malware-analysis

Hell's Gate — техника прямого вызова системных вызовов Windows из usermode, при которой исполняемый код сам извлекает номера системных вызовов (SSN) из ntdll.dll и выполняет инструкцию syscall без обращения к API-функциям. Это позволяет обойти userland-хуки, которые EDR-продукты устанавливают на...

Почему защитное исследование требует понимания техник разработки вредоносного ПО Антивирус, который не понимает, как устроен противник, остаётся реактивным. Защитный исследователь, способный воспроизвести ключевые этапы создания вредоносного образца в контролируемой среде, получает...

Что такое API Hooking и зачем он нужен API Hooking — техника перехвата вызовов функций Windows API до того, как управление достигнет оригинальной реализации. Перехватчик получает доступ к аргументам вызова, может их изменить, заблокировать вызов или передать управление собственной функции...

Что происходит при системном вызове на Windows Каждый запрос пользовательского режима к ядру Windows проходит через инструкцию syscall (x64) или sysenter (x86). Библиотека ntdll.dll содержит тонкие обёртки — так называемые системные вызовы-заглушки (syscall stubs), каждая из которых выполняет...

Анализ вредоносного кода требует изолированной среды, контролируемого запуска и набора инструментов, которые позволяют наблюдать поведение образца без риска для основной инфраструктуры. Ниже — практический разбор каждого слоя: от подготовки лаборатории до сбора телеметрии и классификации техник...