TLSCheck 2.0: An Enhanced Memory Forensics Approach to Efficiently Detect TLS Callbacks
यह शोध पत्र TLSCheck 2.0 प्रस्तुत करता है, जो एक उन्नत Volatility 3 प्लगइन है जो सटीक PE हेडर विश्लेषण, डिसअसेंबली और पैटर्न मिलान को जोड़कर मेमोरी फॉरेंसिक्स में सुधार करता है ताकि 32-बिट और 64-बिट दोनों प्रक्रियाओं में संभावित रूप से दुर्भावनापूर्ण थ्रेड लोकल स्टोरेज (TLS) कॉलबैक का कुशलतापूर्वक पता लगाया जा सके और उनका विश्लेषण किया जा सके।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपके कंप्यूटर की मेमोरी (RAM) एक हलचल भरे, अस्थायी शहर की तरह है। जब आप अपना कंप्यूटर बंद करते हैं, तो यह शहर तुरंत गायब हो जाता है। मेमोरी फोरेंसिक (Memory Forensics) इस शहर का एक "स्नैपशॉट" लेने की कला है, जबकि वह अभी जीवित है, ताकि उन अपराधियों को पकड़ा जा सके जो जमीन पर (हार्ड ड्राइव पर) कोई निशान नहीं छोड़ते, बल्कि केवल हवा में (मेमोरी में) निशान छोड़ते हैं।
यह पेपर एक नए टूल के बारे में बताता है जिसे TLSCheck 2.0 कहा जाता है, जिसे इस शहर में छिपे एक विशिष्ट प्रकार के चालाक अपराधी को पकड़ने के लिए डिज़ाइन किया गया है।
समस्या: "गुप्त हाथ मिलाना" (TLS Callbacks)
विंडोज ऑपरेटिंग सिस्टम में, थ्रेड लोकल स्टोरेज (Thread Local Storage - TLS) नामक एक विशेषता है। TLS को एक विशेष "प्री-गेम" रूटीन के रूप में समझें। इससे पहले कि कोई प्रोग्राम (जैसे वेब ब्राउज़र या गेम) आधिकारिक तौर पर अपना मुख्य शो शुरू करे, वह एक छोटा, छिपा हुआ चेकलिस्ट चलाता है।
- अच्छा: वैध प्रोग्राम इसका उपयोग अपने औजारों को सेट करने के लिए करते हैं, जैसे कि खाना पकाने से पहले एक शेफ अपने चाकू तेज करता है।
- बुरा: मैलवेयर (खतरनाक सॉफ्टवेयर) इस फीचर का बहुत उपयोग करते हैं। वे अपनी बुरी कोडिंग को इस "प्री-गेम" रूटीन में छिपा देते। क्योंकि यह मुख्य प्रोग्राम शुरू होने से पहले चलता है, इसलिए वे जाल बिछा सकते हैं, अपने निशान मिटा सकते हैं, या मुख्य प्रोग्राम के चलने से पहले ही सिस्टम पर हमला कर सकते हैं।
लंबे समय तक, डिजिटल डिटेक्टिव्स (फोरेंसिक जांचकर्ताओं) को इन छिपे हुए रूटीन्स को खोजने में कठिनाई हुई। वे एक घास के ढेर में सुई खोजने जैसा था, या उससे भी बदतर, एक ऐसी सुई को खोजने जैसा था जिसे घास के टुकड़े के रूप में छिपा दिया गया हो।
समाधान: TLSCheck 2.0
लेखकों, कार्तिक और पराग ने वोल्टैटिलिटी फ्रेमवर्क (एक प्रसिद्ध टूल जिसका उपयोग डिजिटल डिटेक्टिव्स द्वारा किया जाता है) के लिए एक नया "मेटल डिटेक्टर" बनाया है। वे इसे TLSCheck 2.0 कहते हैं।
यह कैसे काम करता है, सरल उपमाओं का उपयोग करते हुए यहाँ दिया गया है:
1. एक्स-रे विजन (PE हेडर विश्लेषण)
जब कोई प्रोग्राम लोड होता है, तो उसके पास एक "आईडी कार्ड" होता है जिसे PE हेडर कहा जाता है। TLSCheck इस आईडी कार्ड को देखता है ताकि "गुप्त हाथ मिलाना" वाला सेक्शन (TLS डायरेक्टरी) मिल सके। यह केवल अनुमान नहीं लगाता; यह मैप को पढ़ता है ताकि यह पता चल सके कि ये छिपे हुए रूटीन मेमोरी डंप में ठीक कहाँ रखे गए हैं।
2. अनुवादक (डिसअसेंबली)
एक बार जब यह छिपे हुए कोड को ढूंढ लेता है, तो वह केवल नंबरों और प्रतीकों का एक समूह (मशीन कोड) होता है। TLSCheck एक अनुवादक के रूप में कार्य करता है, जो उस अनपढ़ भाषा को मानव-पठनीय निर्देशों (असेंबली लैंग्वेज) में बदल देता है। यह किसी विदेशी भाषा में लिखे गए गुप्त कोड को अंग्रेजी में अनुवाद करने जैसा है ताकि आप निर्देशों को पढ़ सकें।
3. झूठ पकड़ने वाला यंत्र (पैटर्न मैचिंग)
यह सबसे स्मार्ट हिस्सा है। टूल केवल आपको कोड दिखाता ही नहीं है; यह इसे यह देखने के लिए पढ़ता है कि क्या यह संदिग्ध व्यवहार कर रहा है। यह उन विशिष्ट "संकेतों" को देखता है जिनका बुरे लोग उपयोग करते हैं:
- "नोप स्लेड" (The NOP Sled): कल्पना कीजिए कि एक अपराधी अपने कोड को सिस्टम में खिसकाने के लिए "नो ऑपरेशन" (कुछ न करें) निर्देशों का एक लंबा रैंप बना रहा है। TLSCheck इन रैंपों को पहचान लेता है।
- "स्ट्रिंग बिल्डर" (The String Builder): कभी-कभी बुरे लोग स्टैक पर एक-एक करके गुप्त शब्द (जैसे "डिलीट सिस्टम") बनाते हैं ताकि स्कैनर एक साथ पूरे शब्द को न देख सकें। TLSCheck इस अक्षर-दर-अक्षर निर्माण को देखता है।
- "मास्क्ड कॉलर" (The Masked Caller): बुरे लोग अक्सर गणितीय ट्रिक्स (हैशिंग) का उपयोग करके यह छिपा देते हैं कि वे किन सिस्टम टूल्स का उपयोग कर रहे हैं। TLSCheck उस गणित को हल करता है ताकि यह पता चल सके कि वे वास्तव में किससे बात कर रहे हैं।
4. कस्टम खोज (YARA और Regex)
ठीक वैसे ही जैसे आप अपने ईमेल स्पैम फ़िल्टर को विशिष्ट शब्दों को पकड़ने के लिए सेट कर सकते हैं, TLSCheck जांचकर्ताओं को अपने स्वयं के "वांटेड पोस्टर्स" (YARA नियम) या कस्टम खोज शब्दों (Regex) को अपलोड करने की अनुमति देता है। यदि किसी जांचकर्ता को पता है कि एक विशिष्ट वायरस एक विशिष्ट ट्रिक का उपयोग करता है, तो वे TLSCheck को उस सटीक ट्रिक को खोजने के लिए कह सकते हैं।
यह क्यों महत्वपूर्ण है
अतीत में, इन छिपे हुए रूटीन्स को खोजना एक ऐसे पुस्तकालय में एक विशिष्ट पुस्तक को खोजने जैसा था जहाँ किताबें बेतरतीब ढंग से रखी गई हैं और शीर्षक अदृश्य स्याही में लिखे गए हैं। आपको मैन्युअल रूप से हर एक पन्ना चेक करना पड़ता था।
TLSCheck 2.0 इसे स्वचालित करता है। यह:
- छिपी हुई किताबों को ढूंढता है।
- उन्हें खोलता है।
- उन पन्नों को हाइलाइट करता है जहाँ "बुरे लोग" अपनी योजनाएं लिख रहे हैं।
- जांचकर्ता को ठीक-ठीक बताता है कि योजना क्या है।
परिणाम
लेखकों ने इस टूल का परीक्षण वास्तविक दुनिया के मैलवेयर (जैसे Ursnif वायरस) और कस्टम-निर्मित ट्रैप्स पर किया। उन्होंने पाया कि हालांकि कुछ बहुत ही चालाक मैलवेयर इतने अच्छे से छिपने की कोशिश करते हैं कि यह टूल भी संघर्ष करता है (ठीक वैसे ही जैसे एक मास्टर चोर ताला तोड़ सकता है), फिर भी TLSCheck 2.0 ने कई मामलों में संदिग्ध व्यवहार की सफलतापूर्वक पहचान की जहाँ अन्य उपकरण विफल रहे थे।
संक्षेप में
यह पेपर डिजिटल डिटेक्टिव्स के लिए एक सुपर-पावर्ड आवर्धक लेंस (Magnifying Glass) प्रस्तुत करता है। यह उन्हें उन गुप्त, पूर्व-निर्धारित ट्रिक्स को खोजने और समझने में मदद करता है जिनका उपयोग मैलवेयर कंप्यूटर की मेमोरी के अंदर छिपने के लिए करते हैं, जिससे बुरे लोगों के लिए बिना पकड़े गए अपराध करने में बहुत कठिनाई होती है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।