amberchalia/norm-edrप्रायोगिक कर्नेल-मोड EDR अनुसंधान परियोजना जो संदिग्ध इन-मेमोरी निष्पादन पैटर्न की व्याख्यात्मक पहचान पर केंद्रित है, अपारदर्शी स्कोरिंग या ब्लॉकिंग के बजाय मानव-पठनीय अलर्ट उत्पन्न करती है।
NORM (सामान्य EDR) एक प्रायोगिक कर्नेल-मोड EDR अनुसंधान परियोजना है जो मौन अवरोधन के बजाय व्याख्यात्मक पहचान पर केंद्रित है।
स्कोर निर्धारित करने या प्रक्रियाओं को समाप्त करने के बजाय, NORM एक प्रश्न का उत्तर देता है:
यह बाइनरी संदिग्ध क्यों दिखती है?
यह परियोजना सार्वजनिक रूप से चरण-दर-चरण बनाई गई है, जो इस बात की सीखने और अनुसंधान यात्रा है कि आधुनिक EDR व्यवहार के बारे में किस प्रकार तर्क करते हैं।
यह रिलीज़ एक मेमोरी स्कैनिंग रूटीन प्रस्तुत करती है जो कई सामान्य मैलवेयर नमूनों द्वारा उपयोग किए जाने वाले सामान्य इन-मेमोरी निष्पादन पैटर्न का पता लगाने में सक्षम है।
ड्राइवर अब प्रक्रिया मेमोरी क्षेत्रों की गणना करता है और निम्नलिखित विशेषताओं वाली संदिग्ध मेमोरी की पहचान करता है:
MEM_PRIVATEAllocationProtect = PAGE_READWRITEProtect = PAGE_EXECUTE_READयह पैटर्न आमतौर पर तब देखा जाता है जब शेलकोड को मेमोरी में लिखा जाता है और बाद में निष्पादन योग्य के रूप में चिह्नित किया जाता है।
ड्राइवर निम्नलिखित चरणों को निष्पादित करता है:
KeStackAttachProcess का उपयोग करके लक्ष्य प्रक्रिया से जुड़ता है।ZwQueryVirtualMemory का उपयोग करके गणना किया जाता है।[ALERT] PID 4120 AllocationProtect: RW Protect: RX Type: PRIVATE
इसके बजाय, NORM स्पष्ट, मानव-पठनीय कर्नेल अलर्ट उत्पन्न करता है, जैसे:
NORM एक कर्नेल-मोड ड्राइवर है और इसके लिए समर्पित लैब वातावरण की आवश्यकता होती है।
एक संपूर्ण वॉकथ्रू जिसमें शामिल हैं:
यहाँ उपलब्ध है:
📺 NORM को कैसे संकलित और चलाएं (कर्नेल लैब सेटअप)
👉 YouTube: https://www.youtube.com/watch?v=8NHgK_OSKj8
लिखित बिल्ड चरणों को जानबूझकर छोड़ा गया है ताकि दस्तावेज़ीकरण वीडियो श्रृंखला के साथ समकालिक बना रहे।
यह परियोजना है:
उत्पादन-तैयार नहीं। वास्तविक सिस्टम पर तैनात न करें।
यदि आपको यह परियोजना उपयोगी लगती है और आप निरंतर विकास का समर्थन करना चाहते हैं, तो आप मुझे एक कॉफ़ी खरीदकर मदद कर सकते हैं।
आपका समर्थन इन्हें कवर करने में मदद करता है:
👉 मुझे Buy Me a Coffee पर समर्थन करें
मेरे ब्लॉग पर मेरी चुनौतियों और तकनीकी अंतर्दृष्टि के बारे में पढ़ें: rootfu.in।