سوال یکی از دوستان بود این

در یک سناریوی فرضی، شما به عنوان تحلیل‌گر امنیت مشغول بررسی یک حمله پیچیده APT (Advanced Persistent Threat) هستید. مهاجم از طریق یک حمله Supply Chain به روزرسانی نرم‌افزار CI/CD شما دسترسی پیدا کرده، و یک Loader به زبان Rust نوشته که پس از اجرا، با استفاده از Reflective DLL Injection یک ماژول رمزگذاری‌شده را در حافظه لود می‌کند. این ماژول از طریق Direct System Calls (bypassing user-mode API hooks) با استفاده از syscall stubs با هسته ویندوز ارتباط برقرار می‌کند. ارتباط C2 نیز از طریق DNS-over-HTTPS به صورت steganographic در ترافیک تصویری PNG پنهان شده است.

با توجه به این سناریو:

۱. با چه روش‌هایی می‌توانید وجود این نوع ماژول را در حافظه کشف و تحلیل کنید، بدون relying بر signature detection؟
۲. نحوه شناسایی syscallهای مورد استفاده را با فرض وجود obfuscation توضیح دهید.
۳. چه راهکارهایی برای جلوگیری از چنین حمله‌ای در سطح فرآیند build pipeline پیشنهاد می‌کنید؟
۴. چگونه می‌توان الگوریتم پنهان‌سازی داده در تصاویر PNG را تحلیل و داده استخراج‌شده را بازیابی کرد؟

💎اصلا vps چی هست؟!

🔴 قبل اینکه با هم ببینیم vps یا در حقیقت virtual private server چی هستش
ما باید اول در مورد یک سری مفاهیم ابتدایی تر صحبت کنیم!

اول اینکه خود سرور چی هستش اصلا؟
سرور یه کامپیوتری هست مثل کامپیوتری که من و شما داریم توی خونه هامون استفاده میکنیم البته با یک سری ویژگی های سخت افزاری متفاوت
که این هارو مناسب میکنه برای بیزینس ها
مثلا این ها پاور های ریداندنت دارن ، فن های ریداندنت دارن چند تا سی پیو دارن داخل خودشون
و مواردی که باعث میشه این سخت افزار ها سخت افزار های استیبلی باشن
و معمولا از نظر قدرتی نسبت به کامپیوتر های عادی قوی تر هستن مثلا سی پیو های بیشتری دارن تعداد هسته های بیشتری دارن تعداد رم بیشتر و...

👀 حالا که یه قدم اومدیم جلو و فهمیدیم سرور چی هست!

بازم قبل اینکه در مورد vps صحبت کنیم
💫 باید یک سری مقدمات رو بدونیم!

در گذشته اینطوری بود که اگر یک شرکتی میخواست یک سرویسی راه بندازه مثلا میخواست یه وب سرور داشته باشه میرفت یه سرور تهیه می کرد بعد میومد روی این سرور سخت افزاری خودش یک سیستم عامل رو نصب می کرد و روی اون میومد اون سرویس رو ران میکرد مثلا وب سرور ران میکرد حالا مثلا این وب سرور ما اگه سیستم عامل ویندوز بود میشد IIS اگه لینوکس بود میشد یه سرویسی مثل apache - nginx و...
حالا اتفاق بدی که اینجا میوفتاد چی بود؟
این سخت افزاری که ما اینجا داشتیم که معمولا گفتیم سخت افزار قوی ای هست به صورت بهینه ازش استفاده نمیشد مثلا میدیدیم داره از ۱۰ درصد سی پیوش استفاده میکنه و یا خیلی موارد دیگه
ما اینجا ریسورس های زیادی داشتیم ولی خب ازش استفاده نمی کردیم
خب حالا ممکنه اینجا یه سوال براتون پیش بیاد خب بگید که خب روی اون سرور شما میومدید سرویس های دیگه ران میکردید مثلا در کنار وب سرور یک mail server رو هم روی این سرور کانفیگ میکردید که بخاطر خیلی از دلایل امنیتی یا یه سری موارد دیگه پیشنهاد اینه که شما این کار رو نکنید
پس شما اگه نیاز داشتید به یه سرویس دیگه ای ران کنید باید میرفتید یه سخت افزار دیگه میخریدید دوباره میومدید روی این یه سیستم عامل نصب میکردید و اون سرویس رو اجرا میکردید که خب باز به صورت بهینه از سخت افزار استفاده نشه

👾 حالا راه حل چی بود؟!

راه حلی که شاید بگیم 15 سال 20 سال پیش ارائه شد این بود که ما بیایم از یه لایه دیگه روی سخت افزار استفاده کنیم که اصطلاحا بهش میگن hypervisor یعنی ما بیایم این سخت افزار رو مثل گذشته داشته باشیم و به جای اینکه سیستم عامل رو روی این نصب کنیم بیایم hypervisor رو نصب کنیم که این hypervisor میتونه نمونش چی باشه مثلا ESXi یا KVM یا...

⚡ حالا این hypervisor چه کمکی به شما میکرد؟!

به واسطه این hypervisor شما میتونستید ماشین های مختلفی داشته باشین یعنی میاین روی یک سخت افزار واحد چند تا سیستم عامل نصب کنید
اون وقت شما میومدید روی این ماشین ها اون سرویسی که میخواستید رو ران میکردید
و تعداد ماشین هایی هم که میتونید داشته باشید بستگی به قدرت سخت افزار و اون نیازتون متغیره
خیلی راحت شما میتونستید بیاید منابعی که روی این سخت افزار دارید رو بین این ماشین ها تقسیم کنید مثلا میگم اینجا ممکنه شما ۶۴ گیگ رم داشته باشید بیاد بگید من ۱۰ گیگشو میدم به ماشین اولم ۸ گیگشو میدم به ماشین دومی و ۱۶ گیگشو میدم به ماشین سومی یا برای cpu و دیسک هم میتونید همین کار رو انجام بدید این باعث میشد که شما از منابعتون بهینه تر استفاده کنید مثلا اینجا شما از ۶۰ درصد سی پیو تون استفاده کنید
که این باعث میشه که مثل قبل که منابع شما داشت اصراف میشد یجورایی جلوگیری کنید حالا این تنها مزیت استفاده از این hypervisor ها نبود این باعث میشد که شما فضای رک کمتری رو هم اشغال کنید توی روش قبلی شما مجبور بودید برای هر سرویس یک سخت افزار مجرا بخرید که این باعث می شد فضای رک بیشتری رو هم اشغال کنه برای شما و یه بدی دیگه ای هم که داشتش باعث میشد شما پاور بیشتری استفاده کنید
که خب الان هم پاور کمتری مصرف میشه
هم فضای کمتری اشغال میشه و یه سری مزیت های دیگه به شما میده که خب اینجا ازش اسمی نمیبرم

⭐ حالا بریم سراغ مسئله اصلی این مقالمون VPS!

در واقع یک اسم دیگه برای vps
ماشین هایی هست که بالا تر بهش اشاره
 کردیم یعنی شما میتونین برین از یه شرکتی بخواید که یه vps در اختیار شما قرار بدن
پس به این ماشین هایی که اینجا وجود داره بهش vps یا virtual private server هم میگن
بهش میگن virtual چون مجازی هست یه جورایی حقیقی نیست روی سخت افزار به صورت مستقیم نرفته یه لایه hypervisor وجود داره
پرایوت هست چون شخص
دیگه ای بهش دسترسی نداره
سرور هم که مشخصه سرویس دهنده هستش و شما یه سرویسی رو روی اون ران میکنید مثل web server یا موارد دیگه

🚀@ITSecurityComputer