To dump a process executable from memory to disk, you can use the procdump plugin.

मेमोरी से डिस्क पर एक प्रक्रिया निष्पादन योग्य को डंप करने के लिए, आप procdump प्लगइन का उपयोग कर सकते हैं।


To dump the process executable, you need to know either its process ID or its physical offset.

प्रक्रिया निष्पादन योग्य को डंप करने के लिए, आपको या तो इसकी प्रक्रिया आईडी या इसके भौतिक ऑफसेट को जानने की आवश्यकता है।


With the -D (--dump-dir) option, you specify the name of the directory in which to dump executable files.

-D (--dump-dir) विकल्प के साथ, आप उस निर्देशिका का नाम निर्दिष्ट करते हैं जिसमें निष्पादन योग्य फ़ाइलों को डंप करना है।


Similarly, to the process executable, you can dump a malicious DLL to disk using the dlldump plugin.

इसी तरह, प्रक्रिया निष्पादन योग्य के लिए, आप dlldump प्लगइन का उपयोग करके एक दुर्भावनापूर्ण DLL को डिस्क पर डंप कर सकते हैं।


Most malicious programs perform some network activity.

अधिकांश दुर्भावनापूर्ण प्रोग्राम कुछ नेटवर्क गतिविधि करते हैं।


Inspecting the networking activity will help you determine the network operations of the malware on the infected system.

नेटवर्किंग गतिविधि का निरीक्षण करने से आपको संक्रमित सिस्टम पर मैलवेयर के नेटवर्क संचालन को निर्धारित करने में मदद मिलेगी।


To determine the active network connections on pre-vista systems, you can use the connections plugin.

प्री-विस्टा सिस्टम पर सक्रिय नेटवर्क कनेक्शन निर्धारित करने के लिए, आप कनेक्शन प्लगइन का उपयोग कर सकते हैं।


Another plugin that you can use to list the network connections on pre-vista systems is connscan.

एक और प्लगइन जिसका उपयोग आप प्री-विस्टा सिस्टम पर नेटवर्क कनेक्शन को सूचीबद्ध करने के लिए कर सकते हैं, वह है connscan।


Sometimes, you may want to get the information about the open sockets and their associated processes.

कभी-कभी, आप खुले सॉकेट और उनकी संबद्ध प्रक्रियाओं के बारे में जानकारी प्राप्त करना चाह सकते हैं।


On Vista and later systems, you can use the netscan plugin to display both the network connections and the sockets.

विस्टा और बाद के सिस्टम पर, आप नेटवर्क कनेक्शन और सॉकेट दोनों को प्रदर्शित करने के लिए netscan प्लगइन का उपयोग कर सकते हैं।


From a forensics perspective, the registry can provide valuable information about the context of the malware.

एक फोरेंसिक दृष्टिकोण से, रजिस्ट्री मैलवेयर के संदर्भ के बारे में मूल्यवान जानकारी प्रदान कर सकती है।


To print the registry key, subkeys, and its values, you can use the printkey plugin.

रजिस्ट्री कुंजी, उपकुंजी और उसके मानों को प्रिंट करने के लिए, आप printkey प्लगइन का उपयोग कर सकते हैं।


The Userassist registry key contains a list of programs that have been executed by the user on the system.

Userassist रजिस्ट्री कुंजी में उन प्रोग्रामों की एक सूची है जिन्हें उपयोगकर्ता द्वारा सिस्टम पर निष्पादित किया गया है।


In this section, we will focus on how to investigate services from the memory image.

इस खंड में, हम इस बात पर ध्यान केंद्रित करेंगे कि मेमोरी छवि से सेवाओं की जांच कैसे करें।


The driver updates the Major function table during initialization.

प्रारंभिकरण के दौरान ड्राइवर मेजर फंक्शन टेबल को अपडेट करता है।


Examining the major function table helps understand supported operations.

मेजर फंक्शन टेबल की जांच से समर्थित कार्यों को समझने में मदद मिलती है।


The I/O manager uses IRP_MJ_CREATE to find the dispatch routine.

आई/ओ मैनेजर, डिस्पैच रूटीन खोजने के लिए IRP_MJ_CREATE का उपयोग करता है।


An application opens a handle to a file or device object.

एक एप्लिकेशन फ़ाइल या डिवाइस ऑब्जेक्ट के लिए एक हैंडल खोलता है।


The read operation uses IRP_MJ_READ to determine the dispatch routine address.

रीड ऑपरेशन, डिस्पैच रूटीन के पते को निर्धारित करने के लिए IRP_MJ_READ का उपयोग करता है।


Null.sys only supports specific operations like open, read, and write.

Null.sys केवल विशिष्ट कार्यों का समर्थन करता है जैसे कि ओपन, रीड और राइट।


Supported operations are dispatched to the appropriate dispatch routine.

समर्थित कार्यों को उचित डिस्पैच रूटीन पर भेजा जाता है।


The write request is dispatched to MajorFunction[IRP_MJ_WRITE].

राइट अनुरोध मेजरफंक्शन[IRP_MJ_WRITE] को भेजा जाता है।


In null.sys, all supported operations go to the same address.

null.sys में, सभी समर्थित कार्य एक ही पते पर जाते हैं।


The I/O manager creates an IRP to describe an I/O request.

आई/ओ मैनेजर, आई/ओ अनुरोध का वर्णन करने के लिए एक आईआरपी बनाता है।


The IRP contains a buffer for data storage.

आईआरपी में डेटा स्टोरेज के लिए एक बफर होता है।


The driver checks if everything is OK before initiating an I/O operation.

आई/ओ ऑपरेशन शुरू करने से पहले ड्राइवर जांच करता है कि सब कुछ ठीक है या नहीं।


The driver returns the IRP to the I/O manager upon completion.

पूरा होने पर ड्राइवर आईआरपी को आई/ओ मैनेजर को लौटाता है।


The I/O manager returns status and data to the user mode application.

आई/ओ मैनेजर स्थिति और डेटा को यूजर मोड एप्लिकेशन को लौटाता है।


User-mode code communicates with the kernel-mode driver.

यूजर-मोड कोड, कर्नेल-मोड ड्राइवर के साथ संचार करता है।


The command 'echo "hello" > NUL' writes to the null device.

कमांड 'echo "hello" > NUL' नल डिवाइस पर लिखता है।


CreateFile() eventually calls NtCreateFile() in ntoskrnl.exe.

CreateFile() अंततः ntoskrnl.exe में NtCreateFile() को कॉल करता है।


The I/O manager finds the driver based on the symbolic link name.

आई/ओ मैनेजर, प्रतीकात्मक लिंक नाम के आधार पर ड्राइवर को ढूंढता है।


WriteFile() calls NtWriteFile for the write operation.

राइट ऑपरेशन के लिए WriteFile() NtWriteFile को कॉल करता है।


Windows supports communication via DeviceIoControl API.

विंडोज, DeviceIoControl API के माध्यम से संचार का समर्थन करता है।


The code analysis tools are essential for understanding the behavior of malware.

कोड विश्लेषण उपकरण मैलवेयर के व्यवहार को समझने के लिए आवश्यक हैं।


Dynamic analysis helps in observing the system's interaction with the environment.

गतिशील विश्लेषण पर्यावरण के साथ सिस्टम की बातचीत का निरीक्षण करने में मदद करता है।


Breakpoints are used to interrupt program execution for debugging purposes.

डीबगिंग उद्देश्यों के लिए प्रोग्राम निष्पादन को बाधित करने के लिए ब्रेकपॉइंट का उपयोग किया जाता है।


The disassembler helps to convert machine code into assembly language.

डिसअसेंबलर मशीन कोड को असेंबली भाषा में बदलने में मदद करता है।


File type determination is a crucial step in malware analysis.

फ़ाइल प्रकार का निर्धारण मैलवेयर विश्लेषण में एक महत्वपूर्ण कदम है।


The use of packers can obfuscate the code and make analysis difficult.

पैकर का उपयोग कोड को अस्पष्ट कर सकता है और विश्लेषण को कठिन बना सकता है।


Malware often employs various techniques to inject code into other processes.

मैलवेयर अक्सर अन्य प्रक्रियाओं में कोड इंजेक्ट करने के लिए विभिन्न तकनीकों का उपयोग करता है।


Understanding the structure of PE files is essential for static analysis.

स्थिर विश्लेषण के लिए पीई फ़ाइलों की संरचना को समझना आवश्यक है।


The debugger interface provides tools for controlling program execution.

डीबगर इंटरफ़ेस प्रोग्राम निष्पादन को नियंत्रित करने के लिए उपकरण प्रदान करता है।


Remote DLL injection is a common technique used by attackers.

रिमोट DLL इंजेक्शन हमलावरों द्वारा उपयोग की जाने वाली एक सामान्य तकनीक है।


The process of unpacking malware involves removing the obfuscation.

मैलवेयर को अनपैक करने की प्रक्रिया में अस्पष्टता को हटाना शामिल है।


Analyzing the import table helps to identify the dependencies of a program.

इंपोर्ट टेबल का विश्लेषण एक प्रोग्राम की निर्भरताओं की पहचान करने में मदद करता है।


The use of XOR encoding is a common method for obfuscating strings.

XOR एन्कोडिंग का उपयोग स्ट्रिंग्स को अस्पष्ट करने का एक सामान्य तरीका है।


Malware often uses command and control servers for communication.

मैलवेयर अक्सर संचार के लिए कमांड और कंट्रोल सर्वर का उपयोग करता है।


The study of CPU registers is important for understanding program execution.

प्रोग्राम निष्पादन को समझने के लिए सीपीयू रजिस्टरों का अध्ययन महत्वपूर्ण है।


File system monitoring can help detect malicious activities.

फ़ाइल सिस्टम की निगरानी दुर्भावनापूर्ण गतिविधियों का पता लगाने में मदद कर सकती है।


The use of YARA rules is a powerful method for malware classification.

YARA नियमों का उपयोग मैलवेयर वर्गीकरण के लिए एक शक्तिशाली तरीका है।


Dynamic analysis tools help in observing the behavior of a program during runtime.

गतिशील विश्लेषण उपकरण रनटाइम के दौरान एक प्रोग्राम के व्यवहार का निरीक्षण करने में मदद करते हैं।


Understanding the PE file structure is crucial for malware analysis.

मैलवेयर विश्लेषण के लिए पीई फ़ाइल संरचना को समझना महत्वपूर्ण है।


The process of reverse engineering often involves disassembling the code.

रिवर्स इंजीनियरिंग की प्रक्रिया में अक्सर कोड को डिसअसेंबल करना शामिल होता है।


The output shows the entry from the clean system.

आउटपुट एक साफ सिस्टम से एंट्री दिखाता है।


The following output displays the hooked entry.

निम्नलिखित आउटपुट हुक की गई एंट्री को प्रदर्शित करता है।


You can see that the 0xC3 entry in the IDT is pointing to an address in the UNKNOWN module.

आप देख सकते हैं कि IDT में 0xC3 एंट्री UNKNOWN मॉड्यूल में एक पते की ओर इशारा कर रही है।


In other words, the hooked entry resides outside the range of the ntoskrnl.exe module.

दूसरे शब्दों में, हुक की गई एंट्री ntoskrnl.exe मॉड्यूल की सीमा से बाहर स्थित है।


Detecting Advanced Malware Using Memory Forensics

मेमोरी फोरेंसिक्स का उपयोग करके उन्नत मैलवेयर का पता लगाना


Instead of replacing the pointers in the SSDT, which makes it easy to recognize, an attacker can modify the kernel function.

SSDT में पॉइंटर्स को बदलने के बजाय, जो इसे पहचानना आसान बनाता है, एक हमलावर कर्नेल फ़ंक्शन को संशोधित कर सकता है।


By specifying the -P argument, you can tell the apihooks plugin to only scan for the hooks in the kernel space.

-P तर्क निर्दिष्ट करके, आप apihooks प्लगइन को केवल कर्नेल स्पेस में हुक के लिए स्कैन करने के लिए कह सकते हैं।


The hooked API functions are redirected to the 0xb878dfb2 and 0xb878e6bb addresses within a malicious module whose name is unknown.

हुक किए गए एपीआई फ़ंक्शन को एक दुर्भावनापूर्ण मॉड्यूल के भीतर 0xb878dfb2 और 0xb878e6bb पतों पर पुनर्निर्देशित किया जाता है जिसका नाम अज्ञात है।


Even though the name of the hooking module is unknown, it is still possible to detect the malicious kernel module.

हालांकि हुकिंग मॉड्यूल का नाम अज्ञात है, फिर भी दुर्भावनापूर्ण कर्नेल मॉड्यूल का पता लगाना संभव है।


Running the modules plugin does not detect any module at that address range (because it is hidden).

मॉड्यूल प्लगइन चलाने से उस एड्रेस रेंज में कोई मॉड्यूल नहीं मिलता है (क्योंकि यह छिपा हुआ है)।


In this case, we know the API functions are redirected to addresses starting with 0xb87 within the malicious module.

इस मामले में, हम जानते हैं कि एपीआई फ़ंक्शन दुर्भावनापूर्ण मॉड्यूल के भीतर 0xb87 से शुरू होने वाले पतों पर पुनर्निर्देशित किए जाते हैं।


You can clearly see that the hook addresses 0xb878dfb2 and 0xb878e6bb fall within the address range of TDSSserv.sys.

आप स्पष्ट रूप से देख सकते हैं कि हुक पते 0xb878dfb2 और 0xb878e6bb TDSSserv.sys के एड्रेस रेंज के भीतर आते हैं।


At this point, we have successfully identified the malicious driver.

इस बिंदु पर, हमने सफलतापूर्वक दुर्भावनापूर्ण ड्राइवर की पहचान कर ली है।


Instead of hooking the kernel API functions, a rootkit can modify the entries in the major function table.

कर्नेल एपीआई फ़ंक्शंस को हुक करने के बजाय, एक रूटकिट प्रमुख फ़ंक्शन टेबल में प्रविष्टियों को संशोधित कर सकता है।


For example, a rootkit can inspect the data buffer that is written to a disk or network by overwriting the address corresponding to IRP_MJ_WRITE.

उदाहरण के लिए, एक रूटकिट IRP_MJ_WRITE के अनुरूप पते को ओवरराइट करके डिस्क या नेटवर्क पर लिखे गए डेटा बफर का निरीक्षण कर सकता है।


To detect IRP hooks, you can focus on IRP handler functions that point to another driver.

IRP हुक का पता लगाने के लिए, आप IRP हैंडलर फ़ंक्शंस पर ध्यान केंद्रित कर सकते हैं जो दूसरे ड्राइवर की ओर इशारा करते हैं।


If you are analyzing the rootkit in a lab setup, then you can list the IRP functions of all the drivers from a clean memory image.

यदि आप एक लैब सेटअप में रूटकिट का विश्लेषण कर रहे हैं, तो आप एक साफ मेमोरी इमेज से सभी ड्राइवरों के IRP फ़ंक्शंस को सूचीबद्ध कर सकते हैं।


The following output from the modscan displays the malicious driver (with a suspicious name) associated with ZeroAccess.

modscan से निम्नलिखित आउटपुट ZeroAccess से जुड़े दुर्भावनापूर्ण ड्राइवर (एक संदिग्ध नाम के साथ) को प्रदर्शित करता है।


In the following example, the Gapz Bootkit hooks the IRP_MJ_DEVICE_CONTROL of null.sys.

निम्नलिखित उदाहरण में, Gapz Bootkit null.sys के IRP_MJ_DEVICE_CONTROL को हुक करता है।


After disassembling the address 0x880ee040 (using the volshell plugin), you can see the jump to an address of 0x8518cad9, which is outside the range of null.sys.

एड्रेस 0x880ee040 को अलग करने के बाद (volshell प्लगइन का उपयोग करके), आप 0x8518cad9 के एड्रेस पर जंप देख सकते हैं, जो null.sys की सीमा से बाहर है।