〽️ پروژه LitterBox به‌طور خاص برای توسعه و آزمایش تکنیک‌های اجتناب از شناسایی و تحلیل رفتار فایل‌ها یا فرآیندها طراحی شده است. هدف اصلی این پلتفرم کمک به متخصصین امنیتی است تا پیلود ها (Payloads) و ابزارهای خود را قبل از اجرای واقعی آزمایش و بهینه کنند
📦 https://github.com/BlackSnufkin/LitterBox

♾️ توسعه‌دهندگان و متخصصان امنیتی میتوانند از این ابزار به‌عنوان یک محیط شبیه‌سازی (Sandbox) جهت

🔺 روش‌های گریز از شناسایی (Evasion Techniques)
🔺 امضاهای شناسایی (Detection Signatures) را ارزیابی کنند
🔺 رفتار بدافزارها را بدون تأثیر بر سیستم‌های واقعی بررسی و تحلیل کنند

➕ قابلیت تحلیل ایستا (Static Analysis) و تحلیل پویا (Dynamic Analysis)

🔘 شناسایی فایل با الگوریتم‌های هش (MD5، SHA256)
🔘 محاسبه آنتروپی شانن برای تشخیص رمزگذاری‌ها
🔘 تحلیل نوع فایل و شناسایی MIME
🔘 تشخیص نوع فایل PE
🔘 شناسایی معماری ماشین (x86، x64)
🔘 تحلیل تاریخ کامپایل
🔘 طبقه‌بندی Subsystem
🔘 تشخیص Entry Point
🔘 نقشه‌برداری وابستگی DLLهای وارد شده (Import DLL).
📑 تحلیل اسناد آفیس
🔘 تشخیص و استخراج ماکروها
🔘 تحلیل کد VBA و شناسایی محتوای مخفی

✔️ پایش رفتار با اجرا مستقیم فایل‌ها و تحلیل
✔️ بازرسی مناطق حافظه
✔️ تشخیص تزریق فرآیند (Process Hollowing)
✔️ تحلیل تکنیک‌های تزریق (Injection Techniques)
✔️ نظارت بر Sleep Patterns

#RedTeam
#Sandboxing
#StaticAnalysis
#PayloadTesting
#DynamicAnalysis
#MalwareAnalysis
#ThreatSimulation
#MalwareDevelopment
#AdvancedThreatAnalysis

@iDeFense

⭕ در سال‌های اخیر، مهاجمان سایبری به‌منظور دور زدن مکانیزم‌های شناسایی نرم‌افزارهای امنیتی، به استفاده از زبان‌های برنامه‌نویسی کمتر متداول روی آورده‌اند. این زبان‌ها به‌دلیل عدم آشنایی کامل ابزارهای امنیتی با آن‌ها، می‌توانند به‌عنوان روشی برای مخفی‌سازی بدافزارها مورد استفاده قرار گیرند

🔻 در اینجا روشی برای دور زدن Microsoft Defender از طریق ترکیب زبان‌های برنامه‌نویسی Lua و Rust رو بررسی میکنیم
با استفاده از این دو زبان، یک لودر شل‌کد میتوان ایجاد کرد که توسط Microsoft Defender شناسایی نمی‌شود
⚙  https://blog.shellntel.com/p/evading-microsoft-defender
👁‍🗨 مراحل:

با استفاده از ابزار msfvenom، یک شل‌کد Meterpreter تولید می‌شود
سپس شل‌کد تولید شده با استفاده از یک کلید XOR می‌شود تا از شناسایی آن توسط آنتی‌ویروس‌ها جلوگیری کند

🦠 سپس شل‌کد رمزگذاری‌شده در یک برنامه Rust تعبیه می‌شود که از کتابخانه mlua برای اجرای کد Lua استفاده می‌کند
در نهایت کد Lua شل‌کد را رمزگشایی کرده و آن را در حافظه اجرا می‌کند

🔗 https://www.darkreading.com/threat-intelligence/attackers-use-of-uncommon-programming-languages-continues-to-grow?utm_source=blog.shellntel.com&utm_medium=referral&utm_campaign=evading-microsoft-defender

#MalwareDevelopment
#AV_Evasion
#UncommonLanguages
#MalwareAnalysis

@iDeFense