码迷,mamicode.com
首页 > 其他好文 > 详细

2018-2019网络对抗技术 20165220 Exp4 恶意代码分析

时间:2019-04-07 22:29:53      阅读:240      评论:0      收藏:0      [点我收藏+]

标签:是你   nec   ace   mat   cloud   格式   链接库   端口   大量   

实践目标

  • 监控你自己系统的运行状态,看有没有可疑的程序在运行。
  • 分析一个恶意软件,就分析Exp2或Exp3中生成后门软件;分析工具尽量使用原生指令或sysinternals,systracer套件。
  • 假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质。

实践内容概述

  • 系统运行监控
    • 使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里。运行一段时间并分析该文件,综述分析结果。
    • 安装配置sysinternals里的sysmon工具,设置合理的配置文件,监控自己主机的重点事可疑行为。
  • 分析该软件在(1)启动回连,(2)安装到目标机(3)及其他任意操作时(如进程迁移或抓屏,重要是你感兴趣)。该后门软件
    • 读取、添加、删除了哪些注册表项
    • 读取、添加、删除了哪些文件
    • 连接了哪些外部IP,传输了什么数据

基础问题回答

如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。

1.安装配置sysinternals里的sysmon工具,设置合理的配置文件

2.定时让主机执行netstat

3.使用Process Explorer工具或者Process Monitor工具,监视文件系统等等

如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息。

1.使用Wireshark进行抓包分析

2.使用Systracer拍摄快照,比对前后区别

3.使用Process Explorer工具或Process Monitor工具经行监视

1.使用schtasks指令监控系统

使用

schtasks /create /TN netstat5220 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt"

插入计划,其中

  • TN是TaskName的缩写,我们创建的计划任务名是netstat5220
  • sc表示计时方式,我们以分钟计时填MINUTE;
  • TR=Task Run,要运行的指令是 netstat
  • bn,b表示显示可执行文件名,n表示以数字来显示IP和端口;
  • >表示输出重定向,将输出存放在c:\netstatlog.txt文件中

技术图片

在C盘中创建一个netstat5220.bat

写入

date /t >> c:\netstat5220.txt time /t >> c:\netstat5220.txt netstat -bn >> c:\netstat5220.txt

打开任务计划程序

技术图片

双击这个任务,点击操作并编辑,将“程序或脚本”改为我们创建的bat

技术图片

运行一定时间,可在netstatlog5206.txt中查看本机在该时间内的联网记录

将所得数据在excel中进行分析,导入文本数据;

选中全部分隔符号;

技术图片

列数据格式选择常规;

技术图片

导入成功后选中要分析的列;

技术图片

生成统计图

技术图片

可以看出TCP连接是最多的,联网最多的是搜狗浏览器对应的程序“Sogoucloud.exe”,也可以看到VM等联网的进程。

 

 使用sysmon工具监控系统

  • 创建配置文件sysmon20165220.xml,修改内容为:
  • <Sysmon schemaversion="3.10">
      <!-- Capture all hashes -->
      <HashAlgorithms>*</HashAlgorithms>
      <EventFiltering>
        <!-- Log all drivers except if the signature -->
        <!-- contains Microsoft or Windows -->
        <ProcessCreate onmatch="exclude">     
          <Image condition="end with">chrome.exe</Image> 
        </ProcessCreate>
    
        <FileCreateTime onmatch="exclude" >
          <Image condition="end with">chrome.exe</Image>
        </FileCreateTime>
        
        <NetworkConnect onmatch="exclude">
          <Image condition="end with">chrome.exe</Image>
          <SourcePort condition="is">137</SourcePort>
          <SourceIp condition="is">127.0.0.1</SourceIp>
        </NetworkConnect>
        <NetworkConnect onmatch="include">     
          <DestinationPort condition="is">80</DestinationPort>      
          <DestinationPort condition="is">443</DestinationPort>    
        </NetworkConnect>
    
        <CreateRemoteThread onmatch="include">
          <TargetImage condition="end with">explorer.exe</TargetImage>
          <TargetImage condition="end with">svchost.exe</TargetImage>
          <TargetImage condition="end with">winlogon.exe</TargetImage>
          <SourceImage condition="end with">powershell.exe</SourceImage>
        </CreateRemoteThread>
      </EventFiltering>
    </Sysmon>

指令含义:
exclude相当于白名单,不用记录。include相当于黑名单。
Image condition这里要根据自己使用的浏览器更改,例如谷歌浏览器是“chrome.exe”,IE浏览器是“iexplore.exe”,写在exclude中就是不记录由该浏览器创建的进程。
进程创建时间类似,也是不创建浏览器创建进程的时间。
网略连接过滤掉了浏览器的网络连接、源IP为127.0.0.1的网络连接和目的端口为137的连接服务,且查看目的端口为80(http)和443(https)的网络连接。
137端口的主要作用是在局域网中提供计算机的名字或IP地址查询服务,一般安装了NetBIOS协议后,该端口会自动处于开放状态。
127.0.0.1表示本机IP。
远程线程创建记录了目标为explorer.exe、svchost.exe、winlogon.exe和powershell.exe 的远程线程。
explorer.exe是Windows程序管理器或者文件资源管理器
svchost.exe是一个属于微软Windows操作系统的系统程序,是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。
winlogon.exe是Windows NT 用户登陆程序,用于管理用户登录和退出。
powershell.exe是专为系统管理员设计的新 Windows 命令行外壳程序。该外壳程序包括交互式提示和脚本环境,两者既可以独立使用也可以组合使用。

在cmd中输入sysmon.exe -i C:\sysmon20165220.xml命令,安装sysmon;

弹出的窗口选择agree;

技术图片

安装完毕后在计算机管理中查看事件查看器,选择日志的位置为应用程序和服务日志/Microsoft/Windows/Sysmon/Operational;

技术图片

  • 利用Sysmon具体分析后门程序;
  • 启动Kali,进行回连;

技术图片

技术图片

找到运行后门文件相对应的日志,查看详细信息,可以看到这个后门映像文件的具体位置等一些信息;

技术图片

- 恶意软件分析

- 用VirusTotal分析恶意代码

  • 可以看到这个恶意代码的SHA-1、MD5摘要值、文件类型、文件大小等基本属性。

技术图片

- 使用PEiD分析恶意软件

扫描加了压缩壳的后门程序,可以发现压缩壳;

技术图片

扫描加了压缩壳后又加了加密壳的后门程序,什么也没有找到;

技术图片

扫描加了加密壳的后门程序,什么也没有找到;

技术图片

发现PEid可以发现压缩壳,但不能扫描出加密壳。

- 用Systracer分析恶意代码

  • 下载完成后进行安装,选择第二个;

技术图片

技术图片

设置监听端口号;

技术图片

完成安装后进行对回连前后分别进行快照,take snapshot;

技术图片

第一次take snapshot

技术图片

回连后继续take snapshot

技术图片

点击上方“Applications”->左侧“Running Processes”->找到后门进程“20165220_ex4.exe”->点击“Opened Ports”查看回连地址、远程地址和端口号;

技术图片

技术图片

  • 点击“Compare”,比对一下回连前后计算机发生的变化,选择only difference,查看改变的地方;
  • 可以发现对文件和注册表等进行了修改;

技术图片

技术图片

还有许多信息由于未注册不能查看;

技术图片

查看opened handles来对比他们都做了什么;

技术图片

 用Wireshark分析恶意代码

  • 查看VM虚拟机的ip和主机上VM的ip;
  • 设置过滤规则为ip.addr == 192.168.154.128,只查看与虚拟机IP有关的数据包;
  • 在回连之前,开始捕获,回连完成后结束捕获;
  • 可以看到先进行了TCP三次握手,然后开始传输数据,并传输了大量ACK、PSH+ACK等数据包;

技术图片

分析数据包可以看到其他占用信息;

技术图片

实验总结与体会

这次实验还是比较麻烦的,做了很多分析的工作,我们可以使用一些恶意代码分析软件来分析恶意代码,也初步尝试监控我们电脑了。

比如可以周期性的运行一个任务,查看联网的程序、连接的外部IP等。通过分析,可以发现我们电脑存在的一些隐患或问题。

其实这样我们才能更加全面的了解分析恶意代码,收获很大。希望下次还能接触到更多类似的分析,学到更多知识!

2018-2019网络对抗技术 20165220 Exp4 恶意代码分析

标签:是你   nec   ace   mat   cloud   格式   链接库   端口   大量   

原文地址:https://www.cnblogs.com/brs6666/p/10659929.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!