TurboFan kodu optimize ederken "bu değerler hep küçük tamsayı olacak" gibi varsayımlar yapıyor ve her varsayımın önüne bir guard koyuyordu. Bugünkü yazıda o varsayımları bilerek bozup motorun ne yaptığına baktım.
Fuzzing serisinin ikinci bölümünde gerçek V8 motorunu derledim; a + b gibi basit bir ifadenin TurboFan tarafından nasıl makine koduna çevrildiğini ve ilk güvenlik ipuçlarını adım adım izledim.
İlk aşamalarda olmasa da ilerleyen süreçte Chrome’un açık kaynaklı versiyonu olan Chromium üzerinde çalışmalara devam etme planım bulunuyor.
İlk yazımın üzerine ek bir bilgi gibi olacak ve VMware Fusion üzerinde Serial Ports ayarlamalarının nasıl yapıldığı ile ilgili olacak.
In this article, I will give some solutions when writing code for Windows Kernel driver or C++. Especially these are solutions when try to set up VS Studio on VM and start to write codes.
Pek çok zararlı geliştiricisi, analistlerin kodların nereden geldiğini, nereye bağlandığını ve benzeri noktaları tam olarak bulamaması için obfuscation (karmaşıklaştırma) tekniği kullanıyor.
Topic is the Arbitrary Memory Overwrite vulnerability, also known as Write-What-Where. Our goal is essentially to overwrite a pointer in the Kernel Dispatch Table (where) with the address of our shellcode (what).
On the user mode side: whenever an application runs, Windows creates a process for it. Within that process, Windows allocates a private virtual address space exclusively for that application. Because this address space belongs to only one application, other applications cannot modify it.
In this article, I will give you information about taking executable files which are inside dump files. If I talk about our scenario, there is a dump file from *s*vchost.exe that look suspicious.
Nearly every process in the operating system architecture is defined within the EPROCESS structure. Inside this structure, we can access all information — such as memory regions — belonging to the processes we examine.
Çekirdek modüllerinden biri olan ntoskrnl modülü her zaman temel adresi "(base address) pMods->Module\[0\].ImageBase" olan ilk giriştir. Diğer modüller için listeyi dolaşıp her bir girişin FullPathName‘i, hedef modülün taban adresini alması ile karşılaştırabiliriz.
We specify the path of our file named HEVD.sys, which can be exploited from the DriverPath section. We set Service Start*to Automatic.
Açıkcası yazılarımda kullandığım araçların doğru yüklenmesi ve uyum sorunlarıyla ile ilgili diğer ayrıntılarıda eklemeye gayret ediyorum. Buradaki amaç ayıntılarda boğuşup, ana konudan sapmamaya katkıda bulunmak diyebilirim.
Connscan eklentisi TCP bağlantılarını tarayan bir tarayıcıdır ve bize açık socketlerin listesini hazırlar. Bunun haricinde netscan eklentisini kullandığımız zamanlarda ise bize bağlantılar ve socketler için bir görüntü tarar.
PIN is dynamic binary analysis tool for x86/64 and MIC instruction -set architectures. I started to use it for tracing and deobfuscating malware.
We can also take a look at our malicious file on IDA Pro before proceeding with unpacking. Especially in the process of the unpacking process to make our easier in advance.
According to the published vulnerability, this vulnerability exists in Adobe Flash Player 28.0.0.137 and below. The vulnerability was distributed via malicious Office documents.
My primary disassembler is IDA Pro. There is one drawback worth mentioning though: if I recall correctly, the free version dropped x86 support around 2017, which was actually one of my reasons for setting up an x64 VM.
Geçtiğimiz sene Haziran aylarında özellikle Ukrayna’ya yönelik olarak Petya.A/NotPetya adında bir zararlı yazılım kullanılarak büyük çapta siber saldırılar yapılmıştı. Ukrayna’nın yanı sıra Polonya, Rusya, Türkiye, Bulgaristan’da etkilenen ülkeler arasında yer almıştı.
After a long time, I wrote a short article. I created new virtual lab environment with win7x86. Then I tried to run a script that ended with .ps1 on PowerShell but there was a some errors. The main reason for the mistake is as follows:
As can be understood from my previous articles, I was doing malware analysis. It will take time to deal with the issues encountered in the beginning. So I will explain these experiences.
PE Header, IMAGE_NT_HEADERS olarak adlandırılan genel yapının bir terimidir. Bu yapı yükleyici (loader) tarafından kullanılan temel bilgileri içeriyor. IMAGE_NT_HEADERS üç üyeye sahiptir ve windows.inc içerisinde tanımlanmıştır.
Tüm Portable Executable dosyalarında, her bir dosyanın ilk 64 baytını kapsayan bir DOS Header (üst bilgi) ile başlıyor. Programların DOS’tan çalıştırılması durumunda DOS, bunu bir yürütülebilir bir dosya olarak tanımlayabilir ve header’dan hemen sonra depolanan DOS stub’ı çalıştırabilir.
APortable Executable (PE) Windows’un çalıştırılabilir dosya formatıdır. 1993 yılında Windows tarafından tasarlanan bu format, TIS (tool interface standard) Komitesi (Microsoft, Intel, Borland, Watcom, IBM ve diğerleri) tarafından standartlandırılmıştır.
AntiVM ile ilgili kod bölümüne gittiğimde VirtualBox Guest Additions ile ilgili bir kısma rastlıyoruz. Anladığım kadarıyla zararlı VB Guest Additions’ın yüklü olduğu fark ettiği andan itibaren çalışmasını durduracak.
Hybrid-Analysis üzerinden indirdiğim dosyayı ilk olarak DnSpy’da açmaya kalktığım zaman giriş noktasının (entry point) ve değişkenlerin (variables) tam olarak belli olmadığını fark ediyorum. Bu yüzden zararlı dosyamızı daha okunur hale getirmek için De4dot aracını kullanıyorum.
Ransom32, indirildiğinde kendiliğinden açılan bir WinRAR arşivi olarak karşımıza çıkıyor. Yukarıdaki görselde görüleceği üzere arşivin içinde Chrome.exe dosyası yer alıyor. Arşiv açıldıktan sonra, dosyalar arasındaki Chrome.exe yi otomatik olarak çalıştıran betik harekete geçiyor.
Zararlının önceki versiyonlarında yönlendirdiği gibi bu seferde yönlendirilen web sayfası benzer bir biçimde karşımıza çıkıyor. Tahmin edileceği gibi Tor üzerinde host edilmiş bir sayfada kurbanların istenilen miktarı sadece bitcoin ile ödemesi gerektiği yazıyor.
