Malware Analysis

analyzing-ransomware-network-indicators aide à analyser `Zeek conn.log` et `NetFlow` pour repérer le beaconing C2, les sorties TOR, l’exfiltration et les DNS suspects dans le cadre d’un audit de sécurité ou d’une réponse à incident.

Guide d'extraction des artefacts mémoire avec Rekall pour analyser des images mémoire Windows. Découvrez les schémas d'installation et d'utilisation pour repérer les processus cachés, le code injecté, les VAD suspectes, les DLL chargées et l'activité réseau en investigation numérique.

detecting-process-hollowing-technique aide à traquer le process hollowing (T1055.012) dans la télémétrie Windows en corrélant les lancements suspendus, les altérations mémoire, les anomalies parent-enfant et les preuves d’API. Conçu pour les threat hunters, les detection engineers et les intervenants qui ont besoin d’un workflow pratique de detecting-process-hollowing-technique pour le Threat Hunting.

detecting-fileless-attacks-on-endpoints aide à créer des détections pour les attaques en mémoire sur les endpoints Windows, notamment les abus de PowerShell, la persistance via WMI, le chargement réfléchi et l’injection de processus. Utilisez-le pour les audits de sécurité, la chasse aux menaces et l’ingénierie de détection avec Sysmon, AMSI et la journalisation PowerShell.

La skill analyzing-windows-amcache-artifacts analyse les données Windows Amcache.hve pour retrouver des indices d’exécution de programmes, de logiciels installés, d’activité des périphériques et de chargement de pilotes dans des workflows DFIR et d’audit de sécurité. Elle s’appuie sur AmcacheParser et des নির্দেশ?

Skill d’analyse du PowerShell Script Block Logging pour parser les événements Windows PowerShell Script Block Logging ID 4104 à partir de fichiers EVTX, reconstruire les blocs de script fragmentés et signaler les commandes obfusquées, les charges utiles encodées, les abus de Invoke-Expression, les download cradles et les tentatives de contournement d’AMSI dans un cadre de Security Audit.

Le skill analyzing-network-traffic-of-malware aide à examiner des PCAP et la télémétrie issus d’exécutions en sandbox ou d’interventions de réponse à incident afin d’identifier le C2, l’exfiltration, les téléchargements de payload, le DNS tunneling et des pistes de détection. C’est un guide pratique d’analyse du trafic réseau de malware pour l’audit de sécurité et le triage malware.

analyzing-malicious-url-with-urlscan aide les analystes à trier les liens suspects avec URLScan.io, à inspecter les redirections, les captures d’écran, le contenu DOM et les appels réseau, puis à transformer les résultats en IOC et en décision de sécurité claire. Utilisez ce guide pour les réponses au phishing, l’analyse d’URL et les workflows de Security Audit.

analyzing-heap-spray-exploitation aide à analyser l’exploitation par heap spray dans des dumps mémoire avec Volatility3. Il identifie les motifs de NOP sled, les allocations volumineuses suspectes, les zones d’atterrissage du shellcode et les indices VAD du processus pour les audits de sécurité, le triage de malware et la validation d’exploits.

analyzing-cobalt-strike-beacon-configuration aide à extraire et analyser la configuration d’un Cobalt Strike Beacon à partir de fichiers PE, de shellcode et de dumps mémoire afin d’identifier l’infrastructure C2, le temps de veille et le jitter, le user-agent, le watermark et les détails du profil malleable, pour les audits de sécurité, la chasse aux menaces et la réponse à incident.