ試してね!!! https://github.com/minanokawari1124/idapython_exercise はじめに NFLabs. のソリューション事業部に所属している @strinsert1Na なるものです。普段は脅威インテリジェンスの生成やそれに伴うソフトウェアの開発を行っています…

はじめに makepat の使用とsignatureの適用(IDA Pro 8.0) 下準備 .pat ファイルの作成 .pat => .sig ファイルの作成 .sig ファイルの適用 亜種に自作シグネチャを適用してみる .sig ファイルを Ghidra にも適用する おわりに はじめに 先月 IDA のメジャーバージョンが 8.0 にアップデートしました。 hex-rays.comバージョンアップによって、IDA Pro には makepatというpluginが標準搭載されるようになりました。makepat は F.L.I.R.T. (Fast Library Identificatio…

みなさんこんにちは、事業推進 研究開発担当のonaotoです。 今回の記事ではマルウェア解析の認定資格GREMの紹介と試験合格までに行ったことを紹介したいと思います。 GREMとは 合格までにやったこと 教科書を読む（1回目） 1回目の模擬試験 教科書を読む（2回目） ハンズオンの復習 2回目の模擬試験 試験本番 試験を終えて 終わりに GREMとは GREMとはGIAC Reverse Engineering Malwareの略称で、SANS Instituteが提供するGIAC（Global Information AssuranceCertification）認定試験の一つです。この試験…

こんにちは Windowsでプロセスを取得してスナップショットを取ったり，仮想キーコードを送信したりしてみた時の備忘録です。 冗長になりますが，わかりやすさを優先してサンプルのソースコードはエントリポイントから全て記述します。 参考書籍 開発環境 プロセスのタイトル名を取得 EnumWindows関数 GetWindowTextW ソースコード プロセスのタイトル名からウィンドウハンドルを取得 FindWindowW関数 ソースコード プロセスのスナップショットを取得 スレッドIDの取得 GetWindowThreadProcessId ソースコード スナップショットの取得 CreateToo…

2023/05/08 AIをArtifact Intelligenceと誤表記していたので修正 tl;dl 筆者が"OSINT"について言及した結果、炎上にガソリンを撒いてしまった恐れがあるため用語の整理と筆者なりの考えをまとめた OSINTという単語は『インターネットを使ってほにゃほにゃした』という非常に漠然としたコンテキストの元で使用される場面が散見され、聞き手にそのコンテキストが共有されていない場合は解釈に不一致が生じる 少なくとも単発のアクティビティや公開情報からの情報収集という行為においては、OSINTという専門用語を持ち出さずとも適切な日本語を使用したほうが聞き手も理解しやすい は…

こんちは 職業プログラマなのですが，最近はやる気スイッチやまとまった時間が確保できないなどの関係で学生の時より技術書を読めなくなりました。 そんなこんなで，もし過去に戻れるなら暇でやる気と体力もあった学生の時に読んでおきたかった本を簡単(一言レベル)にまとめてみました。 ゴールデンウイーク中，暇な人もぜひ。 対象 プログラミング言語 新・明解C言語 入門編 独習C++ Effective C++ Effective Modern C++ 独習C# 第5版 プログラミングコンテストチャレンジブック コンピュータ関係 論理回路入門 プログラマーのためのCPU入門 コンピュータの構成と設計 コンピュ…

取締役CTOの小竹（aka tkmru）です。 セキュリティ・キャンプ全国大会2023の脅威解析クラスにて「ポートスキャナ自作から始めるペネトレーションテスト入門〜Linux環境で学ぶ攻撃者の思考〜 」という題で講義を行うことになりました。 本記事では、セキュリティ・キャンプ全国大会2023というイベントと、そこで私が行う講義内容の紹介をします。 セキュリティ・キャンプとは セキュリティ・キャンプは、将来の高度IT人材となり得る優れた人材の発掘と育成を目的としたイベントの総称です。 IT業界で活躍しているエンジニアなど*1が講師になり、学生の皆さんに講義を行います。 講義を聴講できるだけでなく…

とても悲しいことに、在学時に学内Slackでまとめていたオススメ本のリストが、Slackの90日ルールで消し飛んでしまいました。そして新年度&&最後に更新してから数年経ったこともあり、改めて初学者にオススメの本やサイトを分野別/レベル別になるべく分類して、まとめてみようと思います。

こんにちは、refです。 今回は不審な通信発生に対して、マルウェア感染が起因しているかを明らかにする方法をまとめます。 なおこの記事はマルウェア解析ではなく、マルウェア調査を目的としているので、解析の観点はほとんど記載していません。 本調査方法は私が調査する場合のメインの方法を記載していますが、これに合致しないからといってマルウェアに感染していないとは言い切れないことと、知識が浅いことより誤っている箇所がある可能性をご了承ください。 それでは本編です。 調査の流れ 不審な通信（IPアドレスやドメイン、URLなど）が発生したときの調査方法は以下の通りです。 1.レピュテーション情報の確認 2.マ…

マルウェア解析ツールソフトウェアのグローバル市場レポート2023 マルウェア解析ツールソフトウェア市場：世界の産業現状、競合分析、シェア、規模、動向2023-2029年の予測 2023年3月14日に、QYResearchは「グローバルマルウェア解析ツールソフトウェアに関する市場レポート, 2023年-2029年の推移と予測、会社別、地域別、製品別、アプリケーション別の情報」の調査資料を発表しました。マルウェア解析ツールソフトウェアの市場規模、シェア、売上及び今後の動向を説明します。世界市場における主要メーカーの製品範囲、サービス、ソリューションを重点的に分析する。本レポートは、2018年から2…

※紙媒体と電子書籍Kindle版があります。ご購入される際には十分ご注意下さい。 マルウエアの教科書 作者:吉川 孝志 日経BP Amazon www.kinokuniya.co.jp 出版社内容情報 サイバー攻撃にこう備える マルウエア解析の第一人者が徹底解説マルウエアの脅威は増すばかりです。進化し続ける脅威に対する最大の防御策は相手を深く「知る」ことにほかなりません。しかし、サイバーセキュリティーに関連する書籍が複数あるなかで、マルウエアに絞って基礎から解析の進め方まで含めた知識全般を伝えるものはこれまで存在しませんでした。そこで本書では、基礎から最新の脅威の種類、最新の具体的な手口、感染…

コミュニティの代表を務めたりカンファレンスでキーノートを任されるソフトウェアエンジニアともなれば、代名詞ともなるプロダクトやサービスを何かしら持っているものです。そういった意味で、株式会社リクルートのデータエンジニアリング組織でマネージャーを務める竹迫良範さんは少し変わったキャリアを歩んできたのかもしれません。 Webアプリケーション開発の初期にプログラミング言語Perlのコミュニティで代表を務め、Webセキュリティの領域でも活動し、今でもブログで技術的な投稿をしながら、未踏事業やセキュリティ・キャンプといった若手エンジニアの育成にも積極的に取り組んでいます。むしろ自分が手を動かしてプロダクト…

最近意図的に短いタイトルで薄めの内容にしているのは参照可能性に影響があるかと試行するも相関なしと判断。それはさておき： xtech.nikkei.com 最近各所で被害報告が挙がっているランサムウェアの復元に関して、IT詐欺師（と関連・下請け）ではなく警視庁の専門部署が対応したとの記事で狐や北朝鮮や支那プーら犯罪国家系の国営のみならず民間（と言っては妙だが）ランサムウェア業者？に我が国の公的機関が対処出来るようになっているのは有り難い事で個人的に興味を惹いたのは 書き換えられた部分が少ないとはいえ、復元するのは通常なら困難だ。しかし、吉川上級マルウェア解析技術者は特定のファイルに限っては復元が…

はじめに マルウェア解析を行っていると、たまにファイルレスなマルウェアの解析を行うことがある。多くは、PowerShellなどでダウンロードした.NET製のDLLなどをロードして実行するものだ。そこで、PowerShellのスクリプトなどを改変して、対象の.NETのDLLをディスク上に出力する。しかしながら、.NET製のDLLは、WindowsのネイティブなDLLのように、rundll32.exe hoge.dll,#1のように実行することができない。そこで、普段どのようにこうした.NET製のDLLを分析しているのかの解説と、それを手軽に行うためのツールを作ったたので、紹介する。 .NET製D…