hasherezade/pe-sieve
کاربرد:
این ابزار یک ابزار تحلیل فرآیندهای در حال اجرا در سیستم هست که می‌تونه نرم‌افزارهای مخرب مثل فایل‌های PE جاسازی‌شده، شل‌کدها، هک‌های حافظه و تغییرات غیرمجاز در کد رو تشخیص بده و اون‌ها رو از حافظه استخراج کنه. ️
در چه شرایطی بهتره استفاده شود؟
وقتی شک داری یک فرآیند سیستمی آلوده شده یا کسی از طریق حافظه داره به سیستمت دسترسی غیرمجاز پیدا می‌کنه، این ابزار می‌تونه کمک کنه تا کدهای مخفی یا فایل‌های اجرایی جعلی رو پیدا کنی.
همچنین برای تحلیل نمونه‌های مالویر در محیط‌های ایزوله (مثل لب‌تاپ تحلیل بدافزار) عالیه.
چند مثال از موارد استفاده
- تشخیص DLL Injection در فرآیندهای سیستمی مثل explorer.exe یا svchost.exe
- استخراج یک شل‌کد که از طریق reflective loading بارگذاری شده
- پیدا کردن API hooks که توسط بدافزار برای هدایت مسیر فراخوانی‌ها ایجاد شدن
- تحلیل یک فرآیند که رفتار عجیب داره ولی آنتی‌ویروس هیچ چیزی رو گزارش نمی‌ده
- ##malware
- ##memory
- ##reverse
- ##pentesting
- ##red
- ##blue
- ##cybersecurity
- ##incident
- ##shellcode
- ##PE