Çekirdek modüllerinden biri olan ntoskrnl modülü her zaman temel adresi "(base address) pMods->Module\[0\].ImageBase" olan ilk giriştir. Diğer modüller için listeyi dolaşıp her bir girişin FullPathName‘i, hedef modülün taban adresini alması ile karşılaştırabiliriz.
Zararlı yazılımları yazan kişiler veya grupların tespitlerden kaçabilmek için geliştirdiği diğer tekniklerden biride Atombombing tekniğidir. Yanlış araştırmadıysam eğer ilk olarak Ensilo araştırma ekibi tarafından fark edilmiş.
IAT hooking ve inline hooking genel olarak user space rootkits methodları olarak bilinirler. Zararlı yazımlar IAT hooking tekniğini import address tablolarında değişiklikler yapmak için kullanırlar.
DLL injection yöntemi malware yazanlar tarafından günümüzde en çok tercih edilen yöntemlerin başında geliyor. Zararlı yazılımlar bu yöntem ile zararsız bir işlemin (process) hafızasına yerleşir ve uzaktaki bir işlemin çağrılmasında bir köprü vazifesi görür.
After a long time, I wrote a short article. I created new virtual lab environment with win7x86. Then I tried to run a script that ended with .ps1 on PowerShell but there was a some errors. The main reason for the mistake is as follows:
PE Header, IMAGE_NT_HEADERS olarak adlandırılan genel yapının bir terimidir. Bu yapı yükleyici (loader) tarafından kullanılan temel bilgileri içeriyor. IMAGE_NT_HEADERS üç üyeye sahiptir ve windows.inc içerisinde tanımlanmıştır.
Tüm Portable Executable dosyalarında, her bir dosyanın ilk 64 baytını kapsayan bir DOS Header (üst bilgi) ile başlıyor. Programların DOS’tan çalıştırılması durumunda DOS, bunu bir yürütülebilir bir dosya olarak tanımlayabilir ve header’dan hemen sonra depolanan DOS stub’ı çalıştırabilir.
APortable Executable (PE) Windows’un çalıştırılabilir dosya formatıdır. 1993 yılında Windows tarafından tasarlanan bu format, TIS (tool interface standard) Komitesi (Microsoft, Intel, Borland, Watcom, IBM ve diğerleri) tarafından standartlandırılmıştır.
