Flerken

परिचय

कमांड लाइन ऑबफस्केशन (CLOB) को फाइललेस मैलवेयर या "लिविंग ऑफ द लैंड" करने वाले दुर्भावनापूर्ण अभिनेताओं में एक गैर-नगण्य कारक साबित किया गया है। जंगल में दर्जनों ऑबफस्केशन उपकरण देखे गए हैं, इसके विपरीत कुछ ही उचित प्रतिरोधी उपाय पाए जा सकते हैं। इस वार्ता में, हम Flerken प्रस्तुत करते हैं, जो विंडोज (Powershell और CMD) और लिनक्स (Bash) दोनों कमांडों के लिए काम करने वाला एक ऑबफस्केशन पहचान दृष्टिकोण है। हमारी जानकारी के अनुसार, Flerken पहला समाधान है जो क्रॉस-प्लेटफॉर्म ऑबफस्केशन पहचान सुविधा का समर्थन करता है।

यह वार्ता पहले CLOB पर कुछ प्रमुख अवलोकन साझा करती है जैसे इसके हमले के वेक्टर और विश्लेषण रणनीतियाँ। फिर हम Flerken का एक विस्तृत डिज़ाइन देते हैं। विवरण दो भागों में विभाजित है, अर्थात् Kindle (विंडोज के लिए) और Octopus (लिनक्स के लिए)। क्रमशः, हम दिखाएंगे कि कैसे मानव पठनीयता PS/CMD ऑबफस्केशन के विरुद्ध एक प्रभावी सांख्यिकीय विशेषता के रूप में काम कर सकती है, और कैसे डायनामिक सिंटैक्स पार्सिंग को Bash CLOB के विरुद्ध गलत सकारात्मक/नकारात्मक को समाप्त करने के लिए अपनाया जा सकता है। Flerken की प्रभावशीलता का मूल्यांकन प्रतिनिधि काले/सफेद कमांड नमूनों और प्रदर्शन प्रयोगों के माध्यम से किया जाता है।

यहां, हम Flerken द्वारा मूल रूप से संतुष्ट किए गए कार्यात्मक गुणों पर प्रकाश डालते हैं:

• स्केलेबिलिटी। Flerken क्रॉस-प्लेटफॉर्म ऑबफस्केशन पहचान का समर्थन करता है। इसके अलावा, Flerken सर्वर EDR सिस्टम (लाखों के पैमाने पर) में रीयल-टाइम ऑबफस्केशन बबलिंग प्राप्त करने में मदद कर सकता है।

• सटीकता। Flerken अधिकांश विंडोज/लिनक्स कमांड ऑबफस्केशन को सही ढंग से अलग करने में सक्षम है। इसलिए, Flerken को उद्यमों द्वारा सर्वर एंडपॉइंट्स की कई सुरक्षा जांचों में अपनाया जा सकता है।

• उपलब्धता। Flerken अब अपने आधिकारिक वेबपेज के माध्यम से सुलभ है। आपको बस इतना करना है कि कमांड स्ट्रिंग में पेस्ट करें और जांचें कि आप क्या विश्लेषण करना चाहते हैं। किसी विशिष्ट इनपुट फ़ाइल प्रारूप की आवश्यकता नहीं है। हमने Flerken को Github पर ओपन-सोर्स भी किया है ताकि आप अपनी आवश्यकता के अनुसार अपना स्वयं का डिटेक्टर बना सकें।

आगामी रिलीज़

• डी-ऑबफस्केटेड-बैश टूल: ऑक्टोपसबैश-एंबेडेड डॉकर की एक इमेज।
• Flerken के वर्कफ़्लो की निगरानी, कॉन्फ़िगर करने और वर्कफ़्लो आउटपुट परिणामों का विश्लेषण करने के लिए एक वेब प्रबंधन प्लेटफ़ॉर्म।

वेब डेमो स्रोत कोड

कृपया हमारी दूसरी शाखा web-demo देखें।

सहायता प्राप्त करना

यदि आपके पास Flerken के बारे में कोई प्रश्न या प्रतिक्रिया है। कृपया एक इश्यू बनाएं और उसके लिए उपयुक्त लेबल चुनें। हम इसे जल्द से जल्द हल करेंगे।

परिवर्तन लॉग

कृपया हमारा CHANGELOG.md देखें

लेखक

• Yao Zhang
• Zhiyang Zeng

आभार

हम इस शोध परियोजना के सभी योगदानकर्ताओं और Tencent Blade Team के सभी सदस्यों को धन्यवाद देना चाहते हैं। इसके अलावा, हम सुरक्षा शोधकर्ताओं Daniel Bohannon और Andrew LeFevre को उनकी मूल्यवान प्रतिक्रिया और चर्चा के लिए धन्यवाद देना चाहते हैं।

लाइसेंस

Flerken Apache 2.0 लाइसेंस के तहत जारी किया गया है।