سوال یکی از دوستان بود این

در یک سناریوی فرضی، شما به عنوان تحلیل‌گر امنیت مشغول بررسی یک حمله پیچیده APT (Advanced Persistent Threat) هستید. مهاجم از طریق یک حمله Supply Chain به روزرسانی نرم‌افزار CI/CD شما دسترسی پیدا کرده، و یک Loader به زبان Rust نوشته که پس از اجرا، با استفاده از Reflective DLL Injection یک ماژول رمزگذاری‌شده را در حافظه لود می‌کند. این ماژول از طریق Direct System Calls (bypassing user-mode API hooks) با استفاده از syscall stubs با هسته ویندوز ارتباط برقرار می‌کند. ارتباط C2 نیز از طریق DNS-over-HTTPS به صورت steganographic در ترافیک تصویری PNG پنهان شده است.

با توجه به این سناریو:

۱. با چه روش‌هایی می‌توانید وجود این نوع ماژول را در حافظه کشف و تحلیل کنید، بدون relying بر signature detection؟
۲. نحوه شناسایی syscallهای مورد استفاده را با فرض وجود obfuscation توضیح دهید.
۳. چه راهکارهایی برای جلوگیری از چنین حمله‌ای در سطح فرآیند build pipeline پیشنهاد می‌کنید؟
۴. چگونه می‌توان الگوریتم پنهان‌سازی داده در تصاویر PNG را تحلیل و داده استخراج‌شده را بازیابی کرد؟