mandiant/capa-rules

hijack KernelCallBack table

Open

#528 aperta il 1 feb 2022

Vedi su GitHub
 (2 commenti) (0 reazioni) (0 assegnatari) (234 fork)github user discovery
good first issuerule idea

Metriche repository

Star
 (721 star)
Metriche merge PR
 (Metriche PR in attesa)

Descrizione

reference/example: https://github.com/ORCA666/KCTHIJACK or https://gitlab.com/ORCA000/kcthijack

Guida contributor

Direzione di ricerca
Analizza le implementazioni di riferimento per identificare i modelli comuni utilizzati nel dirottamento della tabella di callback del kernel (ad es. modifica della tabella dei descrittori dei servizi di sistema, hooking delle funzioni di callback). Quindi scrivi una regola capa che rilevi questi modelli tramite analisi statica del binario.
Tech stack
Nessuno
Dominio
security
Tipo issue
Funzionalità
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
3
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
Mezza giornata
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Richiede indagine
Prerequisiti
Windows KernelcapaC
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
35