Zer0Kernel Security Community — 🔒 Информационная безопасность

Как работает AmsiScanBuffer​

HRESULT AmsiScanBuffer(
    HAMSICONTEXT amsiContext,
    const void *buffer,
    ULONG length,
    LPCWSTR contentName,
    HAMSISESSION amsiSession,
    AMSI_RESULT *result
);

Механика обхода через hardware breakpoints​

Шаг 1: Установка breakpoint через debug-регистры​

void SetHardwareBreakpoint(void* address) {
    CONTEXT context...

Механика: запись и чтение payload​

Фаза записи​

// Открытие ключа
RegOpenKeyExA(HKEY_CURRENT_USER, "Control Panel", 0, KEY_SET_VALUE, &hKey);

// Запись payload как REG_BINARY
RegSetValueExA(hKey, "ValueName", 0, REG_BINARY, pShellcode, dwShellcodeSize);

// Закрытие дескриптора
RegCloseKey(hKey);

Фаза чтения и исполнения​

// Чтение payload из реестра
RegGetValueA(HKEY_CURRENT_USER, "Control Panel", "ValueName",
             RRF_RT_ANY, NULL, pBuffer, &dwBytesRead);

Почему реестр привлекателен для атакующего​

Как работает обфускация через сетевые форматы​

Пример: обфускация через IPv4​

1. Программа получает адрес функции RtlIpv4StringToAddressA через GetProcAddress и GetModuleHandle.
   
2. Выделяет буфер...

Почему «чёрный ящик» не работает в защите​

Что даёт понимание техник на практике​

Точное картирование инцидента на MITRE ATT&CK​

Качественные правила детектирования​

Что означает скрытое удалённое управление и чем оно отличается от легитимного доступа​

Каналы связи C2: что искать в сетевом трафике​

Reverse-соединения​

• Исходящие соединения на нестандартные порты (4444, 8080, 443 с невалидным TLS).
  
• Соединения к IP-адресам без привязки к доменному имени (прямой IP вместо DNS-запроса).
  
• Короткие сессии с регулярным переподключением (beaconing) — интервал может быть фиксированным или с jitter.
  

DNS-туннелирование​

• Аномально длинные поддомены в запросах.
  
• Высокая частота DNS-запросов к одному домену.
  
• Запросы к доменам, не связанным с бизнес-процессами.
  

HTTP/HTTPS как транспорт​

• POST-запросы с телом фиксированного размера или закодированным содержимым.
  
• Заголовки User-Agent, не соответствующие реальному браузеру.
  
• Обращения к доменам с низкой репутацией или недавно зарегистрированным.
  
• Отсутствие типичных для браузера заголовков...

Почему один слой защиты не работает​

Сигнатурный детект и его обход​

• Перестановка секций PE-файла. Порядок секций в заголовке не влияет на загрузку, но меняет хеш и байтовый паттерн.
  
• Шифрование/кодирование полезной нагрузки. Тело шифруется, а в точке входа добавляется небольшой расшифровщик. Сигнатура на оригинальный код перестаёт совпадать.
  
• Модификация точки входа. Вставка мусорных инструкций (junk code) или перенос точки входа в другую секцию.
  
• Полиморфизм. Каждая копия файла содержит уникальный расшифровщик и ключ, что делает статическую сигнатуру бесполезной.
  

Что закрывает эту зону​

Снижение энтропии как техника обхода​

Прямой ответ​

Как работает сигнатурный детект​

• Телу конкретной секции (например, .text с машинным кодом).
  
• Таблице импорта — списку функций, которые бинарник вызывает из системных DLL.
  
• Заголовку PE, включая поле AddressOfEntryPoint в IMAGE_OPTIONAL_HEADER.
  
• Комбинации нескольких участков.
  

Классы модификаций, ломающих сигнатуру​

Затирание и перестройка секций​

Модификация таблицы импорта​

Почему защитное исследование требует понимания техник разработки вредоносного ПО​

Основные техники, применяемые при создании вредоносных образцов​

Инфекция исполняемых файлов (PE-инфекция)​

• Сохранение работоспособности хоста. После инъекции файл должен запускаться и выполнять исходную логику. Нарушение этого требования — первый признак некачественной реализации и одновременно индикатор для детекта: если заражённый файл падает при запуске, это повод для проверки.
  
• Обработка структур PE. Необходимо корректно работать с каталогом TLS (Thread Local Storage) и таблицей перекомпоновок (relocations). Конкретно выделяют четыре комбинации, каждая из которых требует отдельной стратегии инъекции:
  
  1. Нет каталога TLS, нет каталога перекомпоновок.
     
  2. Нет каталога TLS, каталог перекомпоновок присутствует.
     
  3. Каталог TLS присутствует, нет каталога перекомпоновок.
     
  4. Каталог TLS присутствует, каталог перекомпоновок присутствует.
     
• Разделение по архитектурам. Для 32-битных и 64-битных целей используются разные механизмы: разные форматы записей перекомпоновок, разные способы...

Почему драйверы — критическая точка атаки​

Механизм DSE и его ограничения​

• Зарегистрироваться в программе Windows Hardware Compatibility Program.
  
• Пройти проверку кода через Microsoft.
  
• Оплатить сертификат (стоимость начинается от ~150 долларов).
  

• Загрузку в режиме Test Signing (bcdedit /set testsigning on).
  
• Загрузку с отключённой проверкой подписи (через меню дополнительных параметров загрузки).
  
• Эксплуатацию уязвимостей в уже подписанных драйверах.
  

Атака BYOVD: Bring Your Own Vulnerable Driver​