RAT mı daha iyi yoksa backdoor mu daha iyi
RAT mı Yoksa Backdoormu?
- Konuyu başlatan 34semih54545
- Başlangıç tarihi
Aynı şey RAT ile yaptığın trojan kalıcı olursa ona backdoor denir.
eğer ratı migrate edebilirsen backdoor oluyor*
Backdoor tabiri genellikle sistemlerdeki veyahut uygulamalardaki izinsiz erişimi tanımlamak için kullanılır, RAT ise başlı başına bir program olup çeşitli açıklar, kullanıcının manipüle edilmesi vahıstasıyla sisteme bulaşan kötücül programlardır.
İkisinin kesin tanımları olmasada ikibinli yılların başlarında insanlar backdoor termini geliştirici hatası veyahut kötü geliştirici olarak algılıyordu.
İkisinin kesin tanımları olmasada ikibinli yılların başlarında insanlar backdoor termini geliştirici hatası veyahut kötü geliştirici olarak algılıyordu.
Merhaba,
RAT ve Backdoor terimleri birbirinden farklı kullanım amaçları var. Aslında kullanım amacına göre değişir. Hangisi daha iyidir gibi bir şey dile getiremeyiz.
RAT
Geniş bir kullanım özelliği sunar, GUI tabanlı panelleri vardır, sistemin kontrolünü almamıza yardımcı olur ve aktif bir bağlantı olması gerekir. Server-Client modeli çalışır. RAT tespitir edilebilir.
Backdoor
Daha basit ve erişimi koruma, yaratmaya odaklı, fark edilmemesi için sistemde çalışır, veri çekmek, kod çalıştırmak için kullanılır. Daha az tespit edilir.
Amaca göre değiştiğini dile getirmiştim. Eğer sistemi kontrol etmek istiyorsanız RAT, erişim elde etmek, oturum almak istiyorsanız backdoor tercih etmelisiniz.
Peki RAT nasıl Backdoor Edilir?
Persistence sağlamak gerekir. Yani windows registry, scheduled taks kullanılmalı.
Şifreleme olması ve paketleme yapılması gerekir. UPX gibi araçlar örnek verilebilir.
Reverse shell mantığında çalışması sağlanırsa backdoor gibi davranmasını sağlayabiliriz.
Evasion gerçekleşmemesi için RAT'ın iz bırakmaması için dikkat etmeliyiz.
RAT ve Backdoor terimleri birbirinden farklı kullanım amaçları var. Aslında kullanım amacına göre değişir. Hangisi daha iyidir gibi bir şey dile getiremeyiz.
RAT
Geniş bir kullanım özelliği sunar, GUI tabanlı panelleri vardır, sistemin kontrolünü almamıza yardımcı olur ve aktif bir bağlantı olması gerekir. Server-Client modeli çalışır. RAT tespitir edilebilir.
Backdoor
Daha basit ve erişimi koruma, yaratmaya odaklı, fark edilmemesi için sistemde çalışır, veri çekmek, kod çalıştırmak için kullanılır. Daha az tespit edilir.
Amaca göre değiştiğini dile getirmiştim. Eğer sistemi kontrol etmek istiyorsanız RAT, erişim elde etmek, oturum almak istiyorsanız backdoor tercih etmelisiniz.
Peki RAT nasıl Backdoor Edilir?
Persistence sağlamak gerekir. Yani windows registry, scheduled taks kullanılmalı.
Şifreleme olması ve paketleme yapılması gerekir. UPX gibi araçlar örnek verilebilir.
Reverse shell mantığında çalışması sağlanırsa backdoor gibi davranmasını sağlayabiliriz.
Evasion gerçekleşmemesi için RAT'ın iz bırakmaması için dikkat etmeliyiz.
Backdoor RAT ile üretilen trojan kalıcı ise bu şekilde adlandırılır onun haricinde backdoor tespit edilemeyen bir şey değildir Runtime ve Scantime özelliklerine göre değişiklik gösterir.
Evet, haklısınız. RAT veya Backdoor sistemde kalıcı olur ancak oturum kapatıldığında erişim gidebiliyor. Bunun için zaten yöntemler var. Startup'a dosya kaydetme, scheduled taks ile aralıklarla çalışmasını sağlama, registry üzerinde anahtar oluşturma.
Crypter, Obfuscation gibi yöntemler ile atlatılabilir. Runtime'a da yakalanmak olası. Bunun için de davranışları kısıtlamak, ağ trafiğini zorlamamak gerekir. Evet, başka bir uygulamanın sertifikası kopyalanabilir, kod enjekte ederek kimliğini gizleyebiliriz ancak sysmon, wireshark gibi yerlerde iyi bir analizle bunlar da bulunabilir. Geçtiğimiz günlerde Lockbit 4.0 duyurdu ve duyurulduktan 2 gün sonra bizzat kendim IoC çıkardım.
Bir sürü tespit etme yöntemi var. Edilememe yöntemi de var. Signature-based, behavior-based, FUD gibi gibi.
YARA kullanılması, kodların incelenmesi, Hashlerin çıkarılması gibi işlemlerle analiz edilebilir.
Behavior-based'de de sysmon ile davranış izlenebilir. Biliyorsunuz ki buna özel config yazılır. Ufak bir örnek vermek gerekirse;
Kod:
<RuleGroup name="Suspicious Processes" groupRelation="or">
<ProcessCreate onmatch="include">
<Image condition="contains">cmd.exe</Image>
<ParentImage condition="contains">powershell.exe</ParentImage>
</ProcessCreate>
</RuleGroup>şüpheli işlemleri kaydeder ve bunları analiz edebiliriz. Olay günlüğünde etkinlikleri arayabiliriz.
wevtutil qe...
Honeypot ile analize sokabiliriz. Cowrie, Dionaea gibi gibi araçlar... Birden fazla honeypot ile daha çok veri toplayabilir ve davranışını anlayabiliriz.
Wireshark ile ağ trafik analizi edildiğinde C2 trafiğini görebiliriz. ŞÜpheli ip bulunur ve filtreye sokulur. Portlar izlenir. DNS analizi yapılır HTTP/HTTPS trafiği istekleri, header'leri incelenir.
FUD'lar için sandbox kurulumu yapabiliriz.
Cuckoo güzel bir tercihtir ve ben bunu çok severim. Dinamik, Statik analize girer. PracMon ile uygulama çalışırken yaptığı işlemler izlenir.PEiD ve Exeinfo ile dosyanın paketlenmesini kontrol ederiz. Ghidra, IDA gibi araçlarla da kod davranışını inceleriz.
Bunlar yapılamiyor ise bile Memory Forensics, Reverse Engineering, CTI gibi karşılaştırılır.
