systemcall.ir سیستم‌کــال

سندباکس تحلیل بدافزار

نمونه را ایزوله اجرا کنید؛
رفتارش را دقیق ببینید

فایل مشکوک را روی یک ویندوز جدا اجرا می‌کنید. پردازه، اتصال شبکه و حافظه را همان لحظه می‌بینید و از همان اجرا گزارش و IOC می‌گیرید.

اجرای ایزوله · دسکتاپ زنده · گزارش و IOC

شروع تحلیل گشت محصول
MALICIOUS
86
invoice_scan.exe a3f91c0e…b7c21e
Win10 x64 injection c2 persistence
LIVE
This PC
Recycle Bin
invoice_scan.exe
Documents
Command Prompt 
C:\Users\Public>invoice_scan.exe
[*] staging %TEMP%\payload.dll
[*] OpenProcess explorer.exe
[*] TLS 185.22.14.41:443
[*] RegSetValue Run\Updater
systemcall agent kernel hook · 14 events
⊞ cmd explorer Type here to search 12:04
زمانپروتکلپردازهجزئیات
00:12.4 DNS invoice_scan.exe update-cdn[.]top
00:12.9 TLS invoice_scan.exe 185.22.14.41:443
00:13.6 HTTP powershell.exe POST /gate.php
00:14.1 DNS rundll32.exe api.telegram.org
00:15.0 TCP svchost.exe 8.8.8.8:53

یک میز کار، تمام مسیر تحلیل

۱/ ۶آپلود

فایل را بدهید، اجرا را تنظیم کنید.

نمونه را می‌فرستید و ویندوز، مدت اجرا و دسترسی شبکه را انتخاب می‌کنید. هش همان لحظه ثبت می‌شود.

Windows 10مدت اجراPreset

۲/ ۶اجرا

روی ویندوز ایزوله، نه سیستم شما.

نمونه داخل یک ماشین جدا اجرا می‌شود و دسکتاپ را زنده می‌بینید؛ بعد از پایان هم می‌شود آن را مثل فیلم مرور کرد.

دسکتاپ زندهReplay

۳/ ۶پردازه‌ها

نمونه چه پردازه‌هایی را اجرا کرد؟

درخت اجرا از نمونه تا آخرین فرزند ساخته می‌شود و پردازهٔ مشکوک همان لحظه مشخص است.

درخت پردازهVerdict هر پردازه

۴/ ۶Syscall

رفتارهای اجرایی نمونه را بخوانید.

دنبالهٔ فراخوانی‌های سطح هسته با بیش از ۱۷۰ الگوی رفتاری سنجیده می‌شود. تزریق کد در همین مرحله شناسایی می‌شود.

۱۷۰+ الگوMITRE ATT&CK

۵/ ۶شبکه

نمونه با کجاها ارتباط برقرار می‌کند؟

DNS، HTTP و اتصال‌ها ثبت می‌شوند و هر مقصد با اعتبارش نشان داده می‌شود. PCAP هم کنارش هست.

DNSHTTPPCAP

۶/ ۶Verdict

نتیجه، IOC و گزارش آمادهٔ تحویل.

امتیاز، تکنیک‌های ATT&CK، IOC و گزارش کامل از همان یک اجرا می‌آید. همه را می‌توان خروجی گرفت.

گزارش PDF / HTMLIOCSigma

ورود به آزمایشگاه گشت کامل پنل

۰۲ / عمق بیشتر

وقتی روی نمونه
عمیق می‌شوید.

حافظه، تحلیل ایستا و رفتارهای پایداری روی همان Session هستند؛ برای وقتی که نتیجهٔ کلی کافی نیست. فهرست کامل در صفحهٔ قابلیت‌ها.

حافظه

تحلیل حافظه

دامپ همان پردازه نشان می‌دهد چه چیزی در رم مانده، حتی اگر فایل از روی دیسک پاک شده باشد.

  • ناحیهٔ اجرایی خصوصی
  • ماژول بدون فایل روی دیسک
  • نقشهٔ آدرس و نتیجهٔ YARA

بیشتر درباره تحلیل حافظه

findingsregions pid 4120
  • RWX private0x1A400000 · T1055
  • Unbacked MZpayload.dll · no file
  • YARAwin_shellcode · 1 hit
image
RWX
MZ
ntdll

رویداد و پایداری

فایل، رجیستری و رفتارهای پایداری در طول اجرا ثبت می‌شوند و کنار Process Tree می‌مانند.

  • فایل رهاشده و حذف خودکار نمونه
  • کلید Run و تسک زمان‌بندی‌شده
  • رویداد AMSI و هوک

تحلیل ایستا و YARA

پیش از اجرا هم فایل بررسی می‌شود؛ ساختار، پکر و قابلیت‌ها بدون نیاز به اجرا دیده می‌شوند.

  • PE، سکشن‌ها و importها
  • capa و شناسایی پکر
  • رشته‌ها و تطبیق قوانین YARA

کار تیمی

تا چند نفر با تنظیمات یکسان کار کنند و دسترسی هر اسکن با سطح Privacy کنترل شود.

  • Preset برای تنظیم یکسان اجرا
  • سطح Privacy برای هر اسکن
  • نقش‌ها و پنل مدیریت

۰۳ / کاربران سامانه

همان Session،
خروجی متفاوت.

داده‌ها یکی است. هر تیم همان چیزهایی را برمی‌دارد که لازم دارد.

SOC تحلیل‌گر SOC

نتیجه و امتیاز را می‌بینید، مسیر حمله را چک می‌کنید و IOC را برای ادامهٔ کار به همکارتان می‌دهید.

TriageVerdictHandoff
DFIR پاسخ به رخداد

Timeline، PCAP، حافظه و Process Tree را کنار هم می‌گذارید تا فرضیه نفوذ را رد یا تأیید کنید.

TimelinePCAPMemory
HUNT / OPS شکار تهدید و عملیات

از رفتار دیده‌شده ATT&CK و YARA می‌سازید. Preset و نقش‌ها کمک می‌کند کار تیم یکی باشد.

ATT&CKYARAPresets

منابع

بیشتر بخوانید.

راهنمای تصویری پنل، آموزش‌های تحلیل بدافزار و کاتالوگ محصول.

GUIDE راهنمای استفاده

گشت تصویری در بخش‌های پنل، قدم‌به‌قدم.

Product tour FEATURES قابلیت‌ها

دسکتاپ زنده، شبکه، حافظه، پردازه و تشخیص، هرکدام در یک صفحه.

Network · Memory · Process BLOG دانشنامه

آموزش تحلیل بدافزار، IOC، ATT&CK و triage برای SOC و DFIR.

Guides · Techniques CATALOG کاتالوگ محصول

معرفی اسلایدی محصول با امکان دانلود PDF.

Slides · PDF

۰۴ / شروع گفتگو

محصول را روی کار واقعی
تیم‌تان ببینید.

در دمو می‌گوییم چطور Session می‌سازید، دسترسی‌ها چطور است، گزارش چه شکلی است و برای SOC یا DFIR چه چیزی مهم است.

فقط اطلاعات تجاری حداقلی ثبت می‌شود. فایل، نمونه، رمز و دادهٔ حساس نفرستید.

پس از ثبت، تیم سیستم‌کال برای مرور سناریو و هماهنگی زمان دمو با شما تماس می‌گیرد.

DEMO REQUEST