อีกตัววิเคราะห์หน่วยความจำสำหรับการตรวจจับมัลแวร์
YAMA เป็นระบบสำหรับการสร้างเครื่องสแกนที่สามารถตรวจสอบมัลแวร์ที่เฉพาะเจาะจงในระหว่างการตอบสนองของเหตุการณ์ เครื่องสแกนที่สร้างโดย Yama ได้รับการออกแบบมาเพื่อสำรวจหน่วยความจำของ Windows OS และตรวจจับมัลแวร์ ด้วยความชุกที่เพิ่มขึ้นของมัลแวร์ที่ไร้เดียงสาที่ปรับใช้ในหน่วยความจำเท่านั้นย่ามุ่งมั่นที่จะอำนวยความสะดวกในการตอบสนองอย่างรวดเร็วในการจัดการเหตุการณ์โดยการตรวจจับมัลแวร์ดังกล่าว
YAMA Scanner ทำงานเป็นแอปพลิเคชัน Windows USERMODE วิเคราะห์ช่องว่างหน่วยความจำของกระบวนการที่ทำงานในโหมดผู้ใช้การสแกนพื้นที่หน่วยความจำด้วยคุณลักษณะที่น่าสงสัยโดยใช้ YARA และระบุมัลแวร์
ขั้นแรกให้ยามาวิเคราะห์แต่ละกระบวนการและแยกข้อมูลต่อไปนี้:
ถัดไปยามากำหนดพื้นที่หน่วยความจำที่จะตรวจสอบตามข้อมูลที่วิเคราะห์ สิ่งนี้ทำเพื่อเลือกเฉพาะพื้นที่หน่วยความจำที่จำเป็นและหลีกเลี่ยงผลกระทบด้านประสิทธิภาพจากการค้นหาพื้นที่หน่วยความจำทั้งหมด
ในที่สุดยามาตรวจสอบพื้นที่หน่วยความจำเป้าหมายโดยใช้กฎของ YARA ที่ฝังอยู่ในส่วนทรัพยากรของไบนารี
ด้วยการรวมกฎของ YARA ที่มีอยู่บนแพลตฟอร์มเช่น GitHub เป็นไปได้ที่จะสร้างเครื่องสแกนหน่วยความจำที่สามารถตรวจสอบร่องรอยของแคมเปญการโจมตีเป้าหมายเฉพาะ
ตัวอย่างเช่นการสร้างเครื่องสแกนยามาโดยใช้กฎ APT10 จาก JPCERTCC/JPCERT-YARA จะสร้างเครื่องมือที่เหมาะสมสำหรับภัยคุกคามการล่ามัลแวร์ APT10
JPCERTCC/JPCERT-YARA เสนอกฎของ YARA จำนวนมากที่เข้ากันได้กับแคมเปญ APT ต่างๆเช่น APT10, APT29, Blacktech และ Lazarus รวมถึงกฎสำหรับมัลแวร์ประเภทต่างๆ ขอแนะนำอย่างยิ่งสำหรับการอ้างอิง
อ้างถึงวิกิ
โครงการนี้ขึ้นอยู่กับซอฟต์แวร์โอเพนซอร์ซต่อไปนี้เพื่อให้ทำงานได้อย่างถูกต้อง:
เราขอขอบคุณที่เก็บ GitHub เหล่านี้ที่เป็นแรงบันดาลใจและมีอิทธิพลต่อโครงการของเรา:
