The device driver typically creates a device or multiple devices and specifies what type of operations it can handle.

ডিভাইস ড্রাইভার সাধারণত একটি ডিভাইস বা একাধিক ডিভাইস তৈরি করে এবং এটি কী ধরনের অপারেশন পরিচালনা করতে পারে তা নির্দিষ্ট করে।


When the driver is loaded into the system, the I/O manager creates a driver object (DRIVER_OBJECT structure).

যখন ড্রাইভারটি সিস্টেমে লোড হয়, তখন I/O ম্যানেজার একটি ড্রাইভার অবজেক্ট তৈরি করে (DRIVER_OBJECT কাঠামো)।


During initialization, the driver updates the Major function table with dispatch routine addresses.

আরম্ভের সময়, ড্রাইভারটি প্রধান ফাংশন টেবিলটিকে ডিসপ্যাচ রুটিন ঠিকানাগুলির সাথে আপডেট করে।


Examining the major function table gives an idea of supported operations.

প্রধান ফাংশন টেবিল পরীক্ষা করে সমর্থিত ক্রিয়াকলাপগুলির ধারণা পাওয়া যায়।


The major function table is an array of 28 function pointers.

প্রধান ফাংশন টেবিলটি ২৮টি ফাংশন পয়েন্টারের একটি অ্যারে।


Index value 0 corresponds to the major function code IRP_MJ_CREATE.

সূচক মান ০ প্রধান ফাংশন কোড IRP_MJ_CREATE এর সাথে মিলে যায়।


If an application wants to open a file, the request goes to the I/O manager.

যদি কোনো অ্যাপ্লিকেশন একটি ফাইল খুলতে চায়, তাহলে অনুরোধটি I/O ম্যানেজারের কাছে যায়।


The I/O manager uses the IRP_MJ_CREATE code to find the dispatch routine.

I/O ম্যানেজার ডিসপ্যাচ রুটিন খুঁজে বের করতে IRP_MJ_CREATE কোড ব্যবহার করে।


For a read operation, IRP_MJ_READ is used as the index.

একটি রিড অপারেশনের জন্য, IRP_MJ_READ সূচক হিসাবে ব্যবহৃত হয়।


The null.sys driver supports operations like open, read, write, etc.

null.sys ড্রাইভার ওপেন, রিড, রাইট ইত্যাদির মতো অপারেশন সমর্থন করে।


Supported operations are dispatched to the appropriate dispatch routine.

সমর্থিত অপারেশনগুলি উপযুক্ত ডিসপ্যাচ রুটিনে পাঠানো হয়।


A write operation is dispatched to the MajorFunction[IRP_MJ_WRITE] function.

একটি রাইট অপারেশন MajorFunction[IRP_MJ_WRITE] ফাংশনে পাঠানো হয়।


In null.sys, all supported operations go to the same address.

null.sys-এ, সমস্ত সমর্থিত অপারেশন একই ঠিকানায় যায়।


The I/O manager creates an IRP to describe an I/O request.

I/O ম্যানেজার একটি IRP তৈরি করে একটি I/O অনুরোধ বর্ণনা করার জন্য।


The IRP contains a buffer for data in kernel memory.

IRP-তে কার্নেল মেমরিতে ডেটার জন্য একটি বাফার রয়েছে।


The driver receives the IRP and performs a check before the I/O operation.

ড্রাইভার IRP গ্রহণ করে এবং I/O অপারেশন করার আগে একটি পরীক্ষা করে।


The driver returns the IRP to the I/O manager after completion.

কাজ শেষ হওয়ার পরে ড্রাইভার IRP-কে I/O ম্যানেজারের কাছে ফিরিয়ে দেয়।


The I/O manager returns status and data to the user-mode application.

I/O ম্যানেজার ব্যবহারকারী-মোড অ্যাপ্লিকেশনটিতে স্থিতি এবং ডেটা ফেরত পাঠায়।


User-mode code communicates with the kernel-mode driver.

ব্যবহারকারী-মোড কোড কার্নেল-মোড ড্রাইভারের সাথে যোগাযোগ করে।


The DeviceIoControl API allows user-mode code to communicate directly.

DeviceIoControl API ব্যবহারকারী-মোড কোডকে সরাসরি যোগাযোগ করতে দেয়।


DeviceIoControl uses IOCTL codes for specific operations.

DeviceIoControl নির্দিষ্ট ক্রিয়াকলাপের জন্য IOCTL কোড ব্যবহার করে।


I/O requests can go through multiple layers of drivers.

I/O অনুরোধগুলি একাধিক ড্রাইভার স্তরের মধ্য দিয়ে যেতে পারে।


আউটপুটটি হুক করা এন্ট্রি প্রদর্শন করে।


You can see that the 0xC3 entry in the IDT is pointing to an address in the UNKNOWN module.

আপনি দেখতে পারেন যে আইডিটি-তে 0xC3 এন্ট্রিটি UNKNOWN মডিউলের একটি ঠিকানায় নির্দেশ করছে।


In other words, the hooked entry resides outside the range of the ntoskrnl.exe module.

অন্য কথায়, হুক করা এন্ট্রিটি ntoskrnl.exe মডিউলের পরিধির বাইরে অবস্থিত।


Detecting Advanced Malware Using Memory Forensics

মেমরি ফরেনসিক ব্যবহার করে উন্নত ম্যালওয়্যার সনাক্তকরণ


Instead of replacing the pointers in the SSDT, which makes it easy to recognize, an attacker can modify the kernel function.

এসএসডিটি-তে পয়েন্টারগুলি প্রতিস্থাপনের পরিবর্তে, যা সনাক্ত করা সহজ করে তোলে, একজন আক্রমণকারী কার্নেল ফাংশনটি সংশোধন করতে পারে।


You can use the apihooks plugin to detect inline hooking in the kernel space.

আপনি কার্নেল স্পেসে ইনলাইন হুকিং সনাক্ত করতে apihooks প্লাগইন ব্যবহার করতে পারেন।


The hooked API functions are redirected to the 0xb878dfb2 and 0xb878e6bb addresses within a malicious module.

হুক করা এপিআই ফাংশনগুলি একটি দূষিত মডিউলের মধ্যে 0xb878dfb2 এবং 0xb878e6bb ঠিকানায় পুনর্নির্দেশিত হয়।


Even though the name of the hooking module is unknown, it is still possible to detect the malicious kernel module.

যদিও হুকিং মডিউলের নাম অজানা, তবুও দূষিত কার্নেল মডিউল সনাক্ত করা সম্ভব।


Running the modules plugin does not detect any module at that address range.

মডিউল প্লাগইন চালালে সেই ঠিকানা range-এ কোনো মডিউল সনাক্ত হয় না।


You can clearly see that the hook addresses 0xb878dfb2 and 0xb878e6bb fall within the address range of TDSSserv.sys.

আপনি স্পষ্টভাবে দেখতে পারেন যে হুক ঠিকানা 0xb878dfb2 এবং 0xb878e6bb TDSSserv.sys-এর ঠিকানা range-এর মধ্যে পড়ে।


At this point, we have successfully identified the malicious driver.

এই পর্যায়ে, আমরা সফলভাবে দূষিত ড্রাইভার সনাক্ত করেছি।


Instead of hooking the kernel API functions, a rootkit can modify the entries in the major function table.

কার্নেল এপিআই ফাংশনগুলিকে হুক করার পরিবর্তে, একটি রুটকিট প্রধান ফাংশন টেবিলের এন্ট্রিগুলি সংশোধন করতে পারে।


For example, a rootkit can inspect the data buffer that is written to a disk or network.

উদাহরণস্বরূপ, একটি রুটকিট ডেটা বাফার পরীক্ষা করতে পারে যা একটি ডিস্ক বা নেটওয়ার্কে লেখা হয়।


To detect IRP hooks, you can focus on IRP handler functions that point to another driver.

আইআরপি হুকগুলি সনাক্ত করতে, আপনি আইআরপি হ্যান্ডলার ফাংশনগুলির উপর মনোযোগ দিতে পারেন যা অন্য একটি ড্রাইভারের দিকে নির্দেশ করে।


If you are analyzing the rootkit in a lab setup, then you can list the IRP functions of all the drivers.

আপনি যদি একটি ল্যাব সেটআপে রুটকিট বিশ্লেষণ করেন, তাহলে আপনি সমস্ত ড্রাইভারের আইআরপি ফাংশন তালিকাভুক্ত করতে পারেন।


The following output from the modscan displays the malicious driver.

modscan থেকে নিম্নলিখিত আউটপুটটি দূষিত ড্রাইভার প্রদর্শন করে।


Some rootkits use indirect IRP hooking to avoid suspicion.

কিছু রুটকিট সন্দেহ এড়াতে পরোক্ষ আইআরপি হুকিং ব্যবহার করে।


After disassembling the address 0x880ee040, you can see the jump to an address of 0x8518cad9.

0x880ee040 ঠিকানাটি ডিসঅ্যাসেম্বল করার পরে, আপনি 0x8518cad9-এর একটি ঠিকানায় জাম্প দেখতে পারেন।


For detailed information on the stealth techniques used by the Gapz Bootkit, read the whitepaper.

Gapz Bootkit দ্বারা ব্যবহৃত স্টিলথ কৌশল সম্পর্কে বিস্তারিত তথ্যের জন্য, হোয়াইটপেপারটি পড়ুন।


Malware authors use various advanced techniques to install their kernel driver.

ম্যালওয়্যার লেখকরা তাদের কার্নেল ড্রাইভার ইনস্টল করতে বিভিন্ন উন্নত কৌশল ব্যবহার করে।


The program's execution can be interrupted with breakpoints.

প্রোগ্রামটি ব্রেকপয়েন্টগুলির মাধ্যমে কার্যকর করা যেতে পারে।


Breakpoints are essential for debugging malware executables.

ম্যালওয়্যার এক্সিকিউটেবলগুলি ডিবাগ করার জন্য ব্রেকপয়েন্টগুলি অপরিহার্য।


IDA is used for binary debugging and enhancing disassembly.

আইডিএ বাইনারি ডিবাগিং এবং ডিসঅ্যাসেম্বলি উন্নত করতে ব্যবহৃত হয়।


The debugger interface provides various windows for analysis.

ডিবাগার ইন্টারফেস বিশ্লেষণের জন্য বিভিন্ন উইন্ডো সরবরাহ করে।


Malware analysis often involves static and dynamic analysis techniques.

ম্যালওয়্যার বিশ্লেষণে প্রায়শই স্ট্যাটিক এবং ডায়নামিক বিশ্লেষণ কৌশল জড়িত থাকে।


Understanding CPU registers is crucial for reverse engineering.

রিভার্স ইঞ্জিনিয়ারিংয়ের জন্য সিপিইউ রেজিস্টারগুলি বোঝা অত্যন্ত গুরুত্বপূর্ণ।


File type determination is a key step in initial analysis.

ফাইল টাইপ নির্ধারণ প্রাথমিক বিশ্লেষণের একটি গুরুত্বপূর্ণ পদক্ষেপ।


Dynamic analysis involves implementing and using various tools.

ডায়নামিক বিশ্লেষণে বিভিন্ন সরঞ্জাম প্রয়োগ এবং ব্যবহার করা জড়িত।


The use of packers and cryptors complicates malware analysis.

প্যাকার এবং ক্রিপ্টরগুলির ব্যবহার ম্যালওয়্যার বিশ্লেষণকে জটিল করে তোলে।


Remote DLL injection is a common technique used by attackers.

আক্রমণকারীদের দ্বারা ব্যবহৃত একটি সাধারণ কৌশল হল রিমোট ডিএলএল ইনজেকশন।


Analyzing export arguments is part of the DLL analysis process.

এক্সপোর্ট আর্গুমেন্ট বিশ্লেষণ ডিএলএল বিশ্লেষণ প্রক্রিয়ার একটি অংশ।


The program's appearance on disk is a factor in its analysis.

ডিস্কে প্রোগ্রামের উপস্থিতি তার বিশ্লেষণের একটি কারণ।


IDA is used for attaching to a process for debugging.

ডিবাগিংয়ের জন্য আইডিএ একটি প্রক্রিয়ার সাথে সংযুক্ত হতে ব্যবহৃত হয়।


Obtaining VAD information is crucial for detecting injected code.

ইনজেক্ট করা কোড সনাক্তকরণের জন্য VAD তথ্য পাওয়া অপরিহার্য।


Hollow Process Injection is a sophisticated technique.

হলো প্রসেস ইনজেকশন একটি অত্যাধুনিক কৌশল।


Understanding the PE file structure is fundamental to malware analysis.

ম্যালওয়্যার বিশ্লেষণের জন্য PE ফাইল কাঠামো বোঝা অপরিহার্য।


The use of IDAPython for debugger scripting enhances the process.

ডিবাগার স্ক্রিপ্টিংয়ের জন্য IDAPython ব্যবহার প্রক্রিয়াটিকে উন্নত করে।


Detecting Crypto Constants with FindCrypt2 is a common practice.

FindCrypt2 এর সাথে ক্রিপ্টো কনস্ট্যান্ট সনাক্তকরণ একটি সাধারণ অনুশীলন।


Malware often employs custom encoding and encryption methods.

ম্যালওয়্যার প্রায়শই কাস্টম এনকোডিং এবং এনক্রিপশন পদ্ধতি ব্যবহার করে।


Analyzing the process environment block (PEB) is a key step in memory analysis.

প্রসেস এনভায়রনমেন্ট ব্লক (PEB) বিশ্লেষণ মেমরি বিশ্লেষণের একটি গুরুত্বপূর্ণ পদক্ষেপ।