O Que Acontece Quando a CC Detecta Ataques de Memória

Primeiramente, é muito importante observar que as alterações de memória ocorrem por vários motivos diferentes: Ataques na memória (in-memory attacks) Interação entre programas Falhas de software (bugs) Exploits Portanto, uma injeção de processo ou técnica de alteração de memória utilizada, mesmo entre programas, não é necessariamente uma ação maliciosa. Se um programa que sofreu um evento de memória provavelmente malicioso (ou seja, #1 ou #4 acima) estiver envolvido em uma resposta automatizada por parte da Cyber Crucible, ocorre uma atividade de coleta automatizada. A parte da memória que foi alterada em um programa, bem como o estado "anterior", é salva em um formato estruturado da Cyber Crucible chamado .ccdiff Essa parte injetada ou alterada da memória é salva e fica disponível para download no portal web da Cyber Crucible. Por Que Isso Não É Automaticamente Enviado ao Virustotal (etc.) para Análise? Em algumas circunstâncias, o código malicioso utilizado em um ataque contém variáveis que são exclusivas de um ataque, especificamente relacionadas a uma vítima. Enviar esse código malicioso a um mecanismo de análise público, como o Virustotal, representaria uma divulgação indesejada de informações que identificam a vítima à comunidade de segurança. Por Que Seria Útil Enviar Esses Dados Binários ao Virustotal (etc.)? Ferramentas de antivírus e EDR baseadas em assinaturas procuram por strings ou bytes de código observados em ataques anteriores. Mesmo que esse malware nunca tenha sido visto antes, com o tempo ele pode passar a ser conhecido pela comunidade de segurança. Essas ferramentas de varredura geralmente não precisam que o código esteja em um binário devidamente formatado para sinalizar uma associação com um malware conhecido.