Sometimes, you might not know what profile to supply to Volatility.

சில நேரங்களில், வோலட்டிலிட்டிக்கு எந்த சுயவிவரத்தை வழங்க வேண்டும் என்று உங்களுக்குத் தெரியாமல் போகலாம்.


In that case, you can use the imageinfo plugin, which will determine the correct profile.

அந்த வழக்கில், நீங்கள் imageinfo செருகுநிரலைப் பயன்படுத்தலாம், இது சரியான சுயவிவரத்தை தீர்மானிக்கும்.


Most of the Volatility plugins, such as pslist, rely on extracting the information from the Windows operating system structures.

pslist போன்ற பெரும்பாலான வோலட்டிலிட்டி செருகுநிரல்கள், விண்டோஸ் இயக்க முறைமை கட்டமைப்புகளிலிருந்து தகவல்களைப் பிரித்தெடுப்பதை நம்பியுள்ளன.


Using DKOM, it is possible to hide a process or a driver.

DKOM ஐப் பயன்படுத்தி, ஒரு செயல்முறையையோ அல்லது இயக்கியையோ மறைக்க முடியும்.


To hide a process, an attacker finds the _EPROCESS structure of the malicious process he/she wants to hide and modifies the ActiveProcessLinks field.

ஒரு செயல்முறையை மறைக்க, தாக்குபவர் மறைக்க விரும்பும் தீங்கிழைக்கும் செயல்முறையின் _EPROCESS கட்டமைப்பைக் கண்டுபிடித்து, ActiveProcessLinks புலத்தை மாற்றியமைக்கிறார்.


In particular, the Flink of the previous _EPROCESS block is made to point to the Flink of the following _EPROCESS block, and the Blink of the following _EPROCESS block is set to point to the previous _EPROCESS block's Flink.

குறிப்பாக, முந்தைய _EPROCESS தொகுதியின் Flink, பின்வரும் _EPROCESS தொகுதியின் Flink ஐ நோக்கிச் செல்லும்படி செய்யப்படுகிறது, மேலும் பின்வரும் _EPROCESS தொகுதியின் Blink, முந்தைய _EPROCESS தொகுதியின் Flink ஐ நோக்கிச் செல்லும்படி அமைக்கப்படுகிறது.


As a result of this, the _EPROCESS block associated with the malware process is unlinked from the doubly linked list.

இதன் விளைவாக, தீம்பொருள் செயல்முறையுடன் தொடர்புடைய _EPROCESS தொகுதி இரட்டை இணைக்கப்பட்ட பட்டியலிலிருந்து துண்டிக்கப்படுகிறது.


By unlinking a process, an attacker can hide the malicious process from the live forensic tools that rely on walking the doubly linked list to enumerate the active processes.

ஒரு செயல்முறையைத் துண்டிப்பதன் மூலம், செயலில் உள்ள செயல்முறைகளை எண்ணுவதற்கு இரட்டை இணைக்கப்பட்ட பட்டியலைச் சார்ந்திருக்கும் நேரடி தடயவியல் கருவிகளிடமிருந்து தாக்குபவர் தீங்கிழைக்கும் செயல்முறையை மறைக்க முடியும்.


As you might have guessed, this technique also hides the malicious process from the pslist plugin (which also relies on walking the doubly linked list).

நீங்கள் யூகித்திருக்கலாம், இந்த நுட்பம் pslist செருகுநிரலிலிருந்தும் தீங்கிழைக்கும் செயல்முறையை மறைக்கிறது (இது இரட்டை இணைக்கப்பட்ட பட்டியலைச் சார்ந்துள்ளது).


The following is the pslist and psscan output from a system infected with the prolaco rootkit, which performs DKOM to hide a process.

ப்ரோலாகோ ரூட்கிட் மூலம் பாதிக்கப்பட்ட ஒரு கணினியிலிருந்து pslist மற்றும் psscan வெளியீடு கீழே கொடுக்கப்பட்டுள்ளது, இது ஒரு செயல்முறையை மறைக்க DKOM ஐ செயல்படுத்துகிறது.


For the sake of brevity, some of the entries are truncated from the following output.

சுருக்கமாகச் சொல்வதற்காக, சில உள்ளீடுகள் பின்வரும் வெளியீட்டில் இருந்து வெட்டப்பட்டுள்ளன.


When you compare the output from pslist and psscan, you will notice an additional process called nvid.exe (pid 1700) in the psscan output that's not present in the pslist.

pslist மற்றும் psscan ஆகியவற்றின் வெளியீட்டை ஒப்பிடும்போது, psscan வெளியீட்டில் nvid.exe (pid 1700) எனப்படும் ஒரு கூடுதல் செயல்முறை இருப்பதைக் காணலாம், அது pslist இல் இல்லை.


As mentioned earlier, the reason psscan detects the hidden process is that it uses a different technique to list the processes, called pool tag scanning.

முன்னதாகக் குறிப்பிட்டபடி, psscan மறைக்கப்பட்ட செயல்முறையைக் கண்டறிவதற்கான காரணம், இது செயல்முறைகளை பட்டியலிட ஒரு வித்தியாசமான நுட்பத்தைப் பயன்படுத்துகிறது, இது பூல் டேக் ஸ்கேனிங் என்று அழைக்கப்படுகிறது.


If you recall, I previously referred to system resources such as processes, files, threads, and so on, as objects (or executive objects).

உங்களுக்கு நினைவிருந்தால், நான் முன்பு செயல்முறைகள், கோப்புகள், திரெட்கள் போன்ற கணினி வளங்களை பொருள்கள் (அல்லது நிர்வாக பொருள்கள்) என்று குறிப்பிட்டேன்.


The executive objects are managed by a component of a kernel called the object manager.

நிர்வாக பொருள்கள் ஆப்ஜெக்ட் மேனேஜர் எனப்படும் கர்னலின் ஒரு பகுதியால் நிர்வகிக்கப்படுகின்றன.


Every executive object has a structure associated with it (such as _EPROCESS for process object).

ஒவ்வொரு நிர்வாக பொருளுக்கும் அதனுடன் தொடர்புடைய ஒரு கட்டமைப்பு உள்ளது (செயல்முறை பொருளுக்கு _EPROCESS போன்றவை).


The executive object structure is preceded by a _OBJECT_HEADER structure, which contains information about an object's type and some reference counters.

நிர்வாக பொருள் கட்டமைப்பிற்கு முன்பு _OBJECT_HEADER கட்டமைப்பு உள்ளது, இதில் ஒரு பொருளின் வகை மற்றும் சில குறிப்பு கவுண்டர்கள் பற்றிய தகவல்கள் உள்ளன.


To store an object, memory is needed, and this memory is allocated by the Windows memory manager from kernel pools.

ஒரு பொருளை சேமிக்க, நினைவகம் தேவை, மேலும் இந்த நினைவகம் விண்டோஸ் நினைவக மேலாளரால் கர்னல் பூல்களிலிருந்து ஒதுக்கீடு செய்யப்படுகிறது.


A kernel pool is a range of memory that can be divided into smaller blocks for storing data such as objects.

கர்னல் பூல் என்பது நினைவகத்தின் ஒரு வரம்பாகும், இது பொருள்கள் போன்ற தரவை சேமிப்பதற்காக சிறிய தொகுதிகளாக பிரிக்கப்படலாம்.


The pool is divided into a paged pool (whose content may be swapped to disk) and a non-paged pool (whose content permanently resides in memory).

பூல் ஒரு பக்க பூலாகவும் (அதன் உள்ளடக்கம் வட்டுக்கு மாற்றப்படலாம்) மற்றும் பக்கமிடப்படாத பூலாகவும் (அதன் உள்ளடக்கம் நிரந்தரமாக நினைவகத்தில் இருக்கும்) பிரிக்கப்பட்டுள்ளது.


When the Windows kernel receives the request to create an object (possibly due to API calls made by processes such as CreateProcess or CreateFile), memory is allocated for the object either from the paged pool or non-paged pool (depending on the object type).

விண்டோஸ் கர்னல் ஒரு பொருளை உருவாக்க கோரிக்கையைப் பெறும்போது (ஒருவேளை CreateProcess அல்லது CreateFile போன்ற செயல்முறைகளால் செய்யப்பட்ட API அழைப்புகளால்), பொருள் பக்க பூல் அல்லது பக்கமிடப்படாத பூலில் இருந்து நினைவகம் ஒதுக்கப்படும் (பொருளின் வகையைப் பொறுத்து).


This allocation is tagged by prepending a _POOL_HEADER structure to the object, so that in memory, each object will have a predictable structure.

இந்த ஒதுக்கீடு ஒரு _POOL_HEADER கட்டமைப்பை பொருளுக்கு முன்னொட்டாகச் சேர்ப்பதன் மூலம் குறிக்கப்படுகிறது, இதனால் நினைவகத்தில், ஒவ்வொரு பொருளும் ஒரு கணிக்கக்கூடிய கட்டமைப்பைக் கொண்டிருக்கும்.


The _POOL_HEADER structure includes a field named PoolTag that contains a four-byte tag (referred to as a pool tag).

_POOL_HEADER கட்டமைப்பில் PoolTag எனப்படும் ஒரு புலம் உள்ளது, இதில் நான்கு-பைட் குறிச்சொல் உள்ளது (பூல் குறிச்சொல் என குறிப்பிடப்படுகிறது).


To overcome this problem, we can use another plugin named ldrmodules.

இந்த சிக்கலைத் தீர்க்க, ldrmodules எனப்படும் மற்றொரு செருகுநிரலைப் பயன்படுத்தலாம்.


The ldrmodules plugin compares module information from the three PEB lists.

ldrmodules செருகுநிரல் மூன்று PEB பட்டியல்களிலிருந்து தொகுதி தகவல்களை ஒப்பிடுகிறது.


The memory manager uses VADs to keep track of virtual addresses.

நினைவக மேலாளர் மெய்நிகர் முகவரிகளைக் கண்காணிக்க VADகளைப் பயன்படுத்துகிறார்.


If the process memory region contains a memory-mapped file, then the VAD node stores information.

செயல்முறை நினைவகப் பகுதியில் நினைவக-மேப் செய்யப்பட்ட கோப்பு இருந்தால், VAD முனை தகவலைச் சேமிக்கிறது.


Similarly, other VAD nodes will describe process memory ranges, including the ones that contain mapped executable images such as DLLs.

அதேபோல், மற்ற VAD முனைகள் செயல்முறை நினைவக வரம்புகளை விவரிக்கின்றன, இதில் DLLகள் போன்ற மேப் செய்யப்பட்ட செயல்படுத்தக்கூடிய படங்களைக் கொண்டவை அடங்கும்.


To get the module's information, the ldrmodules plugin enumerates all the VAD nodes.

தொகுதியின் தகவலைப் பெற, ldrmodules செருகுநிரல் அனைத்து VAD முனைகளையும் எண்ணிப் பார்க்கிறது.


You can see that the ldrmodules plugin was able to identify a malicious DLL.

ldrmodules செருகுநிரல் ஒரு தீங்கிழைக்கும் DLL ஐ அடையாளம் காண முடிந்தது என்பதை நீங்கள் காணலாம்.


To dump a process executable from memory to disk, you can use the procdump plugin.

நினைவகத்திலிருந்து இயக்கக்கூடிய செயல்முறையை வட்டுக்கு வெளியேற்ற, நீங்கள் procdump செருகுநிரலைப் பயன்படுத்தலாம்.


To dump the process executable, you need to know either its process ID or its physical offset.

செயல்முறை இயக்கக்கூடியதை வெளியேற்ற, அதன் செயல்முறை ஐடி அல்லது அதன் இயற்பியல் ஆஃப்செட் உங்களுக்குத் தெரிந்திருக்க வேண்டும்.


With the -D (--dump-dir) option, you specify the name of the directory in which to dump executable files.

-D (--dump-dir) விருப்பத்துடன், இயக்கக்கூடிய கோப்புகளை வெளியேற்ற வேண்டிய கோப்பகத்தின் பெயரை நீங்கள் குறிப்பிடுகிறீர்கள்.


To dump a process with the physical offset, you can use the -o (--offset) option.

இயற்பியல் ஆஃப்செட்டுடன் ஒரு செயல்முறையை வெளியேற்ற, நீங்கள் -o (--offset) விருப்பத்தைப் பயன்படுத்தலாம்.


Similar, to the process executable, you can dump a malicious DLL to disk using the dlldump plugin.

செயல்முறை இயக்கக்கூடியதைப் போலவே, dlldump செருகுநிரலைப் பயன்படுத்தி ஒரு தீங்கிழைக்கும் DLL ஐ வட்டுக்கு வெளியேற்றலாம்.


Most malicious programs perform some network activity.

பெரும்பாலான தீங்கிழைக்கும் நிரல்கள் சில நெட்வொர்க் செயல்பாடுகளைச் செய்கின்றன.


Inspecting the networking activity will help you determine the network operations of the malware.

நெட்வொர்க்கிங் செயல்பாட்டை ஆய்வு செய்வது, தீம்பொருளின் நெட்வொர்க் செயல்பாடுகளைத் தீர்மானிக்க உதவும்.


To determine the active network connections on pre-vista systems, you can use the connections plugin.

விஸ்டாவுக்கு முந்தைய கணினிகளில் செயலில் உள்ள நெட்வொர்க் இணைப்புகளைத் தீர்மானிக்க, நீங்கள் இணைப்புகள் செருகுநிரலைப் பயன்படுத்தலாம்.


Sometimes, you may want to get the information about the open sockets and their associated processes.

சில நேரங்களில், திறந்த சாக்கெட்டுகள் மற்றும் அவற்றின் தொடர்புடைய செயல்முறைகள் பற்றிய தகவல்களைப் பெற விரும்பலாம்.


From a forensics perspective, the registry can provide valuable information about the context of the malware.

ஒரு தடயவியல் கண்ணோட்டத்தில், தீம்பொருளின் சூழலைப் பற்றிப் பதிவு மதிப்புமிக்க தகவல்களை வழங்க முடியும்.


To print the registry key, subkeys, and its values, you can use the printkey plugin.

பதிவேட்டில் உள்ள முக்கியம், துணை விசைகள் மற்றும் அதன் மதிப்புகளை அச்சிட, நீங்கள் printkey செருகுநிரலைப் பயன்படுத்தலாம்.


The Userassist registry key contains a list of programs that have been executed by the user.

Userassist பதிவேட்டில் பயனர் இயக்கிய நிரல்களின் பட்டியல் உள்ளது.


In this section, we will focus on how to investigate services from the memory image.

இந்த பகுதியில், நினைவகப் படத்திலிருந்து சேவைகளை எவ்வாறு விசாரிப்பது என்பதில் கவனம் செலுத்துவோம்.


The second node, 0x8723fb50, describes a memory range.

இரண்டாவது முனை, 0x8723fb50, நினைவக வரம்பை விவரிக்கிறது.


Similarly, the third node at address 0x8723fb78 displays the information.

அதேபோல், 0x8723fb78 முகவரியில் உள்ள மூன்றாவது முனை தகவலைக் காட்டுகிறது.


Detecting Advanced Malware Using Memory Forensics.

நினைவக தடயவியல் மூலம் மேம்பட்ட தீம்பொருளைக் கண்டறிதல்.


An application is generally not allowed to allocate memory with PAGE_EXECUTE_WRITECOPY protection.

ஒரு பயன்பாடு பொதுவாக PAGE_EXECUTE_WRITECOPY பாதுகாப்பைக் கொண்டு நினைவகத்தை ஒதுக்க அனுமதிக்கப்படுவதில்லை.


To detect code injection, we can look for memory ranges.

குறியீடு செலுத்துதலைக் கண்டறிய, நினைவக வரம்புகளைப் பார்க்கலாம்.


This malware injects code into a legitimate explorer.exe process.

இந்த தீம்பொருள் ஒரு முறையான explorer.exe செயல்முறைக்குள் குறியீட்டை செலுத்துகிறது.


Just from the memory protection, it is hard to conclude if the preceding memory regions contain any malicious code.

நினைவக பாதுகாப்பிலிருந்து மட்டுமே, முந்தைய நினைவகப் பகுதிகளில் தீங்கிழைக்கும் குறியீடு உள்ளதா என்பதை முடிவு செய்வது கடினம்.


To determine if there is any malicious code, we can dump the contents of these memory regions.

தீங்கிழைக்கும் குறியீடு ஏதேனும் உள்ளதா என்பதைத் தீர்மானிக்க, இந்த நினைவகப் பகுதிகளின் உள்ளடக்கங்களை நாம் வெளியேற்றலாம்.


Dumping the contents of the memory address 0x03120000 shows the presence of the PE file.

0x03120000 நினைவக முகவரியின் உள்ளடக்கங்களை வெளியேற்றுவது PE கோப்பின் இருப்பைக் காட்டுகிறது.


Sometimes, displaying the contents of a memory region may not be enough to identify malicious code.

சில நேரங்களில், நினைவகப் பகுதியின் உள்ளடக்கங்களைக் காண்பிப்பது தீங்கிழைக்கும் குறியீட்டை அடையாளம் காண போதுமானதாக இருக்காது.


If you suspect that the memory region contains a shellcode, you can use dis command.

நினைவகப் பகுதியில் ஷெல்கோட் உள்ளது என்று சந்தேகித்தால், நீங்கள் dis கட்டளையைப் பயன்படுத்தலாம்.


After you have identified the injected code, you may want to dump it to disk.

செலுத்தப்பட்ட குறியீட்டை நீங்கள் அடையாளம் கண்டறிந்த பிறகு, அதை வட்டுக்கு வெளியேற்ற விரும்பலாம்.


Some malware programs use stealth techniques to bypass detection.

சில தீம்பொருள் நிரல்கள் கண்டறிதலைத் தவிர்க்க ரகசிய நுட்பங்களைப் பயன்படுத்துகின்றன.


There is another Volatility plugin named malfind, which automates the process.

malfind எனப்படும் மற்றொரு வோலட்டிலிட்டி செருகுநிரல் உள்ளது, இது செயல்முறையை தானியங்குபடுத்துகிறது.


Hollow Process Injection (or Process Hollowing) is also a code injection technique.

வெற்று செயல்முறை செலுத்துதல் (அல்லது செயல்முறை துளையிடுதல்) ஒரு குறியீடு செலுத்தும் நுட்பமாகும்.


Process A starts the legitimate process B, in the suspended mode.

செயல்முறை A, முறையான செயல்முறை B ஐ இடைநிறுத்தப்பட்ட முறையில் தொடங்குகிறது.


Process A gets the malicious executable that will be injected into the remote process.

செயல்முறை A, தொலைதூர செயல்முறைக்குள் செலுத்தப்படும் தீங்கிழைக்கும் செயல்படுத்தக்கூடிய கோப்பைப் பெறுகிறது.


Malware can determine the base address by reading the PEB.

தீம்பொருள் PEB ஐப் படிப்பதன் மூலம் அடிப்படை முகவரியை தீர்மானிக்க முடியும்.


Stuxnet then hollows out the legitimate process executable.

Stuxnet பின்னர் முறையான செயல்முறை செயல்படுத்தக்கூடியதை வெளியேற்றுகிறது.


To detect hollow process injection, you can look for the discrepancies created between PEB and VAD.

வெற்று செயல்முறை செலுத்துதலைக் கண்டறிய, PEB மற்றும் VAD இடையே உருவாக்கப்பட்ட முரண்பாடுகளை நீங்கள் பார்க்கலாம்.


During initialization, the driver updates the Major function table with dispatch routine addresses.

தொடக்கத்தின் போது, இயக்கி முதன்மை செயல்பாடு அட்டவணையை அனுப்புதல் வழக்கமான முகவரிகளுடன் புதுப்பிக்கிறது.


Examining the major function table gives an idea of supported operations.

முக்கிய செயல்பாட்டு அட்டவணையை ஆராய்வது, ஆதரிக்கப்படும் செயல்பாடுகள் பற்றிய ஒரு யோசனையை அளிக்கிறது.


The major function table is an array of 28 function pointers.

முக்கிய செயல்பாட்டு அட்டவணை 28 செயல்பாட்டு சுட்டிகளின் வரிசையாகும்.


Index values 0 to 27 represent a particular operation.

குறியீட்டு மதிப்புகள் 0 முதல் 27 வரை ஒரு குறிப்பிட்ட செயல்பாட்டைக் குறிக்கின்றன.


For example, index 0 corresponds to IRP_MJ_CREATE.

உதாரணமாக, குறியீடு 0 IRP_MJ_CREATE உடன் தொடர்புடையது.


If an application wants to open a file, the request goes to the I/O manager.

ஒரு பயன்பாடு ஒரு கோப்பைத் திறக்க விரும்பினால், கோரிக்கை I/O நிர்வாகிக்குச் செல்லும்.


The I/O manager uses IRP_MJ_CREATE to find the dispatch routine.

I/O நிர்வாகி அனுப்புதல் வழக்கத்தைக் கண்டறிய IRP_MJ_CREATE ஐப் பயன்படுத்துகிறது.


Similarly, IRP_MJ_READ is used for the read operation.

அதேபோல், IRP_MJ_READ ரீட் செயல்பாட்டிற்குப் பயன்படுத்தப்படுகிறது.


The !drvobj command displays the dispatch routine array.

!drvobj கட்டளை அனுப்புதல் வழக்கமான வரிசையை காட்டுகிறது.


null.sys only supports specific operations like open, read, write.

null.sys திறத்தல், படித்தல், எழுதுதல் போன்ற குறிப்பிட்ட செயல்பாடுகளை மட்டுமே ஆதரிக்கிறது.


Supported operations are dispatched to the appropriate routine.

ஆதரிக்கப்படும் செயல்பாடுகள் பொருத்தமான வழக்கத்திற்கு அனுப்பப்படுகின்றன.


When a user application writes, the request goes to MajorFunction[IRP_MJ_WRITE].

பயனர் பயன்பாடு எழுதும் போது, கோரிக்கை MajorFunction[IRP_MJ_WRITE] க்கு செல்கிறது.


In null.sys, all operations go to the same address.

null.sys இல், அனைத்து செயல்பாடுகளும் ஒரே முகவரிக்குச் செல்கின்றன.


Normally, different operations have different routine addresses.

சாதாரணமாக, வெவ்வேறு செயல்பாடுகள் வெவ்வேறு வழக்கமான முகவரிகளைக் கொண்டுள்ளன.


The I/O manager creates an IRP to describe the I/O request.

I/O கோரிக்கையை விவரிக்க I/O நிர்வாகி ஒரு IRP ஐ உருவாக்குகிறது.


The IRP contains a buffer for data transfer.

IRP தரவு பரிமாற்றத்திற்கான ஒரு இடையகத்தைக் கொண்டுள்ளது.


The driver receives the IRP and performs a check.

இயக்கி IRP ஐப் பெற்று ஒரு சரிபார்ப்பை செய்கிறது.


The driver then initiates the I/O operation.

பின்னர் இயக்கி I/O செயல்பாட்டைத் தொடங்குகிறது.


The driver returns the IRP to the I/O manager upon completion.

செயல்பாடு முடிந்ததும் இயக்கி IRP ஐ I/O நிர்வாகிக்கு திருப்பி அனுப்புகிறது.


The I/O manager returns status and data to the application.

I/O நிர்வாகி நிலை மற்றும் தரவை பயன்பாட்டிற்கு திருப்பி அனுப்புகிறது.


The apihooks plugin detects the hook in the user-mode API HttpSendRequestA.

apihooks சொருகி பயனர்-முறை API HttpSendRequestA இல் உள்ள கொக்கியைக் கண்டறிகிறது.


The hooked API is then redirected to address 0x2c7ec48.

கொக்கி செய்யப்பட்ட API பின்னர் 0x2c7ec48 முகவரிக்கு திருப்பி விடப்படுகிறது.


The hook address falls within the address range of the injected executable.

கொக்கி முகவரி செலுத்தப்பட்ட செயல்படுத்தக்கூடிய கோப்பின் முகவரி வரம்பிற்குள் வருகிறது.


The name of the hooking module is unknown.

கொக்கி செய்யும் தொகுதியின் பெயர் தெரியவில்லை.


A malicious program such as rootkit can load a kernel driver.

ரூட்கிட் போன்ற தீங்கிழைக்கும் நிரல் ஒரு கர்னல் டிரைவரை ஏற்ற முடியும்.


Windows has implemented various security mechanisms.

விண்டோஸ் பல்வேறு பாதுகாப்பு வழிமுறைகளை செயல்படுத்தியுள்ளது.


This makes it difficult for a rootkit to install the kernel drivers.

இது ரூட்கிட் கர்னல் டிரைவர்களை நிறுவுவதை கடினமாக்குகிறது.


Another security mechanism is Kernel Patch Protection (KPP).

மற்றொரு பாதுகாப்பு வழிமுறை கர்னல் பேட்ச் பாதுகாப்பு (KPP) ஆகும்.


ஒரு முறை பூட்கிட்டை நிறுவுவதாகும்.


We will focus on kernel memory forensics.

நாங்கள் கர்னல் நினைவக தடயவியல் மீது கவனம் செலுத்துவோம்.


Listing kernel modules may not always help you identify the malicious kernel driver.

கர்னல் தொகுதிகளை பட்டியலிடுவது எப்போதும் தீங்கிழைக்கும் கர்னல் டிரைவரை அடையாளம் காண உதவாது.


The modules plugin lists the kernel modules in the order in which they were loaded.

தொகுதிகள் சொருகி கர்னல் தொகுதிகளை அவை ஏற்றப்பட்ட வரிசையில் பட்டியலிடுகிறது.


In the following example of a memory image infected with the Laqma rootkit.

Laqma ரூட்கிட் மூலம் பாதிக்கப்பட்ட நினைவக படத்தின் பின்வரும் எடுத்துக்காட்டில்.


Since walking the doubly linked list is susceptible to DKOM attacks.

இரட்டை இணைக்கப்பட்ட பட்டியலைச் சுற்றி வருவது DKOM தாக்குதல்களுக்கு ஆளாகக்கூடியது.


The modscan plugin relies on the pool tag scanning approach.

modscan சொருகி பூல் குறிச்சொல் ஸ்கேனிங் அணுகுமுறையை நம்பியுள்ளது.


In other words, it scans the physical address space looking for the pool tag.

வேறு வார்த்தைகளில் கூறுவதானால், அது பூல் குறிச்சொல்லைத் தேடி இயற்பியல் முகவரி இடத்தை ஸ்கேன் செய்கிறது.


The driverscan plugin gets the information related to kernel modules from a structure named DRIVER_OBJECT.

driverscan சொருகி DRIVER_OBJECT எனப்படும் கட்டமைப்பிலிருந்து கர்னல் தொகுதிகள் தொடர்பான தகவல்களைப் பெறுகிறது.


The device driver typically creates a device or multiple devices.

சாதன இயக்கி பொதுவாக ஒரு சாதனம் அல்லது பல சாதனங்களை உருவாக்குகிறது.


The user mode application can use API calls, such as CreateFile, to open handle the advertised device.

பயனர் முறை பயன்பாடு, CreateFile போன்ற API அழைப்புகளைப் பயன்படுத்தி, விளம்பரப்படுத்தப்பட்ட சாதனத்தை திறக்க முடியும்.


When the driver is loaded into the system, the I/O manager creates a driver object.

இயக்கி கணினியில் ஏற்றப்படும்போது, I/O மேலாளர் ஒரு இயக்கி பொருளை உருவாக்குகிறது.


The program's execution can be interrupted with breakpoints.

நிரலின் செயல்பாட்டை பிரேக் பாயிண்டுகள் மூலம் குறுக்கிடலாம்.


Disassembly is a crucial step in understanding the program's logic.

நிரலின் தர்க்கத்தை புரிந்துகொள்வதில் டிஸ்அசெம்பிளிங் ஒரு முக்கியமான படியாகும்.


Conditional jumps alter the flow of execution based on certain conditions.

நிபந்தனைக்குட்பட்ட ஜம்ப்கள் சில நிபந்தனைகளின் அடிப்படையில் செயல்பாட்டின் ஓட்டத்தை மாற்றுகின்றன.


Breakpoints can be set in debuggers like IDA and x64dbg.

ஐடிஏ மற்றும் x64dbg போன்ற டீபக்கர்களில் பிரேக் பாயிண்டுகளை அமைக்கலாம்.


Malware often employs techniques to evade detection.

தீங்கிழைக்கும் மென்பொருள் பெரும்பாலும் கண்டறிதலைத் தவிர்க்கும் நுட்பங்களைப் பயன்படுத்துகிறது.


Code analysis tools are essential for reverse engineering.

குறியீடு பகுப்பாய்வு கருவிகள் தலைகீழ் பொறியியலுக்கு அவசியமானவை.


DLL injection is a common technique used by attackers.

DLL ஊசி தாக்குபவர்களால் பயன்படுத்தப்படும் ஒரு பொதுவான நுட்பமாகும்.


Understanding CPU registers is fundamental to low-level analysis.

சிபியு பதிவேடுகளைப் புரிந்துகொள்வது குறைந்த-நிலை பகுப்பாய்வுக்கு அடிப்படையானது.


The EFLAGS register contains important flags for program execution.

EFLAGS பதிவேட்டில் நிரல் செயல்பாட்டிற்கான முக்கியமான கொடிகள் உள்ளன.


Dynamic analysis involves observing a program's behavior during runtime.

டைனமிக் பகுப்பாய்வு என்பது ரன் டைமில் ஒரு நிரலின் நடத்தையை கவனிப்பதை உள்ளடக்கியது.


File type determination is a crucial step in malware analysis.

கோப்பு வகையைத் தீர்மானித்தல் தீங்கிழைக்கும் மென்பொருள் பகுப்பாய்வில் ஒரு முக்கியமான படியாகும்.


Obfuscated strings can be decoded using tools like FLOSS.

FLOSS போன்ற கருவிகளைப் பயன்படுத்தி மறைக்கப்பட்ட சரங்களை டிகோட் செய்யலாம்.


Malware often uses custom encoding and encryption methods.

தீங்கிழைக்கும் மென்பொருள் பெரும்பாலும் தனிப்பயன் குறியீட்டு மற்றும் மறைகுறியாக்க முறைகளைப் பயன்படுத்துகிறது.


The process of malware unpacking is essential for analysis.

தீங்கிழைக்கும் மென்பொருளை அன் பேக் செய்யும் செயல்முறை பகுப்பாய்வுக்கு அவசியமானது.


IDA Pro is a powerful tool for static code analysis.

ஐடிஏ ப்ரோ நிலையான குறியீடு பகுப்பாய்வுக்கான ஒரு சக்திவாய்ந்த கருவியாகும்.


Debugging malicious DLLs requires specific techniques.

தீங்கிழைக்கும் DLLகளை டீபக் செய்ய குறிப்பிட்ட நுட்பங்கள் தேவை.


Understanding the PE file structure is vital for malware analysis.

PE கோப்பு கட்டமைப்பை புரிந்துகொள்வது தீங்கிழைக்கும் மென்பொருள் பகுப்பாய்வுக்கு முக்கியமானது.


Remote executable injection is a sophisticated attack vector.

தொலைதூர இயக்கக்கூடிய ஊசி ஒரு அதிநவீன தாக்குதல் திசையாகும்.


Kernel-mode rootkits can be very difficult to detect.

கர்னல்-மோட் ரூட்கிட்களைக் கண்டறிவது மிகவும் கடினமாக இருக்கலாம்.


Advanced malware analysis often involves reverse engineering.

மேம்பட்ட தீங்கிழைக்கும் மென்பொருள் பகுப்பாய்வு பெரும்பாலும் தலைகீழ் பொறியியலை உள்ளடக்கியது.


The output shows the entry from the clean system.

இந்த வெளியீடு சுத்தமான கணினியில் இருந்து உள்ளீட்டைக் காட்டுகிறது.


You can see that the entry in the IDT is pointing to an address in the UNKNOWN module.

IDT-யில் உள்ள உள்ளீடு UNKNOWN தொகுதியில் உள்ள ஒரு முகவரியைக் சுட்டிக்காட்டுவதை நீங்கள் காணலாம்.


In other words, the hooked entry resides outside the range of the ntoskrnl.exe module.

வேறு வார்த்தைகளில் கூறுவதானால், இணைக்கப்பட்ட உள்ளீடு ntoskrnl.exe தொகுதியின் வரம்பிற்கு வெளியே உள்ளது.


Detecting Advanced Malware Using Memory Forensics

நினைவக தடயவியல் பயன்படுத்தி மேம்பட்ட தீம்பொருளைக் கண்டறிதல்


Instead of replacing the pointers in the SSDT, which makes it easy to recognize, an attacker can modify the kernel function.

SSDT-யில் உள்ள சுட்டிகளை மாற்றுவதற்குப் பதிலாக, அதை அடையாளம் காண்பது எளிதாக்குகிறது, ஒரு தாக்குபவர் கர்னல் செயல்பாட்டை மாற்றியமைக்க முடியும்.


As mentioned earlier in this chapter, you can use the apihooks plugin to detect inline hooking in the kernel space.

இந்த அத்தியாயத்தில் முன்பு குறிப்பிட்டபடி, கர்னல் இடத்தில் உள்ள இணைப்புகளைக் கண்டறிய apihooks செருகுநிரலைப் பயன்படுத்தலாம்.


The hooked API functions are redirected to the 0xb878dfb2 and 0xb878e6bb addresses within a malicious module whose name is unknown.

இணைக்கப்பட்ட API செயல்பாடுகள் 0xb878dfb2 மற்றும் 0xb878e6bb முகவரிகளுக்கு ஒரு தீங்கிழைக்கும் தொகுதியில் திருப்பி விடப்படுகின்றன, இதன் பெயர் தெரியவில்லை.


Even though the name of the hooking module is unknown, it is still possible to detect the malicious kernel module.

இணைப்பு தொகுதியின் பெயர் தெரியவில்லை என்றாலும், தீங்கிழைக்கும் கர்னல் தொகுதியைக் கண்டறிவது இன்னும் சாத்தியமாகும்.


In this case, we know the API functions are redirected to addresses starting with 0xb87 within the malicious module.

இந்த விஷயத்தில், API செயல்பாடுகள் தீங்கிழைக்கும் தொகுதியில் 0xb87 உடன் தொடங்கும் முகவரிகளுக்கு திருப்பி விடப்படுகின்றன என்பதை நாங்கள் அறிவோம்.


Running the modules plugin does not detect any module at that address range.

மாடுல்ஸ் செருகுநிரலை இயக்குவது அந்த முகவரி வரம்பில் எந்த தொகுதியையும் கண்டறியாது.


You can clearly see that the hook addresses 0xb878dfb2 and 0xb878e6bb fall within the address range of TDSSserv.sys.

0xb878dfb2 மற்றும் 0xb878e6bb ஆகிய இணைப்பு முகவரிகள் TDSSserv.sys இன் முகவரி வரம்பிற்குள் வருவதை நீங்கள் தெளிவாகக் காணலாம்.


At this point, we have successfully identified the malicious driver.

இந்த கட்டத்தில், நாங்கள் வெற்றிகரமாக தீங்கிழைக்கும் இயக்கியை அடையாளம் கண்டுள்ளோம்.


Instead of hooking the kernel API functions, a rootkit can modify the entries in the major function table.

கர்னல் API செயல்பாடுகளை இணைப்பதற்குப் பதிலாக, ஒரு ரூட்கிட் முக்கிய செயல்பாட்டு அட்டவணையில் உள்ள உள்ளீடுகளை மாற்றியமைக்க முடியும்.


For example, a rootkit can inspect the data buffer that is written to a disk or network by overwriting the address corresponding to IRP_MJ_WRITE.

உதாரணமாக, IRP_MJ_WRITE க்கு ஒத்த முகவரியை மேலெழுதி எழுதுவதன் மூலம், ஒரு ரூட்கிட் ஒரு வட்டு அல்லது நெட்வொர்க்கில் எழுதப்பட்ட தரவு இடையகத்தை ஆய்வு செய்யலாம்.


To detect IRP hooks, you can focus on IRP handler functions that point to another driver.

IRP இணைப்புகளைக் கண்டறிய, நீங்கள் மற்றொரு இயக்கிக்குச் சுட்டிக்காட்டும் IRP ஹேண்ட்லர் செயல்பாடுகளில் கவனம் செலுத்தலாம்.


If you are analyzing the rootkit in a lab setup, then you can list the IRP functions of all the drivers from a clean memory image.

நீங்கள் ஒரு ஆய்வக அமைப்பில் ரூட்கிட்டைப் பகுப்பாய்வு செய்தால், சுத்தமான நினைவகப் படத்திலிருந்து அனைத்து இயக்கிகளின் IRP செயல்பாடுகளையும் பட்டியலிடலாம்.


The following output from the modscan displays the malicious driver (with a suspicious name) associated with ZeroAccess.

modscan இலிருந்து வரும் பின்வரும் வெளியீடு, ZeroAccess உடன் தொடர்புடைய தீங்கிழைக்கும் இயக்கியைக் (சந்தேகத்திற்குரிய பெயருடன்) காட்டுகிறது.


Some rootkits use indirect IRP hooking to avoid suspicion.

சில ரூட்கிட்கள் சந்தேகத்தைத் தவிர்க்க மறைமுக IRP இணைப்பைப் பயன்படுத்துகின்றன.


After disassembling the address 0x880ee040 (using the volshell plugin), you can see the jump to an address of 0x8518cad9.

0x880ee040 முகவரியை (volshell செருகுநிரலைப் பயன்படுத்தி) பிரித்தெடுத்த பிறகு, 0x8518cad9 என்ற முகவரிக்குச் செல்லும் ஜம்ப்-ஐப் பார்க்கலாம்.


For detailed information on the stealth techniques used by the Gapz Bootkit, read the whitepaper.

Gapz Bootkit பயன்படுத்தும் ரகசிய நுட்பங்களைப் பற்றிய விரிவான தகவலுக்கு, வெண்புத்தகத்தைப் படிக்கவும்.