Анатомия зловреда: разбираем логику работы хитрого вредоноса
Файл с именем как у фото из WhatsApp, расширение .pif вместо .jpg, и совершенно чистая репутация на VirusTotal. Внутри — четыре ступени тщательно спроектированной атаки: загрузчик с настоящим корпоративным EV-сертификатом, шеллкод, спрятанный в файле
иконок, нестандартный TCP-протокол рукопожатия и в финале — классический китайский бэкдор PlugX/Gh0stRAT с полным контролем над системой.
В этой статье я разбираю всю цепочку статическими методами на Linux, без запуска вредоноса. Никакой виртуальной машины с поведенческим анализом — только strings, pefile, ndisasm и Python. Там, где встречается ассемблерный код, объясняю что происходит
обычным языком.
Самое интересное: финальный бэкдор известен и описан, но инфраструктура доставки — домен, загрузчик, сертификат — нигде раньше не фигурировала.
Читать далееИсточник: Хабрахабр
💬 Комментарии
В связи с новыми требованиями законодательства РФ (ФЗ-152, ФЗ «О рекламе») и ужесточением контроля со стороны РКН, мы отключили систему комментариев на сайте.
🔒 Важно Теперь мы не собираем и не храним ваши персональные данные — даже если очень захотим.
💡 Хотите обсудить материал?
Присоединяйтесь к нашему Telegram-каналу:
https://t.me/blogssmartzНажмите кнопку ниже — и вы сразу попадёте в чат с комментариями
