ببینید، کل تصوراتتون در مورد ویروس و آنتی‌ویروس رو بریزید دور. هکرهای خفن خیلی وقته بازی رو عوض کردن.
الان دیگه نیازی نیست شما رو گول بزنن تا یه فایل آلوده دانلود کنید؛ روش جدید کلاً بدون فایله!
فکر کن داری توی یه سایت معتبر و عادی می‌چرخی. روی هیچی کلیک نمی‌کنی، هیچی هم دانلود نمی‌کنی.
اما اون سایت قبلاً هک شده و یه کد مخفی داره. این کدِ لعنتی، مرورگرت (مثلاً کروم) رو اسکن می‌کنه، یه باگ توش پیدا می‌کنه و از همون‌جا مستقیم نفوذ می‌کنه به ابزارهای خود ویندوز؛ مثل همین PowerShell یا CMD که همه‌مون داریم.
به این می‌گن تکنیک «زندگی روی زمین». یعنی هکر هیچ فایلی با خودش نمیاره که آنتی‌ویروس مچش رو بگیره، بلکه از ابزارهای سفید و قانونیِ خودِ ویندوز علیه خودت استفاده می‌کنه.
این کدهای مخفی مستقیم می‌رن وسط حافظه رم (RAM) می‌شینن و دسترسی کل سیستم رو می‌دن به هکر.
🎩 حالا سئوال اصلی: رم که با یه ری‌استارت پاک میشه، پس هکر چطوری تو سیستم جا خوش می‌کنه؟
اینجاش دیگه پشم‌ریزونه. هکر واسه اینکه با خاموش روشن شدن سیستم دسترسی‌ش نپره، می‌ره سراغ رجیستری ویندوز (همون تاریک‌خانه‌ی تنظیمات اصلی).
اونجا یه کلید مخفی می‌سازه و به ویندوز دستور میده: «هر وقت سیستم روشن شد، خودت برو اون کد مخفی رو دوباره بذار توی رم!»
یا با ابزار WMI ویندوز یه شرط یا محرک تعریف می‌کنه؛ مثلاً می‌گه: «هر وقت این کامپیوتر ۵ دقیقه بی‌کار موند یا به اینترنت وصل شد، فلان کار رو تو پس‌زمینه انجام بده».
با این ترفندها، هکر مثل بختک می‌چسبه به سیستم و با ری‌استارت هم نمی‌پره، بدون اینکه حتی یک بایت فایل روی هاردت باشه!
🔎 خب، با این شبح چطوری باید جنگید؟
تو این وضعیت، آنتی‌ویروس‌های سنتی عملاً هویجن! چون اونا فقط فایل‌ها رو اسکن می‌کنن و اینجا اصلاً فایلی وجود نداره.
واسه همین شرکت‌های بزرگ رفتن سراغ سیستم‌های مدرنی به اسم EDR.
اینا اصلاً کاری به فایل ندارند، بلکه ۲۴ ساعته روی «رفتار سیستم» قفل می‌شن. مثلاً مانیتور می‌کنن که چرا ابزار پاورشلِ ویندوز، اونم ساعت ۳ نصفه‌شب، داره بی‌خودی به یه سرور ناشناس تو یه کشور دیگه دیتا می‌فرسته؟ و همون‌جا خفه‌ش می‌کنه.
❕خلاصه که دیگه دوره‌ی "من چیزی دانلود نکردم پس امنم" تموم شده؛ تو دنیای جدید، هکرها با اسلحه‌ی خودت بهت شلیک می‌کنن!
🪽 Fachlich
🍃 @ITSecurityComputer