Malware প্রতিরক্ষা — ধরন, আচরণ আর detection

১ · Malware কী, আর কেন একে রক্ষকের চোখে দেখব

ধরুন একটি অফিসের হিসাবরক্ষক সকালে email খুললেন। সংযুক্ত ফাইলের নাম “বকেয়া বিল”. তিনি ক্লিক করলেন, কিছুই ঘটল না। দুপুরে IT দলের কাছে একটি সতর্কবার্তা এলো। ওই কম্পিউটার অচেনা একটি domain-এর সাথে কথা বলছে। এই ছোট গল্পে ভয় পাওয়ার চেয়ে প্রশ্ন করা বেশি কাজের। ফাইলটি কী ছিল? কোন বাধা কাজ করেছে, কোনটি করেনি? এখন কী করা উচিত?

Malware শব্দটি এসেছে malicious software থেকে। NIST SP 800-83 (২০১৩)-এর ভাষায় মোটামুটি অর্থ হলো: গোপনে কোনো system-এ ঢোকানো এমন প্রোগ্রাম, যার উদ্দেশ্য ডেটা, application বা operating system-এর confidentiality, integrity বা availability নষ্ট করা। অর্থাৎ CIA triad-এর ওপর আঘাত। ভুল করে লেখা bug malware নয়, কারণ সেখানে ক্ষতির উদ্দেশ্য নেই। উদ্দেশ্যই এখানে মূল পার্থক্য।

২ · ধরনের মানচিত্র — কীভাবে ছড়ায়, কী করতে চায়

Malware-এর নাম শুনলে নতুনরা সবকিছুকে “virus” বলেন। রক্ষকের জন্য দুটি আলাদা অক্ষে ভাবা বেশি কাজের। প্রথম অক্ষ: কীভাবে ছড়ায়। দ্বিতীয় অক্ষ: ঢোকার পর কী করে। একটি বাস্তব নমুনা একসাথে কয়েকটি ঘরে পড়তে পারে। যেমন একটি worm নিজে ছড়ায়, আবার ransomware-এর কাজও করতে পারে।

৩ · ঢোকার পথ — আর প্রতিটি পথে কোন বাধা

হাজারো malware থাকলেও ঢোকার পথ অল্প কয়েকটি। বাড়ির কথা ভাবুন। চোর হাজার রকম হতে পারে, কিন্তু দরজা, জানালা আর ছাদ গোনা যায়। তাই রক্ষকের প্রথম কাজ পথগুলোর হিসাব রাখা। এটি পর্ব ৫-এর kill chain ভাবনার একটি ব্যবহারিক রূপ।

এবার পুরো পথটিকে এক ছবিতে দেখি। প্রতিটি ধাপের একদিকে থাকে আটকানোর ব্যবস্থা, আরেকদিকে দেখার ব্যবস্থা। একটি ব্যর্থ হলে পরেরটি ধরবে, এটিই defense in depth.

নিচের গল্পটি কাল্পনিক, আর শুধু ধারণার জন্য। শুরুর হিসাবরক্ষকের ক্লিক থেকে যন্ত্র আলাদা করা পর্যন্ত প্রতিটি control কোথায় কাজ করল, দেখুন। খেয়াল করুন, প্রথম কয়েকটি বাধা পার হওয়া মানেই হার নয়।

একটি প্রতিষ্ঠান নিজের অবস্থা কীভাবে মাপবে? প্রতিটি পথের জন্য অন্তত একটি প্রতিরোধ আর একটি detection চালু আছে কি না, তালিকা করে দেখুন। নিচের ছোট simulator একটি কাল্পনিক অফিসের হিসাব করে। enabled তালিকা বদলে আবার চালিয়ে দেখুন।

// Entry route to control coverage for a fictional office. All data is made up.
const enabled = new Set(['mail-filter', 'phishing-mfa', 'auto-patch',
  'edr', 'usb-block', 'download-reputation']);
const routes = {
  'phishing':   { prevent: ['mail-filter', 'phishing-mfa'], detect: ['edr'] },
  'download':   { prevent: ['download-reputation', 'app-allowlist'], detect: ['edr'] },
  'exploit':    { prevent: ['auto-patch', 'segmentation'], detect: ['ids'] },
  'usb':        { prevent: ['usb-block'], detect: ['edr'] },
  'supply':     { prevent: ['dependency-review', 'update-signing'], detect: ['egress-log'] },
};
let gaps = 0, covered = 0;
for (const [route, c] of Object.entries(routes)) {
  const p = c.prevent.filter(x => enabled.has(x));
  const d = c.detect.filter(x => enabled.has(x));
  const missing = [...c.prevent, ...c.detect].filter(x => !enabled.has(x));
  let status = 'OK';
  if (p.length === 0 && d.length === 0) status = 'GAP: nothing';
  else if (p.length === 0) status = 'WEAK: no prevention';
  else if (d.length === 0) status = 'WEAK: no detection';
  if (status === 'OK') covered++; else gaps++;
  console.log(route.padEnd(9), `prevent ${p.length}/${c.prevent.length}`,
    `detect ${d.length}/${c.detect.length}`, status);
  if (missing.length) console.log('          missing:', missing.join(', '));
}
const pct = Math.round(100 * covered / (covered + gaps));
console.log(`routes with both layers: ${covered}/${covered + gaps} (${pct}%)`);

phishing  prevent 2/2 detect 1/1 OK
download  prevent 1/2 detect 1/1 OK
          missing: app-allowlist
exploit   prevent 1/2 detect 0/1 WEAK: no detection
          missing: segmentation, ids
usb       prevent 1/1 detect 1/1 OK
supply    prevent 0/2 detect 0/1 GAP: nothing
          missing: dependency-review, update-signing, egress-log
routes with both layers: 3/5 (60%)

৪ · আচরণের ভাষা — ATT&CK tactic আর telemetry

ফাইল এক রকম না হলেও আচরণের লক্ষ্য প্রায় একই থাকে। ঢুকতে হবে, চলতে হবে, টিকে থাকতে হবে, বাইরের সাথে কথা বলতে হবে, তারপর কাজ সারতে হবে। পর্ব ৫-এ দেখা MITRE ATT&CK এই লক্ষ্যগুলোকে tactic নামে ভাগ করে। ATT&CK v20-এ Enterprise-এর ১৫টি tactic আছে, যেখানে পুরোনো Defense Evasion ভেঙে Stealth আর Defense Impairment হয়েছে।

আর telemetry হলো যন্ত্র আর network থেকে আসা ঘটনার ধারাবাহিক তথ্য। Telemetry না থাকলে আচরণ ঘটে যায়, কিন্তু কেউ দেখে না। তাই প্রশ্নটি হলো: এই আচরণ হলে কোন log-এ তার ছাপ পড়বে?

৫ · Detection-এর ছয়টি পদ্ধতি

কোনো একটি পদ্ধতি একা যথেষ্ট নয়। একটি প্রশ্ন দিয়ে পদ্ধতিগুলো চিনুন: এটি কী দেখে? ফাইলের ভেতরের চিহ্ন, চলার সময়ের আচরণ, না ফাইলের সুনাম?

Signature — জানা জিনিস দ্রুত চেনা

Signature হলো জানা নমুনার একটি চিহ্ন: hash, byte-এর সারি বা বিশেষ লেখা। পুলিশের খাতায় থাকা ছবির সাথে মুখ মেলানোর মতো। এটি দ্রুত আর খুব কম ভুল করে, যদি চিহ্নটি ভালোভাবে বাছা হয়। সমস্যা একটাই, যা আগে দেখা হয়নি, তা ধরতে পারে না। নিচের খেলনা scanner-এ সব “ফাইল” আসলে সাধারণ string, আর marker-টি একেবারে ভুয়া।

// Toy signature scanner. The "files" are fake strings; nothing here is real malware.
const files = [
  { name: 'report.txt',  bad: false, body: 'quarterly sales summary for a corner shop' },
  { name: 'invoice.exe', bad: true,  body: 'fake program TOY-MARKER-AAA pretending to be a bill' },
  { name: 'setup.bin',   bad: true,  body: 'fake installer with TOY-MARKER-BBB inside' },
  { name: 'variant.exe', bad: true,  body: 'same fake program, marker changed: TOY-MARKER-AAB' },
  { name: 'training.md', bad: false, body: 'staff notes that quote TOY-MARKER-AAA as an example' },
];
const signatures = ['TOY-MARKER-AAA', 'TOY-MARKER-BBB'];

let tp = 0, fp = 0, fn = 0, tn = 0;
for (const f of files) {
  const hit = signatures.find(s => f.body.includes(s));
  const flagged = hit !== undefined;
  if (flagged && f.bad) tp++;
  else if (flagged) fp++;
  else if (f.bad) fn++;
  else tn++;
  const truth = f.bad ? 'bad  ' : 'clean';
  console.log(f.name.padEnd(12), truth, flagged ? 'FLAG ' + hit : 'pass');
}
const precision = tp / (tp + fp), recall = tp / (tp + fn);
console.log(`TP=${tp} FP=${fp} FN=${fn} TN=${tn}`);
console.log(`precision=${precision.toFixed(2)} recall=${recall.toFixed(2)}`);

report.txt   clean pass
invoice.exe  bad   FLAG TOY-MARKER-AAA
setup.bin    bad   FLAG TOY-MARKER-BBB
variant.exe  bad   pass
training.md  clean FLAG TOY-MARKER-AAA
TP=2 FP=1 FN=1 TN=1
precision=0.67 recall=0.67

YARA — রক্ষকের নিজের নিয়ম লেখার টুল

YARA একটি খোলা নিয়মের ভাষা। এতে লেখা বা byte-এর নকশা আর একটি শর্ত দিয়ে ফাইল শ্রেণিবদ্ধ করা যায়। Threat intelligence দল এটি দিয়ে ফাইলের সংগ্রহ খোঁজে। Sigma যেমন log-এর জন্য, YARA তেমন ফাইলের জন্য। নিচের নিয়মটি শুধু একটি নিরীহ ভুয়া marker খোঁজে। নিজের কম্পিউটারে নিজের বানানো টেক্সট ফাইলে এটি চালানো নিরাপদ।

rule Toy_Marker_Demo
{
    meta:
        description = "Teaching example: matches a harmless fake marker"
        author = "ABCL TECH course"

    strings:
        $m1 = "TOY-MARKER-AAA" ascii wide
        $m2 = "TOY-MARKER-BBB" ascii wide

    condition:
        any of them
}

# নিজের ফোল্ডারে, নিজের টেক্সট ফাইলের ওপর
yara toy_marker.yar my-notes/

# নমুনা আউটপুট — version-ভেদে আলাদা হতে পারে
Toy_Marker_Demo my-notes/sample.txt

Rule-এ strings অংশে কী খুঁজবেন, আর condition অংশে কখন মিল ধরবেন, তা লেখা থাকে। any of them মানে যেকোনো একটি মিললেই হবে। ভালো rule-এ এমন শর্ত বাছা হয় যা বৈধ ফাইলে প্রায় থাকে না। আর নতুন rule আগে বৈধ ফাইলের বড় সংগ্রহে চালিয়ে false positive দেখে নিতে হয়। উদাহরণের নিয়মটি আমরা নিজে চালাইনি, তাই আউটপুটটি নমুনা হিসেবেই পড়ুন।

Behavioural — কী করছে, সেটি দেখা

Behavioural detection ফাইলের চেহারা নয়, কাজ দেখে। একটি মাত্র ঘটনা প্রায়ই নিরীহ। কিন্তু ঘটনার একটি ক্রম সন্দেহ বাড়ায়। EDR (পর্ব ২৯) ঠিক এখানেই কাজ করে। নিচের খেলনা হিসাবে প্রতিটি ঘটনার একটি weight আছে। Script শুরুর ৩০০ সেকেন্ডের মধ্যে অচেনা domain-এ যোগাযোগ হলে বাড়তি ১৫ পয়েন্ট যোগ হয়। সব নাম আর সংখ্যা কাল্পনিক।

// Toy behaviour score over made-up process events. Time t is simulated seconds.
const weight = {
  'office-starts-script': 30, 'script-writes-file': 15,
  'autostart-entry-added': 25, 'rare-domain-contact': 20,
  'signed-update': 0, 'known-domain-contact': 0,
};
const LIMIT = 70, WINDOW = 300, COMBO_BONUS = 15;
const hosts = {
  'pc-accounts': [[0, 'office-starts-script'], [12, 'script-writes-file'],
    [40, 'autostart-entry-added'], [95, 'rare-domain-contact']],
  'pc-updater': [[0, 'signed-update'], [30, 'known-domain-contact'],
    [60, 'autostart-entry-added']],
  'pc-admin': [[0, 'office-starts-script'], [20, 'known-domain-contact'],
    [900, 'rare-domain-contact']],
};
for (const [host, events] of Object.entries(hosts)) {
  let score = 0, startedAt = null;
  console.log(host);
  for (const [t, name] of events) {
    let add = weight[name];
    if (name === 'office-starts-script') startedAt = t;
    const inWindow = startedAt !== null && t - startedAt <= WINDOW;
    if (name === 'rare-domain-contact' && inWindow) add += COMBO_BONUS;
    score += add;
    console.log(`  t=${String(t).padStart(3)} ${name.padEnd(22)} +${add} = ${score}`);
  }
  console.log(`  verdict: ${score >= LIMIT ? 'REVIEW (score >= ' + LIMIT + ')' : 'log only'}`);
}

pc-accounts
  t=  0 office-starts-script   +30 = 30
  t= 12 script-writes-file     +15 = 45
  t= 40 autostart-entry-added  +25 = 70
  t= 95 rare-domain-contact    +35 = 105
  verdict: REVIEW (score >= 70)
pc-updater
  t=  0 signed-update          +0 = 0
  t= 30 known-domain-contact   +0 = 0
  t= 60 autostart-entry-added  +25 = 25
  verdict: log only
pc-admin
  t=  0 office-starts-script   +30 = 30
  t= 20 known-domain-contact   +0 = 30
  t=900 rare-domain-contact    +20 = 50
  verdict: log only

একই ভাবনা একটি Sigma-ধাঁচের detection rule-এ এমন দেখায়। এটি শেখানোর উদাহরণ, নিজের পরিবেশে পরীক্ষা ছাড়া ব্যবহার করবেন না।

title: Office app starts a script host (teaching example)
id: 6f1c2a33-0000-4000-8000-000000000033
status: experimental
description: Office application as parent of a script interpreter
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        ParentImage|endswith:
            - '\WINWORD.EXE'
            - '\EXCEL.EXE'
        Image|endswith:
            - '\powershell.exe'
            - '\wscript.exe'
    condition: selection
falsepositives:
    - Approved office add-ins or automation
level: medium

বাকি তিনটি পদ্ধতি — sandbox, reputation আর network

৬ · সংখ্যায় detection, আর একটি alert-এর triage

পর্ব ২৩-এর base-rate fallacy malware-এর ক্ষেত্রেও সত্য। একটি পূর্ণাঙ্গ হিসাব করি। সংখ্যাগুলো অনুমিত।

এই কারণেই alert triage লাগে। আগের pc-accounts-এর alert একজন analyst কীভাবে যাচাই করেন, দেখুন। ঠিকানা আর নাম কাল্পনিক। লক্ষ্য দ্রুত অনুমান নয়, প্রমাণ জমানো।

৭ · সন্দেহজনক ফাইল নিরাপদে সামলানো

কৌতূহল এখানে সবচেয়ে বড় ঝুঁকি। একটি অচেনা ফাইল হাতে এলে এই চারটি নিয়ম মানুন।

• কখনো চালাবেন না। “দেখি কী হয়” বলে ডাবল-ক্লিক করবেন না, ফোনে বসাবেন না।
• নিজের যন্ত্রে বিশ্লেষণ নয়। অফিসের বা ব্যক্তিগত কম্পিউটার, কোনোটিতেই না।
• Hash দিয়ে খোঁজা। ফাইল upload করার আগে তার hash মিলিয়ে দেখা।
• আলাদা lab শুধু অনুমতি নিয়ে। প্রতিষ্ঠানের নীতি, লিখিত অনুমতি আর প্রশিক্ষণ ছাড়া নমুনা নিয়ে কাজ নয়।

Hash কেন? পর্ব ৯-এ দেখেছেন, ফাইলের একটি byte বদলালেও SHA-256 সম্পূর্ণ বদলে যায়। তাই hash হলো ফাইলের আঙুলের ছাপ। Hash বানাতে ফাইল চালাতে হয় না, শুধু পড়তে হয়। অনেক পাবলিক threat intelligence সেবায় hash লিখে খোঁজা যায়, ফাইল পাঠাতে হয় না। এই পার্থক্যটি জরুরি। অফিসের কোনো নথি পাবলিক সেবায় upload করলে তার ভেতরের তথ্য অন্যদের কাছে পৌঁছাতে পারে। তাই upload করার সিদ্ধান্ত প্রতিষ্ঠানের নীতি মেনে নিন।

নিচের Python block আসল hashlib ব্যবহার করে, তবে “ফাইলগুলো” memory-তে রাখা ভুয়া byte মাত্র।

# Allow/deny lookup by SHA-256. All "files" are fake bytes held in memory.
import hashlib

def sha256(data: bytes) -> str:
    return hashlib.sha256(data).hexdigest()

known_good = b"fake office tool version 1.0"
known_bad = b"fake program TOY-MARKER-AAA"

allow = {sha256(known_good)}
deny = {sha256(known_bad)}

def verdict(data: bytes) -> str:
    digest = sha256(data)
    if digest in deny:
        return "BLOCK (deny list)"
    if digest in allow:
        return "ALLOW (allow list)"
    return "UNKNOWN (send to review)"

samples = {
    "tool.exe": known_good,
    "bill.exe": known_bad,
    "bill2.exe": known_bad + b" ",   # one extra byte
    "new.exe": b"something never seen before",
}

for name, data in samples.items():
    print(f"{name:10} {sha256(data)[:16]}  {verdict(data)}")

tool.exe   110e9f0d86b25a20  ALLOW (allow list)
bill.exe   b85eff5e6056ddc9  BLOCK (deny list)
bill2.exe  a740d788df940885  UNKNOWN (send to review)
new.exe    3bb39c01875be960  UNKNOWN (send to review)

Analyst আসলে কী করেন — এক নজরে

Malware analyst-এর কাজ প্রশ্নের উত্তর খোঁজা: এটি কী করে, কোথায় যোগাযোগ করে, কীভাবে ধরা যাবে, কীভাবে পরিষ্কার করা যাবে। এই কাজ অনুমোদিত, আলাদা পরিবেশে হয়। কৌশলের বিস্তারিত এই কোর্সের বিষয় নয়।

ফলাফল রক্ষকের কাজে লাগে তিনভাবে: নতুন IOC, নতুন detection rule, আর পরিষ্কার করার সঠিক তথ্য। আপনি analyst না হলেও রিপোর্ট পড়ে এই তিনটি জিনিস নিজের পরিবেশে লাগাতে পারেন।

৮ · যন্ত্র আক্রান্ত হলে — আলাদা, সংরক্ষণ, জানানো, rebuild

আগুন লাগলে প্রথমে দরজা বন্ধ করা হয়, তারপর কারণ খোঁজা হয়। আক্রান্ত যন্ত্রেও ক্রমটি এমনই। প্রতিষ্ঠানে প্রথমে নিজের incident response পরিকল্পনা মানুন। সাধারণ ক্রম হলো:

1. আলাদা করুন (isolate). Wi-Fi বন্ধ করুন, তার খুলুন, বা EDR দিয়ে network থেকে সরান। লক্ষ্য ছড়ানো আর বাইরের নিয়ন্ত্রণ থামানো।
2. প্রমাণ রাখুন (preserve). সাধারণত যন্ত্র বন্ধ করবেন না, ফাইল মুছবেন না, restart দেবেন না। Memory-র প্রমাণ বন্ধ করলে হারাতে পারে। সতর্কবার্তার ছবি তুলে রাখুন, সময় লিখে রাখুন। Ransomware চলমান থাকলে প্রতিষ্ঠানের playbook ভিন্ন সিদ্ধান্ত দিতে পারে।
3. জানান (report). সাথে সাথে নিরাপত্তা দল বা IT-কে বলুন। ভুল করে ক্লিক করেছেন, এটি লুকাবেন না। যত দ্রুত জানা যায়, ক্ষতি তত কম। ব্যাংকের তথ্য ঝুঁকিতে থাকলে ব্যাংককেও দ্রুত জানান।
4. নতুন করে বানান (rebuild). পরিষ্কার মাধ্যম থেকে OS বসান, তারপর যাচাই করা backup থেকে ডেটা ফেরান। একে reimaging-ও বলে।
5. Credential বদলান। অন্য একটি পরিষ্কার যন্ত্র থেকে password বদলান, session বাতিল করুন। নইলে চুরি হওয়া তথ্য দিয়ে আবার ঢোকা যায়। আর কীভাবে ঢুকেছিল, সেই ফাঁকও বন্ধ করুন।

Containment আর recovery-র বিস্তারিত পর্ব ৬২-এ, আর প্রমাণ সংরক্ষণের নিয়ম পর্ব ৬৩-এ আছে। NIST SP 800-83 এই বিষয়ে ভালো গাইড, আর SP 800-61-এর সর্বশেষ সংশোধনে (Rev. 3, ২০২৫) incident response-কে CSF 2.0-এর সাথে যুক্ত করা হয়েছে।

কঠিন প্রশ্ন হলো: antivirus তো ফাইল মুছে দিয়েছে, তাহলে কি আবার সব বসাতে হবে? উত্তর ঝুঁকির ওপর নির্ভর করে। নিচে দুটি কাল্পনিক ঘটনা পাশাপাশি দেখুন। ঘটনা ক: একটি সাধারণ ল্যাপটপে অবাঞ্ছিত browser extension. ঘটনা খ: একটি ল্যাপটপে RAT-এর alert, যেখানে admin login হয়েছিল।

৯ · ইতিহাসের পাঁচটি ঘটনা — রক্ষকের শিক্ষা

নিচের তথ্যগুলো প্রকাশিত রিপোর্টের স্তরে। হামলার পদ্ধতি নয়, কোন প্রতিরক্ষা ব্যর্থ হয়েছিল, সেটিই দেখার বিষয়। সংখ্যাগুলো অনেক ক্ষেত্রে অনুমান, আর দায় আরোপের দাবিগুলো সরকারি বিবৃতি বা সংবাদের ওপর ভিত্তি করে।

১০ · AI-এর যুগে malware প্রতিরক্ষা

AI একটি alert ব্যাখ্যা করতে, YARA বা Sigma rule-এর খসড়া লিখতে আর লম্বা রিপোর্ট সারাংশ করতে ভালো সাহায্য করে। কিন্তু ভুলও করে, আর ভুলগুলো দেখতে আত্মবিশ্বাসী। এছাড়া কিছু জিনিস AI-কে কখনো দেবেন না, যেমন অফিসের গোপন ফাইল, ভেতরের log বা সন্দেহজনক নমুনা।

AI ব্যবহারের আগে যাচাইয়ের চেকলিস্ট

• আসল ফাইল, secret, ব্যক্তিগত তথ্য বা ভেতরের log পেস্ট করিনি
• AI-এর দেওয়া প্রতিটি CVE, technique ID আর standard মূল উৎসে মিলিয়েছি
• Rule বৈধ ডেটায় পরীক্ষা করেছি, আর একটি জানা ঘটনা ধরে কি না দেখেছি
• সুরক্ষা বন্ধ বা দুর্বল করে এমন পরামর্শ গ্রহণ করিনি
• মানুষের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত একজন মানুষ নিয়েছেন