2018-2019网络对抗技术 20165220 Exp4 恶意代码分析
Posted brs6666
tags:
篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了2018-2019网络对抗技术 20165220 Exp4 恶意代码分析相关的知识,希望对你有一定的参考价值。
实践目标
- 监控你自己系统的运行状态,看有没有可疑的程序在运行。
- 分析一个恶意软件,就分析Exp2或Exp3中生成后门软件;分析工具尽量使用原生指令或sysinternals,systracer套件。
- 假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质。
实践内容概述
- 系统运行监控
- 使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里。运行一段时间并分析该文件,综述分析结果。
- 安装配置sysinternals里的sysmon工具,设置合理的配置文件,监控自己主机的重点事可疑行为。
- 分析该软件在(1)启动回连,(2)安装到目标机(3)及其他任意操作时(如进程迁移或抓屏,重要是你感兴趣)。该后门软件
- 读取、添加、删除了哪些注册表项
- 读取、添加、删除了哪些文件
- 连接了哪些外部IP,传输了什么数据
基础问题回答
如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控。
1.安装配置sysinternals里的sysmon工具,设置合理的配置文件
2.定时让主机执行netstat
3.使用Process Explorer工具或者Process Monitor工具,监视文件系统等等
如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息。
1.使用Wireshark进行抓包分析
2.使用Systracer拍摄快照,比对前后区别
3.使用Process Explorer工具或Process Monitor工具经行监视
1.使用schtasks指令监控系统
使用
schtasks /create /TN netstat5220 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c: etstatlog.txt"
插入计划,其中
TN
是TaskName的缩写,我们创建的计划任务名是netstat5220sc
表示计时方式,我们以分钟计时填MINUTE;TR
=Task Run,要运行的指令是 netstatbn
,b
表示显示可执行文件名,n
表示以数字来显示IP和端口;>
表示输出重定向,将输出存放在c: etstatlog.txt
文件中
在C盘中创建一个netstat5220.bat
写入
date /t >> c: etstat5220.txt time /t >> c: etstat5220.txt netstat -bn >> c: etstat5220.txt
打开任务计划程序
双击这个任务,点击操作并编辑,将“程序或脚本”改为我们创建的bat
运行一定时间,可在netstatlog5206.txt中查看本机在该时间内的联网记录
将所得数据在excel中进行分析,导入文本数据;
选中全部分隔符号;
列数据格式选择常规;
导入成功后选中要分析的列;
生成统计图
可以看出TCP连接是最多的,联网最多的是搜狗浏览器对应的程序“Sogoucloud.exe”,也可以看到VM等联网的进程。
使用sysmon工具监控系统
- 创建配置文件sysmon20165220.xml,修改内容为:
-
<Sysmon schemaversion="3.10"> <!-- Capture all hashes --> <HashAlgorithms>*</HashAlgorithms> <EventFiltering> <!-- Log all drivers except if the signature --> <!-- contains Microsoft or Windows --> <ProcessCreate onmatch="exclude"> <Image condition="end with">chrome.exe</Image> </ProcessCreate> <FileCreateTime onmatch="exclude" > <Image condition="end with">chrome.exe</Image> </FileCreateTime> <NetworkConnect onmatch="exclude"> <Image condition="end with">chrome.exe</Image> <SourcePort condition="is">137</SourcePort> <SourceIp condition="is">127.0.0.1</SourceIp> </NetworkConnect> <NetworkConnect onmatch="include"> <DestinationPort condition="is">80</DestinationPort> <DestinationPort condition="is">443</DestinationPort> </NetworkConnect> <CreateRemoteThread onmatch="include"> <TargetImage condition="end with">explorer.exe</TargetImage> <TargetImage condition="end with">svchost.exe</TargetImage> <TargetImage condition="end with">winlogon.exe</TargetImage> <SourceImage condition="end with">powershell.exe</SourceImage> </CreateRemoteThread> </EventFiltering> </Sysmon>
指令含义:
exclude相当于白名单,不用记录。include相当于黑名单。
Image condition这里要根据自己使用的浏览器更改,例如谷歌浏览器是“chrome.exe”,IE浏览器是“iexplore.exe”,写在exclude中就是不记录由该浏览器创建的进程。
进程创建时间类似,也是不创建浏览器创建进程的时间。
网略连接过滤掉了浏览器的网络连接、源IP为127.0.0.1的网络连接和目的端口为137的连接服务,且查看目的端口为80(http)和443(https)的网络连接。
137端口的主要作用是在局域网中提供计算机的名字或IP地址查询服务,一般安装了NetBios协议后,该端口会自动处于开放状态。
127.0.0.1表示本机IP。
远程线程创建记录了目标为explorer.exe、svchost.exe、winlogon.exe和powershell.exe 的远程线程。
explorer.exe是Windows程序管理器或者文件资源管理器
svchost.exe是一个属于微软Windows操作系统的系统程序,是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。
winlogon.exe是Windows NT 用户登陆程序,用于管理用户登录和退出。
powershell.exe是专为系统管理员设计的新 Windows 命令行外壳程序。该外壳程序包括交互式提示和脚本环境,两者既可以独立使用也可以组合使用。
在cmd中输入sysmon.exe -i C:sysmon20165220.xml命令,安装sysmon;
弹出的窗口选择agree;
安装完毕后在计算机管理中查看事件查看器,选择日志的位置为应用程序和服务日志/Microsoft/Windows/Sysmon/Operational;
- 利用Sysmon具体分析后门程序;
-
启动Kali,进行回连;
找到运行后门文件相对应的日志,查看详细信息,可以看到这个后门映像文件的具体位置等一些信息;
- 恶意软件分析
- 用VirusTotal分析恶意代码
- 可以看到这个恶意代码的SHA-1、MD5摘要值、文件类型、文件大小等基本属性。
- 使用PEiD分析恶意软件
扫描加了压缩壳的后门程序,可以发现压缩壳;
扫描加了压缩壳后又加了加密壳的后门程序,什么也没有找到;
扫描加了加密壳的后门程序,什么也没有找到;
发现PEid可以发现压缩壳,但不能扫描出加密壳。
- 用Systracer分析恶意代码
-
下载完成后进行安装,选择第二个;
设置监听端口号;
完成安装后进行对回连前后分别进行快照,take snapshot;
第一次take snapshot
回连后继续take snapshot
点击上方“Applications”->左侧“Running Processes”->找到后门进程“20165220_ex4.exe”->点击“Opened Ports”查看回连地址、远程地址和端口号;
- 点击“Compare”,比对一下回连前后计算机发生的变化,选择only difference,查看改变的地方;
-
可以发现对文件和注册表等进行了修改;
还有许多信息由于未注册不能查看;
查看opened handles来对比他们都做了什么;
用Wireshark分析恶意代码
- 查看VM虚拟机的ip和主机上VM的ip;
- 设置过滤规则为ip.addr == 192.168.154.128,只查看与虚拟机IP有关的数据包;
- 在回连之前,开始捕获,回连完成后结束捕获;
-
可以看到先进行了TCP三次握手,然后开始传输数据,并传输了大量ACK、PSH+ACK等数据包;
分析数据包可以看到其他占用信息;
实验总结与体会
这次实验还是比较麻烦的,做了很多分析的工作,我们可以使用一些恶意代码分析软件来分析恶意代码,也初步尝试监控我们电脑了。
比如可以周期性的运行一个任务,查看联网的程序、连接的外部IP等。通过分析,可以发现我们电脑存在的一些隐患或问题。
其实这样我们才能更加全面的了解分析恶意代码,收获很大。希望下次还能接触到更多类似的分析,学到更多知识!
以上是关于2018-2019网络对抗技术 20165220 Exp4 恶意代码分析的主要内容,如果未能解决你的问题,请参考以下文章
2018-2019网络对抗技术 20165220 Exp4 恶意代码分析
2018-2019-2 网络对抗技术 20165324 网络对抗技术 Exp4:恶意代码分析
2018-2019-2 20165209 《网络对抗技术》 Kali安装
2018-2019-2 20165217《网络对抗技术》Exp7 网络欺诈防范