mandiant/capa-rules

hijack KernelCallBack table

Open

#528 geöffnet am 1. Feb. 2022

Auf GitHub ansehen
 (2 Kommentare) (0 Reaktionen) (0 zugewiesene Personen) (234 Forks)github user discovery
good first issuerule idea

Repository-Metriken

Stars
 (721 Stars)
PR-Merge-Metriken
 (PR-Metriken ausstehend)

Beschreibung

reference/example: https://github.com/ORCA666/KCTHIJACK or https://gitlab.com/ORCA000/kcthijack

Contributor Guide

Research-Richtung
Analysieren Sie die Referenzimplementierungen, um gängige Muster zu identifizieren, die beim Hijacking der Kernel Callback Tabelle verwendet werden (z. B. Ändern der System Service Descriptor Table, Hooking von Callback Funktionen). Schreiben Sie dann eine capa Regel, die diese Muster durch statische Analyse der Binärdatei erkennt.
Tech Stack
Keine
Domain
security
Issue Type
Funktion
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
3
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
Halber Tag
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Aktiv
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Recherche nötig
Voraussetzungen
Windows KernelcapaC
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
35