Анализ на зловредния софтуер: Съчетание на човешка експертиза, защитни системи и AI

0:35↗благодаря ви, че се присъединихте на

0:37↗днешния семинар,

0:39↗който ще е на тема анализ на зловредния

0:42↗софтуер. Аз се казвам Николай Петканов и

0:44↗след малко ще се представя малко

0:46↗по-подробно.

0:48↗Нека да започнем с нашата презентация.

0:55↗Именно ще си говорим за анализ на

0:58↗зловредния софтуер или на английски

1:00↗език, така наречения analysis.

1:06↗Ще разгледаме следните точки, като а

1:09↗разбира се ще направим кратко въведение

1:11↗към това какво е Maware.

1:14↗Ще разгледаме основни типовеare

1:17↗и malли софтуер, за да може да се

1:19↗запознаете и да научите малко повече

1:22↗информация.

1:24↗Разбира се, основната тема за днес как

1:26↗да анализираме един MAWare. Ще

1:28↗разгледаме различните техники, като ще

1:31↗преминем през статичен, динамичен анализ

1:33↗и хибриден апроachч. И разбира се доста

1:37↗популярна тема, а как може да използваме

1:41↗AI или изкуствен интелект при такъв тип

1:43↗анализ.

1:45↗Също ще ви дам малко повече информация

1:47↗за инструменти за превеншни и defense и

1:51↗също така какви стратегии и съвети може

1:55↗да използвате, за да се защитите от

1:58↗потенциален malare. И в това число

2:01↗включваме и така системи, които са за

2:03↗real time мониitринг и automated

2:05↗incident response.

2:07↗Като последна точка аа ще издам, че

2:10↗имаме едно live демоo, което е всъщност

2:13↗cъмare, а който с вас, след като научим

2:17↗малко повече по тези точки, ще се

2:18↗опитаме да го анализираме заедно.

2:23↗Ако имате въпроси, разбира се, може да

2:25↗се присъедините към Слайдо, а съответно

2:29↗използвайте следния ха#г семинар.

2:31↗Предполагам може и на самия стрийм да

2:33↗имате бутон, а ще се радвам да отговоря

2:36↗на вашите въпроси.

2:40↗Малко повече за мен. Казвам се Николай

2:42↗Петканов и съм сок инженер, а в голяма

2:45↗корпорация. Имам над пет години

2:48↗професионален опит в IT индустрията,

2:51↗като така моят опит е в различни

2:54↗аспекти, а както програмиране, така и

2:58↗cyбер security и също така Network

3:01↗security. Това са така моите а основни

3:05↗умения.

3:07↗Работил съм с различни

3:09↗обектноориентирани езици, основно със

3:11↗C#ARP

3:12↗като фреймърси ASP иNET

3:16↗и скриптовите езици. Като цяло съм се

3:19↗занимавал малко с JavaScript, с Python.

3:23↗Съответно имам опит и с бази данни, а и

3:26↗така обширни познания по Securюрити

3:29↗системи, които са за системно и ръжово

3:32↗мониториране. Разбира се, тук включваме

3:35↗CM endpoint detection and response CDR

3:38↗XDR системи и съответно а защитни

3:41↗системи като тип firewall, next

3:43↗generation firewall и така нататък.

3:48↗Първата точка, която ще разгледаме днес,

3:51↗всъщност да направим едно въведение към

3:55↗какво е това и какви са различните

3:57↗методи на разпространение. Някои от тях

4:00↗може да са по-познати за вас, но нека

4:03↗разгледаме

4:05↗какво всъщност е зловредният софтуер.

4:07↗Ами вече оттук натам ще го наричам

4:10↗основноare. Това е всяка една програма,

4:13↗а всеки един софтуер, файл или код,

4:16↗който всъщност е създаден да навреди на

4:19↗вашата система или да предостави

4:21↗потенциален неоторизиран отдалечен

4:23↗достъп на а различни attackers. Ще ги

4:26↗наричаме или хакери, или attackers.

4:29↗Съответно така основни цели са, както

4:32↗споменах, да наруши оперативния процес

4:34↗на вашата система, но това, разбира се,

4:36↗не изключва кражба на данни, а финансови

4:40↗измами и много често дигитален шпионаж.

4:42↗Когато разгледаме различните типове, ще

4:45↗разберете в кои подкатегории изпадат.

4:48↗Разбира се, освен като индивидуален

4:50↗потребител, може да афектират и големи

4:54↗бизнеси корпорации критични

4:57↗инфраструктури, като малко по-късно ще

4:58↗разгледаме примери, а например болници,

5:02↗училища, правителствени организации,

5:05↗разбира се, всичко зависи от типа.

5:08↗Основное

5:09↗оперира

5:12↗без позволението на потребителя. В някои

5:15↗ситуации,

5:16↗както ще разгледам малко по-късно, се

5:19↗налага всъщност и действие от

5:20↗потребителя, но основно оперира без

5:22↗неговото знание.

5:24↗Има някои типове имат характеристиката

5:28↗за persistance механизъм или това е

5:31↗характеристика, която те оставят на

5:32↗вашата система незабелязано и могат да а

5:37↗да речем да предоставят remote access

5:39↗или отдалечен достъп на хакерите в дълъг

5:42↗период от време, без дори вие да

5:44↗разберете, че сте били инфектирани.

5:46↗Разбира се, а има и в някои случаи, в

5:50↗които а

5:53↗се появяват на на десктопа и съобщения,

5:55↗които уведомяват юзъра, че е бил хакнат,

5:57↗но ще разгледаме защо след малко. И

6:00↗разбира се, както споменах, не винаги аа

6:04↗цели на момента да нанесе вреди.

6:07↗Раличните типовеare основно имат

6:10↗persistнс механизъм, тъй като е по-добре

6:12↗за един хакер да има а по-дълъг достъп

6:15↗до вашата система. Така със сигурност

6:18↗може да нанесе повече вреди.

6:21↗Методи на разпространение. Ами това е а

6:25↗така единственият а най-популярен метод,

6:29↗който може би а всички сме чували.

6:33↗Фишинг мейлите.

6:34↗Това е една тема, която според мен

6:36↗винаги ще остане изцяло вързана и с

6:38↗мауерите. Все пак фишинг мейлите са може

6:42↗би най-основният метод за

6:44↗разпространение. Те може да съдържат

6:47↗прекачени файлове. Предполагам всички

6:48↗сме виждали основната структура на един

6:50↗имейл.

6:52↗Обаче този прекачен файл може да се

6:54↗окаже иare, разбира се, също а фиishнг

6:58↗мейлите основно съдържат и линкове,

7:00↗които потенциално може да са malishс.

7:02↗Именно отново зловредни линкове, които

7:04↗при интеракция с тях пък могат дори да

7:07↗няма прикачен файл, те да се опитат да

7:10↗свалят файл на вашата система, който се

7:12↗оказва.

7:14↗Друг много разпространен метод, бих

7:16↗казал и в нашите ширини, е когато

7:18↗използваме аа пиратски или кракнати

7:21↗апликации. Тоест, ако да речем свалим

7:24↗някоя програма, която на първо четене

7:27↗смятаме, че е валидна, може да се окаже,

7:29↗че всъщност това е прикрит и ние

7:32↗ефектираме нашата система без дори да

7:34↗подозираме.

7:36↗Тук съм описал и компроментирани а

7:39↗уебсайтове, тоест може да е валиден

7:41↗уебсайт, който сте посещавали преди, но

7:44↗поради една или друга причина бива

7:45↗компрометиран. А също така може и да е

7:50↗директно Малишас уебсайт, който е

7:51↗разработен точно с тази цел да ви зарази

7:54↗сware.

7:56↗Бих казал, че по-рядък метод, вече не

7:59↗толкова често срещан, е а методът на

8:03↗разпространение чрез USB устройства или

8:05↗друг тип removable storage. Аа но

8:08↗разбира се това не е изключено. Има има

8:11↗го все още като use casйс, но бих казал,

8:13↗че че е доста по-рядко, да речем, ако го

8:16↗сравним с фишинг мейлите със сигурност.

8:19↗така наречените Drive by Downloads,

8:21↗разбира се, заслужава си да се споменат,

8:23↗защото

8:24↗това е малко по-напредната техника, но

8:26↗дори когато ние браузме в интернет,

8:29↗тоест застъпваме различни сайтове, ако

8:31↗самият сайт е компроментиран,

8:33↗потенциално може а да има тази техника

8:36↗за drive by download и без нашето знание

8:39↗отново да бъдем заразени сware.

8:43↗Друг метод, който е много популярен, а

8:46↗fakeтеch support и а често това се

8:49↗получава заради тези popпs или реклами,

8:51↗които виждаме в повечето сайтове. А

8:54↗методът се наричал engнеринг, тоест това

8:57↗кара основно потребителя да без да се

9:00↗замисли получавате, да речем, попъп, че

9:03↗вашата система е била инфектирана сware.

9:07↗Разбира се, тя не е, но вече ако

9:09↗достъпите самия popup, потенциално може

9:13↗да се свържете с fakeте support, а които

9:16↗пък всъщност в последствие да инсталират

9:19↗на вашата система. И заради това social

9:21↗enggenнеринг бих казал, че е комплексен

9:23↗метод, но определено е валиден US casй.

9:27↗А също друг тип бих го вързал дори и към

9:30↗фиishшинг мейлите, но инфектирани

9:32↗документи. Представете си, ако свалим а

9:35↗инфектиран документ, който може да е

9:36↗Microsoft Word документ, Excel документ,

9:39↗PowerPoint и така нататък. потенциално,

9:41↗ако са инфектирали, да речем, с като

9:44↗техника malous macros в Microsoft Word,

9:48↗може отново да инфектираме нашата

9:50↗система сware.

9:52↗И разбира се не на последно място,

9:54↗въпреки че е последна точка, това са

9:56↗експлойтите на софтуерни уязвимости.

9:59↗Именно софтуерните уязвимости това са

10:01↗vulnerнерабилитита.

10:02↗Ще разгледаме в примерите след малко

10:04↗защо е важно да пачваме редовно и а

10:09↗когато има уязвимости на нашата система,

10:11↗ние да се подсигурим, че а ще имаме

10:15↗securриity

10:17↗updated версия, за да

10:19↗се предпазим отware.

10:23↗Така, бих искал да ви предоставя един

10:24↗пример аа за най-така популярния метод

10:27↗на разпространение, именно фиishнг

10:29↗мейла. Нека го разгледаме с вас. А тук

10:32↗отгоре виждаме логото на Softare

10:34↗University.

10:36↗От дясната страна виждаме, че е от Soft

10:38↗Unisпоort тима, като съответно виждаме и

10:41↗техния имейл. На първо четене с големи

10:45↗червени букви виждаме, че изисква

10:46↗действия от нас, защото има suspicious

10:49↗сайте, тоест някой се опитва да достъпи

10:52↗нашия акаунт и а с обръщение към нас

10:55↗виждаме, че нашият софтуер акаунт е бил

10:58↗достъпен от ново устройство. А и доста

11:01↗странна локация виждаме New York USA.

11:04↗Съответно, ако това не сме ние, няма

11:06↗нужда от действие. Това е типичният

11:08↗Social engженеринг метод, за да прикрие,

11:10↗че това потенциално е Fishhing Maмеil.

11:12↗Но все пак, ако не разпознаваме тази

11:14↗активност, което всъщност това е

11:16↗случаят, аа трябва да свалим secюрити

11:19↗кодове, които да използваме и да защитим

11:22↗нашия акаунт.

11:24↗И съответно, ако това ни изглежда като

11:26↗валиден имейл, в момента може би вече се

11:28↗досещате, в който натиснем download

11:30↗security codes, потенциално ние сваляме,

11:33↗който започва да инфектира нашата

11:34↗система.

11:36↗Бих искал да обърнете внимание горе

11:38↗вдясно как може, оставил съм така един

11:43↗като а малък хинт как може да спотнем а

11:46↗потенциален фиishнг mail. Виждате,

11:49↗домейнът на softто ни всъщност не е с о,

11:51↗ами е с нула. Това е нещо много важно.

11:54↗Винаги, когато отваряте своите мейли,

11:57↗преди да сваляте каквото и да е,

11:59↗прикачени файлове, да отваряте линкове,

12:01↗уверете се, че те са безопасни.

12:03↗Направете няколко допълнителни проверки

12:04↗и чак след това

12:08↗правете допълнителни действия, свързани

12:10↗с фиishнг мейла.

12:12↗Сега ще си поговорим за различните

12:14↗типовеare, като няма да изпадаме в

12:17↗дълбоки подробности за всеки един

12:18↗отделен метод, тъй като може да се

12:20↗проведе семинара, смятам, за почти всеки

12:22↗един от типовете, но разбира се трябва

12:25↗да се запознаем, преди да ги анализираме

12:27↗с така по-основни типове.

12:30↗Като първо ще си поговорим за RANSAR.

12:33↗Какво е RНА? Това е тип ма, който а е

12:37↗изключително опасен. Той всъщност

12:39↗скриптира файловете на вашата система.

12:41↗дори в някои случаи може да криптира

12:43↗цялата ви система. И всъщност този тип

12:47↗Myare се използва а за изнудване на

12:50↗потребители, а цели компании,

12:53↗организации и така нататък. Сега ще

12:54↗разгледаме примери и малко по-долу, но

12:57↗да, като цяло аа цели да криптира

13:00↗чувствителни файлове и жертвите аа имат

13:04↗лимитиран период от време, в който

13:06↗трябва да направят плащането,

13:10↗тъй като аа

13:13↗в повечето случаи огромни организации

13:16↗биват инфектирани от RAN Someware.

13:18↗Представете си, това може да ги а извади

13:21↗извън бизнеса, тоест те да не са

13:23↗опереationalш за дълъг период от време и

13:25↗често това струва доста повече на една

13:27↗компания аа

13:30↗да се възстанови от беп или съответно да

13:32↗работи върху изграждането изцяло на

13:34↗своите системи, отколкото да заплати

13:35↗един RНЕare аа демант. И съответно

13:40↗повечето runеare групировки, тъй като

13:42↗все пак трябва да спазват и своята

13:44↗репутация, а защото представете си, ако

13:47↗всички плащаха и те не предоставяха така

13:49↗наречените декриптиращи ключове или

13:51↗декриптори, нямаше да аа нямаше да има

13:56↗целият процес с ексторшъна. Така че да.

13:59↗И също така тук съм описал, че някои

14:01↗някои варианти могат да ексфилтрират

14:03↗вашите данни. Тоест, освен, че ги

14:05↗криптират в последствие, предварително

14:07↗те биват откраднати. Може да е с цел да

14:10↗ви заплашат, че ще ги продадат в тъмната

14:13↗мрежа, нали, в Dark Web. И съответно тук

14:15↗има и така наречения double extortшъ или

14:17↗двойно изнудване. Тоест един път плащате

14:19↗за за декриптирането, втори път може да

14:22↗се наложи да платите а за това да не

14:24↗бъдат продадени вашите файлове и да не

14:26↗бъдат ликнати. Както описах,

14:30↗основни

14:31↗така мишени са чувствителни организации

14:35↗като болници,

14:38↗училища, правителствени организации и

14:40↗много големи корпорации. Представете си,

14:42↗че а имаме, да речем, болница, която

14:46↗давам ви USйс, а има файлове, в които

14:50↗записват своите пациенти.

14:52↗Ако потенциално болница, болницата като

14:56↗заведение бъде криптирана с runware,

14:59↗всички тези файлове няма да могат да

15:01↗бъдат достъпни. Тоест operational

15:03↗структурата на тази болница спира за

15:05↗някакъв период от време и съответно тук

15:08↗отново говорим за лимитираното време,

15:10↗тайпрешъра, който имат и трябва да да

15:14↗заплатят определена сума, а защото тук

15:17↗може да се рискува човешки живот и така

15:19↗нататък. Също

15:21↗аа правителствените организации все пак

15:23↗това е а предсъвет министерства, ако се

15:26↗случи така, че бъдат криптирани важни

15:29↗файлове, данни, които са а на government

15:32↗level, съответно, разбира се повечето

15:35↗решения, които биват взети, е да бъде

15:37↗заплатен самият Рансъм.

15:40↗Тук бих искал да добавя, че а основно

15:43↗плащанията се извършват чрез

15:45↗криптовалути. Тоест вие сега ще

15:47↗разгледаме и пример как оперира един run

15:49↗самare, но може чрез заплащането чрез

15:53↗криптовалута, тоест криптоуallлетите са

15:56↗изключително

15:58↗untraceable, тоест трудно са проследими.

16:00↗Може да направите една съпоставка, ако

16:02↗размяната на средствата се случи на

16:05↗живо. Разбира се, а властите много

16:07↗по-лесно могат да открият групировката,

16:09↗нали, съответно хакерите, но чрез

16:11↗криптовалути е почти невъзможно да бъдат

16:13↗проследени. И тук като важна точка съм

16:16↗добавил за reputational Impact. За

16:18↗operational вече дискутирахме, но

16:20↗представете си, ако имаме голяма

16:21↗корпорация, която потенциално а бъде

16:25↗криптирана. Вие ако бъдете техен клиент,

16:28↗тоест те сторват вашите данни, а лични

16:32↗данни, съответно платежни методи, дори

16:35↗ако държите финансови средства в една

16:37↗компания, ако всичко бъде криптирано,

16:40↗това е много лошо за тяхната репутация.

16:42↗Това говори, че имат много слаба защита.

16:45↗И съответно доста клиенти се оттеглят в

16:48↗последствие. Като примери във всяка така

16:51↗секция ще ви дам примерчета, които може

16:53↗да разгледате при интерес допълнително

16:55↗след семинара. Съм дал накрай. Може би

16:58↗повечето сме чували

17:00↗за този тип runare, съответно logbit и

17:03↗ma.

17:05↗Сега ще разгледаме един пример. Няма да

17:07↗влизаме в дълбоки детайли, но спомнете

17:11↗си, преди малко си говорихме за метод за

17:14↗разпространение, именно exploitation.

17:17↗В този случай имаме пет основни стъпки,

17:19↗като в първата стъпка виждаме а самият

17:22↗ransеare как се появява на самата

17:24↗система именно чрез експлойт на

17:26↗софтуерна уязвимост. И тук виждаме аса.

17:30↗Това всъщност се опитва да се прикрие

17:33↗под формата на легитимен Microsoft

17:36↗процес. Във втора стъпка също го

17:38↗виждаме, нали, Microsoft SEVC.txe и

17:42↗съответно вече в третата стъпка виждаме

17:45↗дропъра, тоест самият ransomware файл,

17:47↗който прави encриption. Все още се

17:50↗нарича и encриpt.

17:52↗Допълнително може да бъдат дропнати

17:56↗компоненти

17:58↗за съставянето на самия конфиг на

18:00↗самомура, съответно декриптора, който

18:03↗естествено бива предоставен чак след

18:06↗плащането на откупа и Ransм Node, в

18:08↗който представете си Ransм Note е след

18:10↗като биват криптирани всички файлове,

18:12↗получавате един RANSъм Node с а примерно

18:15↗адрес за крипто портфейла, който трябва

18:17↗да извършите плащането и нали в

18:20↗последствие ви се предоставя ключ Като

18:22↗резултат в пета стъпка виждаме

18:24↗енкрипнати локални shred файлове.

18:26↗Например таргетирани са тук 176 фай

18:28↗екстеншъ като екстеншъ бива променен

18:31↗внакрай и съответно вие не може да

18:34↗достъпвате повече вашите файлове освен

18:37↗ако нямате backup или освен ако не

18:39↗заплатите откупа.

18:42↗Следващ много популярен а вид това е или

18:47↗троянски кон. Предполагам повечето сме

18:49↗чували за троянския кон. Какво е това?

18:52↗Ами това е реално, който се представя на

18:55↗легитимен софтуер, а именно използва

18:58↗This guise като техника.

19:02↗В общия случай ето тук се изисква вече

19:05↗интеракция от потребителя. За да го

19:06↗активираме, нека си представим, както

19:09↗споменах, ако сваляте пиратски апликации

19:12↗или кракните апликации, да речем, от

19:14↗замунда, мислите, че сваляте оice пакет,

19:17↗но всъщност, когато вие а използвате

19:20↗истаъра, цъкате next, на практика може

19:22↗да активирате троян икон на вашата

19:24↗система. Така че ви съветвам а винаги се

19:27↗старайте да използвате а легитимни

19:31↗източници, когато сваляте даден вид

19:33↗софтуер. В някои случаи троянският кон

19:36↗може да бъде като дропър на друг типare,

19:40↗тоест може да разпространява

19:43↗още допълнителни видове, които ще

19:45↗разгледаме и след малко.

19:47↗И съответно

19:49↗по-адванс троянските конове имат така

19:51↗наречените remote access features или

19:54↗отдалечен достъп, който може да бъде

19:55↗предоставен на хакера. Тоест, в момента,

19:57↗в който инфектира вашата система самият

19:59↗троянски кон, а на практика дава

20:02↗възможността за отдалечен достъп. Както

20:04↗споменах тук вече аа може да е в bundlъл

20:07↗с кракнат софtтуеър или fake

20:09↗utilтиities.

20:11↗не изключваме като механизми да

20:12↗откраднат вашите данни, тоест

20:14↗usзърнейми, пароли, имейл адреси и така

20:17↗нататък. Дори някои по-аван trolls а

20:21↗имат и характеристиката да спират вашите

20:24↗антивирусни системи, нали, като цяло

20:27↗защитните ви системи. Могат дори да

20:29↗модифицират настройки на ниско ниво на

20:32↗системата в в някои случаи.

20:35↗Отдолу отново имате няколко примера.

20:39↗Adware. Това е нещо, с което се

20:41↗сблъскваме почти всеки ден, въпреки че

20:45↗дали ще е в пълната му форма или

20:47↗съответно преди да инфектираме нашата

20:49↗система. Всъщност какво е това? Ако

20:51↗инфектираме нашата система SADUare,

20:53↗започват да се показват множество

20:55↗реклами в който и да е уебсайт а да

20:58↗влезем и който и да е почти браузър

21:00↗използваме. Подвансъерите могат да

21:03↗оперират на почти всички видове

21:04↗браузъри. Съответно има достъп до нашето

21:07↗Search History, има функционалността да

21:11↗а прави така наречения tracking и

21:14↗browsing habits и съответно

21:17↗в общия случай трафикът, който вие

21:21↗използвате често се пренасочва, за да се

21:23↗генерира фалшиво AD rвен.

21:26↗Adu тук за забавянето на и деградирането

21:31↗на перформанса на вашата система. Ами

21:33↗представете си, когато отворите няколко

21:35↗Google Chrome tба, знаем, че отнема така

21:37↗доста доста пространство от от

21:39↗оперативната памет. А ако бъдете

21:42↗заразени със adare, това може да се

21:44↗удвои, да се увеличи, нали. Съответно

21:46↗това е един добър индикатор, ако имате

21:49↗high memory usage, да. А потенциално

21:52↗може да сте инфектирани от Adware.

21:55↗Отново популярен метод на

21:56↗разпространение, безплатен и пиратски

21:59↗софтуер. Имайте предвид, не винаги Adwar

22:01↗е класифициран като Malish, а но се

22:05↗използва за malas цели. По някой път, а

22:09↗ако достъпите,

22:11↗да речем, някоя от рекламите, генерирани

22:12↗от Adwarра, директно може да започне да

22:14↗сваля така наречените potentially

22:17↗unwanted applications на вашата система.

22:19↗Тоест това са нежелани апликации, които

22:21↗те реално не са malas, но все пак

22:24↗генерират така нареченото reве.

22:28↗Spyware това е нещо, което а се използва

22:32↗освен в киберпрестъпността, имайте

22:34↗предвид и а от правителствени

22:36↗организации. Може би сме чували доста

22:38↗случаи, в които така аа големи държави,

22:43↗да речем като пример може да вземем

22:44↗Америка, Русия се обвиняват в дигитален

22:46↗шпионаж. Ами Spyware всъщност е един от

22:50↗маерите, които позволява точно такъв тип

22:53↗функционалност. Основно събира

22:55↗информация за вас без вашето знание.

22:58↗Може да засича вашата комуникация. Може

23:01↗да е чат комуникация, може да е видео

23:03↗комуникация, може да мониторира според

23:06↗зависи колко е комплексен Spywareе, но

23:08↗може да мониторира почти всичко на

23:09↗вашата система. И както споменах, нали,

23:13↗колкото и да отричат някои

23:14↗правителствени организации, също го

23:15↗използват. аа в дигитален шпионаж на

23:19↗така да наречем тяхната конкуренция.

23:22↗Също в някои по-адванс методи,

23:27↗които може да използвай е да предоставя

23:29↗директно информацията, която събира за

23:31↗вас към external сървъри. Тоест това

23:32↗може да са така наречените комантен

23:34↗control сървъри и всяка сензитив

23:37↗информация, тъй като тя може да се

23:38↗променя в реално време, бива изпращана

23:41↗към хакерите.

23:43↗Тук са описани. Ето. А давам ви един

23:46↗пример. Троянският кон. Говорихме си, че

23:47↗може да се използва за дропър. Ами ето

23:49↗ви един пример. Троянският кон а

23:51↗alongside може да инсталира и spyware и

23:55↗по същия начин с adware. Така че ще

23:57↗видите целияйшън между тях в

24:00↗последствие. А повечето неща са

24:02↗завързани. А да имаме така наречените

24:06↗stel techniques, тоест да оперират

24:08↗нашата система без нашето знание. Това е

24:10↗цялата идея на самия Spyware и в някои

24:13↗случаи може да експлойтва така

24:14↗наречените Zero Day уязвимости. Тоест

24:18↗Zero Day е едно vulnerability, което е

24:21↗изключително скорошно и на практика няма

24:24↗официален пач за него или security

24:26↗ъпдеdate. Има, да речем, някакъв

24:28↗workрау, но е нещо, което не може да

24:30↗бъде пачнато на момента.

24:33↗Отдолу също имаме няколко примера. Ако

24:34↗ви е интересно, след семинара може да ги

24:37↗разгледате.

24:39↗червеите или така наречените Worms.

24:41↗Какво е това? Ами на практика това е тип

24:44↗малъ, който като основна характеристика

24:48↗е познат, че може да се разпространява в

24:50↗големи организации, дори enterprise

24:52↗организации буквално за минути. Тоест,

24:55↗той оперира без нуждата аа от интеракция

24:58↗на потребителя. Не е нужно ние да се

25:01↗връзваме към друга система, за да

25:03↗циркулира. На практика то директно може

25:05↗да започне да експлойтва системни

25:07↗уязвимости. уязвимости в мрежата и

25:10↗съответно сега искам да си представите

25:12↗useкей-а. Имате един advanced cherve,

25:16↗който започва да циркулира в цялата ви

25:18↗мрежа. Да речем, имате 200 сървъра.

25:21↗Представете си, че този червей се

25:23↗използва за а дроп на payload, който е

25:27↗runare. Тоест, вместо да бъде криптиран

25:29↗само един сървър, ако всички 200 сървъри

25:32↗в нашия USAS са инфектирани с червей,

25:35↗ами на практика имате 200 криптирани

25:38↗сървъра, за които ransм демаand ще бъде

25:40↗изключително висок в този случай.

25:45↗И съответно тук, както съм описал,

25:47↗изключително трудно е да се овладява,

25:49↗ако нямаме правилна сегментация на

25:51↗мрежата. Тоест, ако не сме разработили

25:53↗добри нетворworк зони, а ако нямаме

25:57↗добра сегментация, трудно може да се

25:59↗овладее. Тоест, ако а

26:02↗в една мрежа имаме всички

26:03↗workstationшъни, мобилни устройства,

26:05↗сървъри и така нататък. А или примерно

26:08↗ако prodъкшъ сървърите не са ни а

26:11↗отделени от, да речем, QA или stage

26:14↗environment сървърите, на практика много

26:16↗трудно може да овладеем един червей.

26:21↗И ще си поговорим за Root Kits. Може би

26:23↗така не толкова често срещан, но

26:26↗изключително опасен. Root Kit като цяло

26:29↗работи на Level. Какво е това? Ами това

26:31↗е ядрото на една система. На практика

26:34↗може да модифицира системни процеси, тъй

26:37↗като работи нал level, може директно да

26:40↗обфскира логове, да ги преправя, тоест

26:44↗има почти всички привилегии, както сме

26:46↗описали отдолу. Оперира с high prчge

26:49↗mode или така наречения mode. Точно

26:52↗поради тази характеристика

26:54↗той може да прикрива присъствието на

26:56↗друг тип. Тоест, представете си, ако

26:59↗постоянно получавате логове, че сте

27:00↗заразени с някакъв типare, root k

27:04↗така, че всички тези логове въобще да не

27:07↗стигнат до вас. Цялата тази информация

27:08↗да не стигне до вас и съответно а вие

27:12↗дори не разбирате, че сте инфектирани.

27:14↗Така че руткитът е наистина опасен.

27:17↗Често се среща в така наречените атаки,

27:20↗които са на множество етапи или все още

27:22↗наричени атак.

27:24↗И имайте предвид, да речем, за червеите

27:27↗говорихме за сегментация на мрежата. При

27:29↗root китите в най-честия случай, ако

27:32↗искаме да се отървем от един root kitки

27:34↗kit, се налага да преинсталираме

27:36↗операционната система, което може да

27:38↗доведе до загуба на данни, а защото

27:40↗всички други действия, ако се опитаме

27:42↗ръчно да го премахнем, след ребт на

27:44↗системата или дори и да ролбекнем в

27:48↗според нас а

27:50↗така безопасен а имидж, който е бил

27:53↗преди, ние не знаем кога рутки може да

27:55↗се е настанил в нашата операционна

27:57↗система. Така че да, в повечето случаи

27:59↗се налага преинсталация на операционната

28:02↗система. Дори advanced root kтите по

28:04↗някой път може да са директно

28:05↗интегрирани във firmware. А или така

28:09↗наречените bootлоloader вие при

28:10↗инсталацията на някакъв firmware

28:12↗директно още от ден0 да имате root kit в

28:15↗своята система.

28:18↗Така. Надявам се, че ви бяха интересни а

28:22↗тези типове. Наистина са от

28:24↗по-основните. Има и други, но за

28:26↗съжаление няма да може да включим всички

28:28↗днешния семинар.

28:30↗Сега нека разгледаме различните техники.

28:32↗Вече като имаме повече познания какво

28:34↗представлява един myare, какви видове

28:36↗има, ще разгледаме някои основни

28:38↗техники, именно статичен analysis,

28:41↗динамичен и най-добрият хибриден

28:42↗approach.

28:45↗Какво е анализът на един Maware, на

28:48↗зъвредния софтуер? Ами иначе казано, ни

28:51↗помага да разберем как оперира самият

28:54↗файл.

28:55↗Тоест какви са неговите действия и

28:57↗потенциално след един готов анализ да

29:00↗разберем как може да се справим с него

29:01↗или да го спрем.

29:04↗За secюрити екипите е полезно, защото

29:06↗екстрактва така наречените IOCs или

29:09↗indicators of compromise. Тоест,

29:10↗представете си, това са като маркери,

29:12↗които аа може да може да са съответно

29:17↗файлш, а нали според зависи и хеширащия

29:21↗алгоритъм, но на практика тези

29:23↗индикатори се използват от secюрити

29:26↗екипите аа за да оптимизират своя

29:28↗detection and response, тоест бързо да

29:30↗засичат маура и съответно потенциално

29:32↗автоматизирано да се справят с него,

29:34↗както ще разгледаме като а вали валиден

29:38↗метод след малко.

29:40↗Основни два апроуча, както споменах,

29:42↗статичен и динамичен анализ. Статичният

29:45↗анализ и в името така малко издава, но

29:47↗това е инспекция на файла, без да се

29:50↗налага да интерактваме с него, тоест без

29:53↗да активираме самия, се опитваме да

29:55↗направим един анализ.

29:57↗Естествено, има някои лимитации. Сега ще

29:59↗говорим малко повече за стичания анализ,

30:01↗но динамичният анализ е обратното.

30:04↗екзекютваме самия, активираме го и

30:06↗започваме да наблюдаваме

30:09↗какви действия върши, какъв е неговият

30:11↗behвиър и най-доброто

30:15↗The Best of Bol Worlds, както се казва,

30:17↗съответно е хибридният approach.

30:19↗Хибридният approach комбинира статичния

30:22↗и динамичният анализ. Най-често ни дава

30:25↗а найдобрият

30:27↗резултат. Аа сега ще видите, ние ще

30:31↗направим точно това. Първо малко statти

30:33↗анализ, малко dнаamic и съответно а това

30:36↗есенциално включва а и е резултат като

30:40↗хибриден апроoч. Описал съм тук преди

30:42↗малко споменах, помага на secюрити

30:44↗екипите да реагират бързо, да

30:46↗оптимизират своите detection rules и

30:49↗много важно, когато правите анализ на

30:52↗някой malware, правете го в изолирана

30:55↗или sandbox среда. Много хора съответно

31:00↗го правят на локални системи, дори и без

31:03↗да е изолирана среда, защото повечето

31:06↗sandbox среди а

31:09↗имат определен капацитет и по-добрите са

31:12↗платени. Аз ще ви покажа един безплатен

31:15↗метод, който може да използвате в своето

31:17↗ежедневие. Така че да, нека

31:19↗продължаваме.

31:21↗статичният анализ, както споменах,

31:24↗правим examмиination или така да кажем,

31:27↗разглеждаме файла детайлно, без да го

31:30↗активираме.

31:31↗Може да видим какви са различните

31:34↗метаданни, дали има вградени команди в

31:36↗него, digital signature, съответно

31:39↗структурата на един файл, а може да

31:42↗видим потенциално дали е акрипнат,

31:45↗encднат, дали е обускиран. Какво е

31:47↗представляваш? Всъщност това е метод,

31:50↗който представете си, имаме един скрипт,

31:52↗който е malicious, а и съответно той

31:56↗бива обскиран с различни команди, които

31:58↗не са в human readable формат. Тоест

32:00↗обикновеният потребител може да прочете,

32:02↗въпреки че системата ги разбира и ги

32:05↗екзекютва, обикновеният потребител не

32:07↗може да ги прочете. Сега ще видим как

32:10↗може да седва и да се деконват команди.

32:13↗А, но да, както споменах, това е така

32:18↗доста сейф метод, тъй като разбира се

32:20↗въобще не активираме маура, но има и

32:22↗своите лимитации, особено когато работим

32:25↗с офскиран maer, тъй като може да има

32:28↗няколко етапа наcation

32:31↗и съответно а лимитациите по някой път

32:35↗може да пропуснем behavър, който се

32:37↗вижда само и единствено при execution.

32:39↗Сега ще видим за какво точно имам

32:41↗предвид.

32:43↗Дал съм отдолу няколко така

32:45↗полезни инструменти, които може да

32:47↗използвате. P Studio и Exopi за файл

32:50↗инспекции.

32:52↗ГиIDRA и Pro са страхотни заверс

32:55↗engineering. Reverse engнерин е може би

32:57↗най-близкото, което може да използваме

32:59↗при статичен анализ, за да разберем как

33:01↗потенциално оперира един Malare. Ще

33:04↗видите как след малко може да използваме

33:06↗и AI асистентите в комбинация с гидра.

33:10↗Просто примери. Така че да.

33:12↗Virus Total. Страхотен инструмент в

33:14↗арсенала на един Security Expert. Бих

33:17↗казал, че това е

33:19↗един от най-популярните webbbas toлове

33:22↗за проверка на а наare. Дори може да не

33:27↗се лимитираме само до Maware като

33:30↗заплахи. Съответно може да са спис

33:32↗линкове, както споменахме малко по-рано

33:34↗в частта с фиishшинг мейлите. Може да се

33:37↗малиш с IP адреси и така нататък. Virus

33:39↗Total наистина е аа има страхотна

33:43↗функционалност. Има и така наречения

33:44↗Multiengine Engine detection. А дори в

33:47↗общия случай, ако говорим конкретно за

33:50↗Mare analт

33:51↗ни предоставя и така референс към вече

33:54↗готови sandbox превюта. Тоест

33:55↗представете си, ако има един mal, който

33:57↗е силно разпространен, вече има

33:59↗secюриity екипи, които са направили един

34:01↗sandbox, да речем, и а

34:04↗може да ни реферира към него. Както

34:07↗споменах и най-отдолу, разбира се,

34:09↗имайте предвид, че има лимитация

34:11↗статичният анализ, най-добре е да имаме

34:13↗хибриден approach.

34:16↗Динамичен анализ. Всъщност тук вече

34:18↗говорим за executionш или активация на

34:20↗самия.

34:22↗Какви са възможностите? Ами след като

34:24↗стартираме Maware, може да видим какви

34:26↗промени прави върху нашата система,

34:28↗върху системните регистри, а върху

34:31↗файловата система, модификации върху

34:33↗мрежата потенциално, нали, в по-редкия

34:36↗случаи, но не е изключено при advanced

34:38↗марите. Разбира се и network

34:41↗communications. Тоест какво значи това?

34:43↗Представете си, ако примерно, както

34:46↗говорихме и за Spyware, ако се опитва да

34:48↗се върже към коundтен and control

34:49↗сървър, това ако не активираме

34:53↗много е трудно да го спотнем със

34:54↗статичния анализ.

34:57↗А спомага за детектването на persistance

34:59↗механизмите, за които си говорихме.

35:01↗Тоест, ако маerъ е скрит във вашата

35:02↗система. Да видим ето тук за

35:06↗файлдропърите, които си говорихме. По

35:07↗същия начин, ако използваме динамичния

35:09↗анализ, а при активиране ще видим а има

35:13↗ли дроп на други файлове, какво точно се

35:15↗случва и съответно като при червеите

35:18↗говорихме за lateral movement, именно

35:20↗възможността да циркулира от система на

35:22↗система.

35:24↗Много полезни а инструменти. Отдолу съм

35:26↗листнал. Ще използваме някои от тях и в

35:29↗днешното демо. CIS Internals,

35:31↗разработено от Microsoft. Имате ги

35:34↗интегрирани във вашата система.

35:36↗Достъпват се от Networkshare. Ще покажа

35:38↗стъпка по стъпка как. Разбира се, тъй

35:40↗като ще ви предоставя и демото накрая, а

35:44↗голяма част от стъпките са описани в

35:46↗презентацията, за да може, ако ви е

35:48↗интересно, да анализирате и

35:49↗самостоятелно самия Maware. Да, нека се

35:52↗върнем към CIS Internals. Може да

35:54↗използваме прокon или така наречения

35:58↗монитор, накратко прокon

36:01↗да наблюдаваме а активността върху

36:05↗процеси. Тоест, специфично може да задем

36:08↗кой процес искаме да наблюдаваме, кой

36:10↗файл искаме да наблюдаваме, какви

36:12↗действия извършва. Ще видите как може да

36:15↗се хайлайтват. Всичко това ще направим с

36:16↗вас. И съответно потенциално, ако има

36:19↗някакви промени по регистъра, Proистина

36:22↗е страхотен л. Въпрос с Explorer, а ако

36:25↗мога така да се изразя, представете си

36:27↗един task manджър на стероиди. дори може

36:30↗да замените task manджъра с Process

36:32↗Explorer. Има го Buildin. Press Explorer

36:35↗обаче ни дава подобро overview, доста

36:38↗повече детайли, отколкото а стандартния

36:42↗task manджър. Може да го използваме а

36:44↗дори при prвенtion, тоест ако искаме да

36:46↗убием някой процес, целият целият трет,

36:49↗целият processт с всичките на практика

36:52↗функционалности, дори може да правим

36:54↗проверки интегрирано с Virus Total. Ще

36:56↗ви покажа как.

36:58↗И съответно тук отдолу съм листнал aut

37:01↗runs. Auto runs е страхотно. Ще го

37:03↗използваме. Много помага за откритието

37:05↗на persistance механизма.

37:08↗TCP view за съжаление днес няма да го

37:10↗разгледаме, тъй като нашият къстъм

37:11↗malware не е разработен да достъпва и да

37:15↗прави връзка, да речем, outbound

37:17↗connection към а remote access или

37:21↗command and control server. А, но ви

37:23↗съветвам, ако си имате работа с сериозен

37:26↗Maware, задължително използвате TCP,

37:29↗понеже ще ви даде много добър инсайт

37:32↗дали потенциално имате конекции, които

37:34↗са за Spees, така че да, определено си

37:36↗заслужава да го проверите.

37:39↗популярни Sandbox

37:41↗инструменти,

37:42↗може би най-популярните Any Run и J

37:45↗Sandbox.

37:47↗Ако остане време, ще разгледаме и двата

37:49↗инструмента, но съответно там а може да

37:53↗събмитнете

37:55↗файл хешаа

37:57↗и съответно, ако този малъ е бил рънван

38:00↗преди в sandbox environмента, ще

38:02↗получите цялостен репорт. Има дори и

38:05↗executтив репорти, има по-технически

38:06↗репорти, но определено ви препоръчвам да

38:09↗се запознаете добре с тези тулове, ако

38:11↗тепърва навлизате в Defensive Security.

38:15↗И динамичният анализ, както дискутирахме

38:17↗до момента, това е една а така да кажем

38:20↗real world infection, една симулация,

38:23↗която а когато активираме,

38:26↗може да видим в в Sandbox средата какво

38:28↗се случва, какви действия има и така

38:29↗нататък.

38:33↗Как може да използваме а изкусния

38:36↗интелект, когато или така наречените AI

38:40↗асистенти, когато правим анализ, също ще

38:43↗си поговорим а и за тяхната интеграция в

38:46↗secюity туловете.

38:48↗Какво е машиine learning? Ами на

38:50↗практика машиine learning моделите могат

38:53↗да засичат, нали конкретно за ако

38:56↗говорим за defensive security, могат да

38:58↗засичат от определени, да речем,

39:02↗семейства на Maware. А какво

39:04↗представлява, нали, според самата му

39:07↗характеристика. На практика AI работи с

39:10↗такъв тип машин модели, които ни помагат

39:13↗да разберем и ахевиъра на самия Maware,

39:16↗структурни така отличителни белези. А но

39:20↗освен, че го имаме като интегрирано в

39:23↗защитни системи, разбира се, ще

39:26↗разгледаме и днес примерните AI

39:28↗асистенти. Как може да използваме един

39:31↗AI асистент, за да свършим така добра

39:35↗добра работа, нещо, което потенциално

39:36↗може да пропуснем, ако самостоятелно

39:38↗работим. А

39:42↗AI асистентите, нали, освен тях имаме и

39:45↗изкуствен интелект като а

39:48↗характеристика, която може да бъде

39:49↗интегрирана и в модерните антивирусни

39:51↗решения или също така XDR и Sandbox

39:56↗платформи като Runy J Sandbox, както си

39:58↗говорихме, също имат така

40:01↗характеристика, която използва а

40:03↗изкуствен интелект. популярни асистенти.

40:07↗Отдолу съм листнал Microsoft Copilot for

40:09↗Security. Препоръчвам ви да го

40:10↗използвате, ако работите с Microsoft 365

40:13↗стака. Определено доста помага. Има така

40:16↗clear inside с продуктите на Microsoft.

40:19↗А нещо, което почти всички вече може би

40:22↗сме чували, чаat GPT. И съответно долу

40:25↗съм лиснал два асистента, които са

40:27↗директно интегрирани в Security системи

40:29↗като Elлаastic и сплънк.

40:32↗И съответно, както описах, такива

40:34↗асистенти могат да спомагат при анализа

40:36↗на Maware, но имайте предвид, че а не

40:40↗може да разчитате на 100% те да правят

40:43↗всичко вместо вас. Сега ще разгледаме и

40:45↗примери. Разбира се, днес освен Мауера,

40:47↗че ще имаме няколко така практически

40:49↗примера как може да използваме AI за

40:52↗MAER analys

40:55↗use кейсове.

40:57↗Може да попитаме е асистента да ни

40:59↗помогне

41:00↗да даде обяснение за потенциално, ако не

41:04↗знаем добре Power Shaell като скриптов

41:06↗език, ако имаме някакви команди, които

41:08↗извършват действие, може да опитаме

41:10↗асистента да ни даде добър експенеation

41:13↗какво правят потенциално.

41:15↗Може да ни помогне да декодваме

41:17↗скриптове. Представете си, имаме един

41:19↗encoded скрипт, който ние въобще не може

41:21↗да разчетем. Не е в human readable

41:23↗формат. може да деопфоскира скриптове и

41:26↗в последствие да ни обясни логиката на

41:28↗самия.

41:30↗А разбира се може да прави цялостен

41:33↗рисърч. Знаем, че AI агентите и

41:36↗асистентите имат така наречените

41:39↗large модели, които буквално за минути

41:43↗могат да а ви направят много дълбок

41:46↗resarch и анализ и съответно може да ги

41:49↗използвате също и а при конфигурацията

41:52↗на вашите secюрити тулове. Тоест може да

41:55↗опитете асистента да ви напише detection

41:57↗logic.

41:59↗Може да ера или Sigma detection rule,

42:02↗може да са regular expressions, може да

42:04↗е друг тип query language, който се

42:06↗използва доста CM toлове, но това също е

42:09↗доста полезно и както ви обещах, нали,

42:12↗тук съм дал за reverse engineering, ако

42:15↗ви е сложно да използвате плуве като

42:17↗гиid или съответно AI assistent може да

42:20↗ви даде така подходящи стъпки как да

42:22↗процедирате когато

42:25↗а се опитвате да направите цялостен

42:28↗ревърсен engine като част от вашия

42:30↗анализ.

42:32↗Сега нещо, което също е доста полезно,

42:34↗представете си, ако имате файл с 10 000

42:38↗реда код или примерно к файл, който има

42:41↗10-20 000 редатрита,

42:44↗със сигурност ръчно да го анализирате,

42:46↗ще ви отнеме адски много време. А ето

42:49↗тук AI асистентъ отново може много бързо

42:52↗да мине през този файл, да каже

42:54↗потенциално кое е malas, кое не е. Е,

42:57↗примерно тук има с пише слогове и да ви

42:59↗подготви готова документация, която да

43:00↗използвате. Но един съвет от мен,

43:04↗особено ако работите в Defensive

43:07↗Security, бъдете изключително

43:09↗внимателни, когато предоставяте сензитив

43:12↗данни, тоест ако предоставяте

43:14↗конфигурационни файлове за анализ или да

43:16↗речем логове, които са на вашата

43:19↗компания, недейте да ги предоставяте в

43:21↗директен формат, защото може да има

43:24↗потенциално чувствителна информация

43:26↗катоing convншъ на системи, вътрешни IP

43:29↗адреси, дори особено Ако говорим за

43:32↗конфигурационни файлове, просто

43:33↗замествайте тази чувствителна информация

43:35↗с така наречените плейсхолъри.

43:40↗Така, няколко съвета от мен как може да

43:42↗се защитавате от Myу и така основни

43:44↗стратегии.

43:46↗А разбира се, може би най-есенциалното е

43:50↗да използваме антивирусна система

43:53↗или така наречения те също protction

43:56↗solution, въпреки че естествено има

43:58↗голяма разлика между двете. А, но все

44:01↗пак целта е една да се защитим от

44:03↗Maware. Тук съм лист, а, може би

44:06↗по-скоро антивирусни системи, които са

44:09↗за Home Office. Windows Defender.

44:13↗Знам, че Windows Defender преди време

44:15↗имаше така доста лоша репутация. Може би

44:17↗повечето от вас сте запознати. А чували

44:20↗сте разте, че Windows Defender не

44:21↗работи, не върши добра а така работа, не

44:24↗се справя с засичането и блокирането на

44:27↗Maware, но бих казал, че вече не е това

44:29↗случаят, особено ако си ъпдейтвате

44:31↗операционната система. постоянно излиза

44:33↗securриity ъпдейти и така

44:34↗функционалности на Defender. Бих казал,

44:36↗че Home Defender а като а Solution,

44:40↗който не е enterprise, наистина се

44:42↗справя добре със засичането на такива

44:45↗системи,

44:47↗които аа на практика

44:50↗много хора съм виждал да изключват

44:52↗Defender, казват той деградира

44:54↗перформанса на моята система. Той нищо

44:56↗не прави и без това. Повярвайте ми, има

44:59↗наистина значение дали ще използвате

45:01↗Defender или не във вашия home Office. А

45:04↗лиснал съм и Mytes. Аз лично го

45:06↗харесвам. Наистина е доста така

45:09↗наречената reputable антивирусна

45:10↗система, защото а добра репутация има.

45:13↗Защо? Ами на практика аз използвам Bй за

45:16↗сканиране на на файловете.

45:20↗Не го използвам активно като агент,

45:22↗който в реално време да следи моята

45:24↗система, но по-скоро го използвам като

45:26↗допълнителен, така като third party

45:28↗tool, който ми помага за да защитя моята

45:33↗система. И също така съм лиснал и Bit

45:35↗Defender. Просто няколко примера, които

45:36↗може да да ресърчнете, ако имате интерес

45:40↗да се защитите с антивирусна система.

45:43↗Разбира се, като точка съм лист и това,

45:45↗което ви казах и по-рано. Важно е да

45:48↗пачваме нашите системи. Правете ъпдейти.

45:51↗Особено важни така securриity ъпдейти.

45:54↗Често виждаме в нтрprise среда системни

45:56↗администратори. А на практика

46:01↗също така софтуер девелопъри не пачват

46:05↗своите системи, защото потенциално това

46:06↗може да счупи функционалността, а може

46:10↗да спре да работи конфигурацията

46:11↗адекватно на новата версия. Може да се

46:13↗наложи така да им отвори допълнително

46:15↗часове работа.

46:17↗Но това, ако стане един навик да не

46:19↗пачваме редовно, изведнъж може да се

46:21↗окаже, че от дори не може да направим

46:24↗един стандартен пач, ами трябва да

46:26↗правим така цели миграции. Така че

46:28↗определено моят съвет е пачвайте

46:30↗редовно. Естествено а на така secюрити

46:34↗аа одобрени версии, разбира се, а вече

46:38↗пачването за пета версия е съвсем съвсем

46:41↗друго нещо.

46:43↗А много е важно да използваме principle

46:46↗of list privilege. Какво е това? Ами

46:48↗представете си, ако ние използваме

46:51↗просто нашата система за стандартни

46:54↗user операции, няма нужда да използваме

46:56↗администраторски акаунт. Използвайте

46:58↗обикновени потребителски акаунти, тоест

47:01↗лимитирайте административните права.

47:04↗Повярвайте ми, един Maer, който да

47:05↗речем, ще използва вашия обикновен

47:07↗потребителски акаунт, за да извършва

47:10↗някакви действия. На практика, ако имате

47:13↗лимитирани права, доста голяма част от

47:15↗вратите ще бъдат затворени за за този.

47:18↗Така че ето ви един добър пример за

47:21↗сегментацията на мрежата. Вече

47:22↗дискутирахме аа това, което ви съветвам

47:26↗така има за Home Office не бих казал, че

47:28↗е аа толкова

47:32↗iacable, въпреки че така и доста

47:34↗secюрити експерти го правят в Homeo

47:35↗оice, но може да използвате така

47:37↗наречените файли. Тези защитни стени

47:39↗дори по някой път са интегрирани в а

47:43↗рутер устройствата, които имате и вкъщи,

47:44↗но защитните стени Firew са изключително

47:47↗важни за enterprise организациите, тъй

47:50↗като а имат така наречените

47:55↗intrusion prвеншъ системи, intrusion

47:56↗detection, така че защитните стени са

47:59↗нещо страхотно, не трябва въобще да

48:01↗бъдат неглежирани и могат да ни помогнат

48:03↗и за сегментирането на мрежата

48:05↗определено с access листи и така

48:07↗нататък.

48:08↗правете чести backкъпи и освен да

48:11↗правите бекъпите, също тествайте така

48:14↗наречените recovery plans. Ето като

48:16↗пример, ако е вашата система бъде

48:18↗криптирана, тоест вие ако имате backъup

48:20↗на цялата система, който да речем вчера

48:22↗сте направили backupъп и днес вашата

48:24↗система се криптира, не е нужно да

48:26↗плащате рансъм, да речем, от $10 000 на

48:30↗някой хакер, за да си възстановите

48:32↗файловете. Естествено, те най-вероятно

48:34↗вече са откраднати, но това, което може

48:36↗да направите е да възвърнете вашата

48:39↗система с recъри план от Backup. Така че

48:42↗определено това е нещо, което се прави

48:44↗от големите организации. Предполагам сте

48:46↗чували за backъup сървъри, а които така

48:49↗са извън извън мрежата, нали, не са

48:52↗достъпни публично. Дори и някой да влезе

48:54↗в самия домейн, трудно може да достъпи

48:56↗backup сървър, но а това е в в така

49:01↗пованс ситуациите. В общия случай backup

49:03↗сървърите си правят regular backups, но

49:06↗да, това е така поексивна тема. А както

49:10↗си говорихме за фишинг, важно е да

49:14↗големите организации да обучават своите

49:16↗юзъри

49:18↗какво е Fish Mail, как да го

49:20↗разпознават, как да а на практика да

49:24↗проверят потенциално дали линкът, който

49:27↗е изпратен към тях, е валиден, дали е

49:29↗malousс и съответно тук съм го нарекъл

49:32↗атачмент hygen, именно да не отваряме

49:37↗прикачени файлове, които не разпознава

49:39↗Тоест, ако някой ни изпрати архив, който

49:43↗има странно име или е от подател, който

49:46↗ние не познаваме, няма нужда да го

49:47↗сваляме нашата система, а и съответно да

49:51↗го активираме. Това потенциално може да

49:52↗е. Следваща точка, двуфакторно

49:55↗удостоверяване. Какво е това? Все още на

49:57↗английски се нарича Multifaactor

49:59↗authentication.

50:01↗може да се ползва за

50:04↗всички ваши акаунти. Вече всички така

50:06↗модерни платформи, които имат добър

50:08↗security posture, на практика използват

50:10↗mulтифактор autuentication. По същия

50:13↗начин и за отдалечен достъп, за remote

50:16↗access feature също е хубаво да имате

50:19↗MFA, защото представете си дори някой

50:22↗мар да успее да открадне вашите данни,

50:25↗тоест usзърнейма парола, дори аз да знам

50:28↗вашата парола и да се опитам да вляза

50:30↗във вашия акаунт, аз няма да мога да

50:32↗премина през факталното удоставяване,

50:34↗тъй като вие ще получите, да речем, код

50:36↗на вашия телефон или да речем това може

50:38↗да е друг external ail адрес и така

50:41↗нататък. А дори и да откраднат вашите

50:44↗данни, трудно могат да достъпят вашия

50:45↗акаунт. Наистина двуфакторното

50:47↗удостоверяване е нещо, което според мен

50:49↗всеки трябва да използва. И а също съм

50:52↗дал като последна точка, да. А вече това

50:56↗е малко повече а откъм конфигурационна

50:59↗гледна точка, но разбира се да

51:01↗премахнете така фичъри и

51:03↗функционалността, която не използвате на

51:06↗практика често на вашата система. Да

51:08↗речем, няма нужда, ако

51:11↗да имате aut run за USB устройства. Ако

51:13↗пъхнете USB устройство, директно да се

51:15↗активира и съответно а представете си,

51:18↗ако е заразено USB устройството, ако

51:20↗имате адекватен secюрити контрол

51:23↗ще се предпазите от това да бъдете

51:25↗инфектирани отware.

51:29↗Така, ще си поговорим малко и за

51:31↗Security мониitърин. Аа като цяло а real

51:34↗time мониторинг на системи, аа какви са

51:38↗възможностите, real time detection и а

51:41↗нека продължим с така наречените CM

51:44↗системи.

51:46↗Аа Security Information and event

51:48↗managм. Какво е това? Представете си го

51:50↗като един tool, който има за цел да

51:52↗централизира

51:54↗всички securюity евенти, логове от

51:57↗endpint системи. Тоест това са

51:59↗workкstationшъ, нали, на практика сървър

52:02↗системи, firewall. Аа стандартно това е

52:05↗едно място, където се събират, се

52:07↗централизират всички логове. След това

52:10↗може да има така възможността да направи

52:13↗кореelation и според тези логове, които

52:17↗са събрани, може вече да започнем да

52:19↗конфигурираме secюрити системата и да

52:23↗имаме така наречените detection rules,

52:25↗нали, вече всичко зависи от това какъв

52:29↗CM tool използваме, но идеята на всички

52:32↗CM тулове е да ни предоставят на нас, на

52:35↗secюрити екипите като цяло да А имаме

52:39↗добро overvw за secюрити постъра на

52:41↗компанията. Естествено може да

52:43↗получаваме алеърти и secюриity инциденти

52:46↗базирано на това какви логове има.

52:49↗Тоест, ако имаме malлиша, да речем,

52:52↗firewallът е засякал, че имаме така

52:55↗спайк на Outbound conneнеctions към IP

52:58↗адрес, който е класифициран като

53:00↗зловреден, като malas без проблем CM

53:03↗системата това може да го засече и да

53:05↗генерира един алърт и да каже това е

53:07↗нещо, което трябва да бъде разгледано.

53:10↗А,

53:12↗разбира се, освен логовете има така

53:15↗някои интегрирани фичъри, тоест beavър,

53:19↗да речем, който е свързан с

53:21↗аномалии. Тоест, представете си, ако в

53:24↗даден период от време имаме спайк

53:26↗налогове, както давахме пример с

53:28↗фаволите. Потенциално, ако имаме акаунт,

53:32↗който се опитва да бъде достъпен 100

53:34↗пъти от а някаква непозната страна, това

53:38↗може да е вид аномалия, нали, съответно,

53:40↗но всичко зависи от това как сме

53:42↗конфигурирали самата система и какви

53:44↗детекш рулове сме аа сме enйбълнали

53:48↗върху самия CM. Дал съм примерни

53:51↗платформи,

53:52↗аа много популярни. Сплънк бих казал, че

53:57↗се използва в поenterprise а големи

54:00↗организации, съответно Microsoft

54:02↗Sentinel и Elлаastic. Често имаме

54:06↗интеграция на трети intтеelligence

54:08↗фийдове, тоест на практика може да

54:11↗екстрактваме тези indicators of

54:13↗compromise от third party source, както

54:15↗си говорихме преди малко. Дори някои

54:19↗CM системи и IDR системи може да имат

54:23↗интегрирани totalл. като трет Intel Fed.

54:26↗Така че а това е нещо, което го има като

54:29↗функционалност. Разбира се, дашбордите

54:32↗нещо неизменима част от CM системите. На

54:34↗практика това са, представете си, като

54:37↗една визуализация, която а позволява на

54:40↗secюрити екипите да наблюдават дали има

54:43↗fa login attтеs, дали има някакъв

54:46↗malлиша трафик и потенциално отново, ако

54:49↗видим някакъв спайк, тоест а ако нещо

54:53↗нередно се случва, а секюрити екипите

54:57↗могат да започнат оттам да инвестират,

54:59↗да разглеждат алеърти, инциденти и така

55:01↗нататък.

55:03↗R системи. Какво са това? Ами на

55:06↗практика endp detection and response. В

55:08↗името си се разясняват някои

55:11↗характеристики, но да, отново имаме real

55:13↗time мониторинг, само че тук конкретно

55:16↗имаме агенти, които се инсталират на

55:19↗различните системи, а workstation,

55:22↗сървъри и така нататък. И в реално

55:24↗времеът може да прави освен detection и

55:28↗response actions. Тоест представете си,

55:30↗че се блокират а

55:34↗файлове, които са засечени като, тоест

55:36↗не е нужно ние ръчно да отидем да

55:38↗блокираме нещо, да карантинираме, да

55:40↗изтрием. На практика системата го има

55:44↗като функционалност. Може да ни

55:45↗предоставя информация за коline

55:47↗аргументи. Може да имаме детайлно view

55:50↗на целия process 3, тоест кой процес кой

55:53↗е спаунал. Съответно допълнително да

55:56↗съберем повече информация. Може да ни

55:58↗предоставя други данни за файловете като

56:01↗ш като digital signature и и много други

56:06↗и успек и съответно има възможността да

56:10↗засича и така наречените suspicious

56:12↗patterns. Може да е свързано със script

56:14↗injection, living of the land binaries

56:17↗на практика. кражба на данни. Тоест, ако

56:20↗вашата парола бъде лийкната, да речем,

56:22↗потенциално някой малъри е откраднал и

56:25↗това може да го засече и да вдигне

56:27↗secюрити инцидент.

56:30↗Solar това е така

56:33↗бих казал, че е покъм automated

56:35↗response. Съответно security

56:37↗orchestration automation and response.

56:39↗На практика представете си, ако имате

56:42↗US, в който 20 акаунта във вашата среда

56:47↗са компроментирани, тоест някой се

56:49↗опитва да да влезе в тях, имат съответно

56:51↗паролите.

56:53↗Ако един обикновен securюти експерт сам

56:56↗седне да дийлблва тези акаунти един по

56:59↗един, това ще отнеме доста време. Но тук

57:01↗в този случай Solar може да ни помогне

57:03↗при правилна конфигурация а да

57:06↗дисейблънем тези акаунти буквално за

57:08↗секунди. По същия начин може да се

57:10↗блокират потенциално малиша с IP адреси,

57:13↗без да се наложи ние автоматично аа да

57:16↗ги блокираме, нали? Тоест ние ръчно да

57:18↗ги блокираме, имам предвид. Съответно

57:21↗това може да е вързано и към тези

57:22↗tradтелиelligence фидове, за които си

57:24↗говорихме. Представете си, получават

57:26↗един бач с 20 IP адреса, които са malas,

57:30↗вместо ние да се качваме на Firla, да ги

57:32↗блокираме оттам или да ги блокираме

57:34↗върху примерно върху IDR системата, а

57:38↗Solar като функционалност може да прави

57:40↗това вместо нас. Просто наистина откъм

57:43↗automated response handling е доста

57:45↗полезно. Тук също съм описал да

57:47↗оптимизира инциденти и така нареченият

57:49↗alert fatig, тоест ако имате 20, 30, 40,

57:53↗50 fse positive инцидента, просто давам

57:55↗такива големи числа, защото сами трудно

57:58↗ще се справим с такова количество,

58:00↗докато тази automated функционалност

58:02↗може да ни помогне много.

58:05↗Имаме листти няколко популярни DR XDR

58:07↗solution. Microsoft Defender XDR, както

58:10↗споменах, наистина не подценявайте

58:12↗Defender, особено в

58:15↗EDR XDR

58:17↗формата. Съответно използва се от много

58:19↗enterprise компании. Crowd Strike,

58:22↗Falcon XDR, Power Auto Cortex XDR. А на

58:26↗практика са все добри Solution и така

58:29↗популярни, които може да да ресърчнете.

58:31↗И отдолу съм дал така една като рецепта,

58:34↗нали, може би формула за модерна сок

58:36↗конфигурация.

58:38↗Ако използваме CM Solution, EDR и

58:43↗Automated Responsive handling, на

58:44↗практика

58:46↗може да сме по-спокойни, че сме добре

58:48↗защитени. Нашият secюриity постчер е

58:50↗наистина добър.

58:54↗Преди да продължим с практическата част,

58:57↗демо частта, а нека разгледаме един

59:00↗пример за CM Solution. А това е самият

59:02↗интерфейс. Имаме Microsoft Sentinel.

59:05↗Няма да минаваме в детайли от лявата

59:07↗част. Просто искам да ви дам така едно

59:10↗визуално overvw. Имаме отделни секции.

59:12↗General trad, content manм

59:15↗конфигурацията, нали, откъдето се правят

59:16↗настройките.

59:18↗А селектирали сме инцидентите, нещо,

59:21↗което е така по-интересно, предполагам и

59:23↗за всички.

59:25↗Имаме съответно и различните

59:27↗характеристики като какво северите имат

59:29↗на практика, какъв ейтъла като detection

59:33↗source,

59:34↗какъв е съответно severityто. Конкретно

59:37↗в Sentinel може да бъде informational,

59:39↗тоест може да имате informational alert

59:42↗или incident, low, medium и high. Като

59:45↗high естествено са най-приоритетните.

59:47↗Още от самото заглавие може да разберете

59:49↗потенциално за какво става на въпрос.

59:51↗След тук имаме authentication methods

59:52↗changed for privileged accounts. Тоест,

59:55↗както си говорихме за двуфакторното

59:57↗удостоверяване, имаме privileged акаунт,

59:59↗който потенциално му е сменен метода.

1:00:02↗Това е нещо, което със сигурност трябва

1:00:03↗да инвестираме, да анализираме, да сме

1:00:05↗сигурни, че а някой хакер не се опитва

1:00:09↗да а открадне прилич акаунта.

1:00:14↗И сега стигнахме до нашето live демоo,

1:00:18↗като тук, както ви споменах, този няма

1:00:21↗да разглеждаме стандартен Maware, който

1:00:24↗да речем може да намерите а

1:00:28↗в други статии, блокпостове, нали. Тук

1:00:31↗по-скоро имаме къстъм MO, който съм

1:00:33↗подготвил специално за нашия семинар.

1:00:36↗Съответно ще направим един статичен

1:00:38↗анализ, един динамичен анализ. Той ще го

1:00:40↗ръннем. Ние още от самото начало ще го

1:00:43↗ръннем, за да видим какво прави. Вече ще

1:00:45↗започнем с статичния и динамичния

1:00:47↗анализ. И на практика ще имаме един

1:00:48↗пълен hybrid approach. Дори ще

1:00:50↗използваме AI assistant, да ни помодне с

1:00:54↗така някои някои стъпки.

1:00:59↗Така,

1:01:01↗кратка а така кратки точки, които ще

1:01:05↗следваме. Ще видите симулирана атака

1:01:07↗чрез пфнат fishing email.

1:01:10↗А ще видите как инфектираме нашата

1:01:13↗система сware, нали? Сваляме го,

1:01:15↗активираме го. Съответно имаме аrctтив,

1:01:20↗който трие нашите важни файлове.

1:01:22↗Съответно има и persistance механизъм.

1:01:25↗Ще го инвестираме, ще направим така

1:01:27↗decoldдинг. Ще използваме Sis Internals

1:01:30↗и Powershell.

1:01:32↗И нека да започваме.

1:01:34↗А преди това всъщност какво е SIS

1:01:36↗internals? Вече си поговорихме.

1:01:38↗Разработено е от Microsoft. Това са

1:01:40↗тулове, които може да използвате,

1:01:43↗а да разглеждате активни процеси, а

1:01:46↗както ви споменах и от ProMone, и от

1:01:48↗Process Explorer. А така че това вече го

1:01:51↗покрихме. А за Power Shell това е build

1:01:53↗scриpt of език в Windows операционната

1:01:56↗система.

1:01:57↗Освен, че може да се използва за

1:01:59↗defensive security, тоест както ние ще

1:02:00↗го използваме за анализ, примерно да

1:02:04↗да извлечем някои важни данни за файла,

1:02:07↗имайте предвид, че често това се

1:02:09↗експлойтва и от и от атакерите, тоест

1:02:12↗могат да използват механизма за living

1:02:14↗of the land, както си говорихме за

1:02:16↗Living of the Land binaries, тоест

1:02:17↗използват валидни инструменти и процеси

1:02:21↗за операционната система, за да се

1:02:23↗прикриват от антивирусните решения и

1:02:26↗съответно да не бъдат засечени. Може да

1:02:29↗бъдат използвани за filware,

1:02:31↗persistance, lateral movement и така

1:02:32↗нататък.

1:02:35↗Така,

1:02:41↗ще започнем

1:02:44↗като аа да речем, аз съм един стандартен

1:02:47↗а потребител, който първоначално нямам

1:02:50↗си представа от secкюрити, дори

1:02:52↗използвам AB поща.

1:02:55↗Съветвам ви в реалния живот не

1:02:56↗използвайте AB. Като алтернативи може да

1:02:59↗използвате прон Mail, Gmail. Като цяло

1:03:01↗се старайте да използвате винаги аа

1:03:06↗различни апликации и решения, които имат

1:03:08↗а добри secюрити контроли. Със сигурност

1:03:11↗доста по-сей е да използвате Gmail и

1:03:13↗Proton Mail, отколкото ABV. Но за нашата

1:03:16↗цел а ние искаме да се инфектираме

1:03:18↗всъщност с Malare. Така че ето

1:03:20↗използваме.

1:03:22↗Изглежда съм получил мейл, който е от

1:03:25↗Softни demo екипа и като заглавие

1:03:28↗виждам, че ще ни дадат така безплатни

1:03:30↗софтуерни кредити за курсове. Това така

1:03:32↗изглежда доста привлекателно. Отваряме

1:03:35↗мейла

1:03:37↗и започвам да го разглеждаме. Съответно

1:03:39↗виждам, че от soft и demo екипа.

1:03:42↗Искам да обърне внимание, че а изглежда

1:03:46↗е легитимен имейл, защото виждате има и

1:03:49↗софтуни домейна на практика. Демота имат

1:03:52↗software.bg.

1:03:54↗Видяхте в другия пример имахме нула

1:03:57↗вместо О, но тук изглежда а имаме си

1:04:01↗нали легитимен домейн. Имаме прикачен

1:04:04↗файл, който се казва soft demo. Изглежда

1:04:07↗обещаващо.

1:04:09↗Съответно имаме подпис на софtтуни

1:04:11↗екипа. Дори виждам отдолу, че а е

1:04:14↗листнат уебсайт,

1:04:16↗който изглежда това си е стандартният

1:04:19↗софt уни сайт. На първо четене няма от

1:04:22↗какво да се притесняваме. Така че

1:04:24↗виждаме, че искат да ни предоставят

1:04:25↗безплатни кредити за курсове. Ако

1:04:27↗изгледаме следното демо,

1:04:30↗а защитено е със следната парола 1 2 3 4

1:04:34↗доста базова и съответно след това

1:04:37↗трябва да изпрати имейл и така нататък.

1:04:39↗Като цяло изглежда нали валидно на първо

1:04:42↗четене.

1:04:44↗Нека да свалим този атачмент.

1:04:48↗Съответно ще го отворим.

1:04:52↗И отиваме на нашия десктоп.

1:04:57↗Въвеждам паролата. Спомняме си 1 2 3 4

1:05:01↗и ето го демото. Окей, слагаме го тук.

1:05:06↗Има си иконка на Softare University и

1:05:08↗всичко изглежда наред до момента. Преди

1:05:10↗да активирам съответно демото, искам да

1:05:14↗ви покажа ето на десктопа имам така

1:05:16↗няколко важни за мен документи с

1:05:18↗примерно с акаунтите ми, нали, с

1:05:21↗паролите ми. Съответно ето secюрити

1:05:24↗кодове от банката като цяло, ето email

1:05:27↗credentials, неща, които за мен са

1:05:28↗изключително важни

1:05:31↗и

1:05:32↗ги имам на своя десктоп. Така че да,

1:05:34↗нека да пуснем демото всъщност, да видим

1:05:36↗какво се случва.

1:05:43↗Това, което забелязвам веднага, е, че

1:05:46↗изскачат някакви прозорци, които ни

1:05:48↗казват, че сме били хакнати на практика.

1:05:51↗Тук дори в малък шрифт се вижда, че

1:05:53↗важните документи, които сме имали, са

1:05:55↗били изтрити. И ако се върнем към

1:05:58↗десктопа, всъщност наистина виждам, че

1:06:00↗моите документи ги няма. А дори ако

1:06:03↗вляза в кошчето, то е празно, няма да

1:06:06↗мога да ги възстановя.

1:06:08↗Така че ето как чрез един фиishнг имейл

1:06:11↗може да се заразите, нали, съответно

1:06:14↗прочитате навсякъде всичко изглежда

1:06:16↗легитимно, а и без да инвестираме на

1:06:21↗практика да разгледаме малко по-отблизо

1:06:23↗файла, просто го рънахме и загубихме

1:06:24↗своите важни файлове. Така че ето ви а

1:06:27↗най-честият метод на разпространение.

1:06:30↗Окей. Ами сега нека пък да го разгледаме

1:06:33↗от defensive Security перспектива.

1:06:35↗Тоест, вече ще започнем със самия

1:06:37↗анализ.

1:06:39↗Както споменах, ще ви бъде предоставено

1:06:42↗това демо, ако някому е интересно да

1:06:46↗следва така всички стъпки, за да го

1:06:48↗анализира. Ще ви покажа а ще използваме

1:06:52↗sis internals, Power Shell за static

1:06:54↗Dynamic analy и така, нека да започваме.

1:06:58↗Ще си отворя един

1:07:01↗PowerShell пром тук малко ще зумна, за

1:07:03↗да се вижда по-добре.

1:07:06↗Мисля, че така се вижда. Окей.

1:07:09↗Съответно ще отида в desktop

1:07:12↗директорията, където е самият

1:07:17↗и ще използвам един tool, който се казва

1:07:20↗strings. Отново на SIS internals, нали?

1:07:23↗Съответнокваме

1:07:25↗го по следния начин. Сега по принцип

1:07:27↗може да достъпите и SIS Internals чрез

1:07:30↗Web browser браузъer. Тоест, ако ние

1:07:31↗напишем live.com

1:07:33↗com. Ето оттук също може да го

1:07:36↗достъпите. Имате опцията да го достъпите

1:07:39↗директно и през File Explorer тоест нали

1:07:42↗като Network Share

1:07:44↗по този начин.

1:07:54↗Това отнема малко време, но да, това

1:07:55↗всъщност е единия от методите.

1:07:59↗А,

1:08:01↗но сега това, което ние ще направим

1:08:02↗директно през Power Shell, ще invнем

1:08:05↗string dx и съответно ще изберем демото

1:08:09↗и а ще се опитаме със strings да

1:08:13↗екстрактнем това, каквото се съдържа в

1:08:16↗самия executable. Потенциално може да е

1:08:18↗срипt. Сега ще видим какво е точно.

1:08:20↗Окей, нека да започнем.

1:08:23↗Така, започваме с live.c CC Internals

1:08:27↗директно може после от презентация също

1:08:30↗да копирате и командите, когато вие

1:08:31↗работите с с тези toлове. Съответно в

1:08:35↗нашия случай ще използваме strings.txy.

1:08:38↗Избирам

1:08:39↗софто ни demo

1:08:42↗и искам в maware contents. Може директно

1:08:47↗текстов файл. Може тук да направим

1:08:49↗предикшъ. Потенциално това може да е

1:08:50↗срипt. А от действията предполагаме, че

1:08:53↗е скрипт. може директно да му дадем PS1

1:08:56↗като extensшъ за Power Shell и съответно

1:09:00↗цъкаме Enter, изчакваме,

1:09:04↗правим една проверка и виждаме

1:09:06↗contents.ps1.

1:09:09↗Окей, нека да видим какво успяхме да

1:09:11↗екстрактнем.

1:09:14↗Може да използвате а

1:09:18↗някое ID, например Visual Studio, да го

1:09:21↗прегледате. Може директно в Power Shell

1:09:23↗да го прегледате, може дори и с базов

1:09:25↗Notepad просто, а нали ето така това е

1:09:28↗методът през през Power Shell. Може и с

1:09:31↗douбъл клик директно в Nepad, но а

1:09:33↗понеже има и по-добър color coding, ще

1:09:36↗го отворим с Visual Studio Code.