The Binary Hiding in Your Registry: Cracking Windows UCPD's Dynamic Rules

Bài viết bắt đầu bằng việc mô tả cách các tác nhân độc hại lợi dụng các khóa registry Windows để ẩn nhị phân và tránh phát hiện bởi các giải pháp bảo mật truyền thống. Họ tập trung vào cơ chế UCPD (User Configuration Policy Data) của Windows, nơi các quy tắc động được tải từ registry và áp dụng cho các quy trình khởi động. Sử dụng Binary Ninja – nền tảng đảo ngược hiện đại có trình giải mã có thể mở rộng và script – tác giả phân tích cách UCPD giải thích các giá trị registry và tạo ra các quy tắc thực thi ở thời gian chạy. Kết quả cho thấy, bằng cách chỉnh sửa cụ thể các giá trị binary trong các khóa UCPD, kẻ tấn công có thể đưa mã độc vào luồng thực thi mà không kích hoạt cảnh báo của phần mềm diệt virus. Từ đó, bài viết khuyên các đội bảo mật nên giám sát thay đổi registry liên quan đến UCPD, tích hợp các công cụ scriptable như Binary Ninja vào quy trình phân tích amenaza và xây dựng các quy tắc phát hiện dựa trên hành vi thay đổi giá trị binary.