1
0
mirror of https://github.com/nganhkhoa/malware.git synced 2024-06-10 21:32:07 +07:00

Update malware-analysis_ref_and_memo.md

This commit is contained in:
mether049 2020-09-22 13:03:29 +09:00 committed by GitHub
parent 3001e30dc1
commit f259deee9b
No known key found for this signature in database
GPG Key ID: 4AEE18F83AFDEB23

View File

@ -126,19 +126,19 @@ DFIR,マルウェア解析OSINTに特化したUbuntuベースのディスト
- **[hfinger](https://github.com/CERT-Polska/hfinger)**
- httpリクエストから独自の手法でフィンガープリントを生成する
- マルウェアの種類を識別するのに利用できる
- ref:
- [Improving Packet Capture Performance 1 of 3](https://www.activecountermeasures.com/improving-packet-capture-performance-1-of-3/)
- ref:
- [Improving Packet Capture Performance 1 of 3](https://www.activecountermeasures.com/improving-packet-capture-performance-1-of-3/)
- **[JA3](https://github.com/salesforce/ja3)**
- ssl/tlsハンドシェイクにおけるクライアントアプリケーションからのhelloパケットに含まれる情報からJA3と呼ばれるフィンガープリントを生成する
- 以下の情報を利用してフィンガープリントを生成する下記をmd5ハッシュ化て利用される
- `SSLVersion,Cipher,SSLExtension,EllipticCurve,EllipticCurvePointFormat`
- マルウェアの種類を識別するのに利用できる
- Server側のHelloパケットからJA3フィンガープリントを生成することもできる
- JA3Sと呼ばれ以下の情報からフィンガープリントを生成する
- SSLVersion,Cipher,SSLExtension
- ref:
- [ja3er.com](https://ja3er.com/form)
- [ja3fingerprint.json](https://github.com/trisulnsm/trisul-scripts/blob/master/lua/frontend_scripts/reassembly/ja3/prints/ja3fingerprint.json)
- ssl/tlsハンドシェイクにおけるクライアントアプリケーションからのhelloパケットに含まれる情報からJA3と呼ばれるフィンガープリントを生成する
- 以下の情報を利用してフィンガープリントを生成する下記をmd5ハッシュ化て利用される
- `SSLVersion,Cipher,SSLExtension,EllipticCurve,EllipticCurvePointFormat`
- マルウェアの種類を識別するのに利用できる
- Server側のHelloパケットからJA3フィンガープリントを生成することもできる
- JA3Sと呼ばれ以下の情報からフィンガープリントを生成する
- SSLVersion,Cipher,SSLExtension
- ref:
- [ja3er.com](https://ja3er.com/form)
- [ja3fingerprint.json](https://github.com/trisulnsm/trisul-scripts/blob/master/lua/frontend_scripts/reassembly/ja3/prints/ja3fingerprint.json)
### Forensic
- **Windows Log**