2019-2020-2 20175221『网络对抗技术』Exp4：恶意代码分析

Posted 2021-03-01 zxja

2019-2020-2 20175221『网络对抗技术』Exp4：恶意代码分析 

• 原理与实践说明
  • 　1.实践目标
  • 　2.实践内容概述
  •    3.基础问题回答
• 实践过程记录
• 系统运行监控
• 恶意软件分析

• 实验总结与体会

---

 

原理与实践说明

• 实践目标

• 监控你自己系统的运行状态，看有没有可疑的程序在运行。
• 分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
• 假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

• 实践内容概述

• 系统运行监控
  • 使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述分析结果。
  • 安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
• 分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件
  • 读取、添加、删除了哪些注册表项
  • 读取、添加、删除了哪些文件
  • 连接了哪些外部IP，传输了什么数据

基础问题回答

• 如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所以想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

• 我想监控：

• 注册表、进程、端口使用情况，CPU占用情况，网络连接

• 监控方法：

• 可以定时让主机执行netstat，对捕获到的信息进行批量分析
• 可以利用Sysmon，修改配置文件，监控觉得可疑的端口、软件和事件。

• 如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。

• 可以利用Wireshark进行抓包分析，监视与主机进行的通信过程。
• 可以利用Systracer拍摄快照，比对前后区别，分析注册表、系统用户、系统文件的变化情况。

---

 

实践过程记录

一、系统运行监控

• 根据netstat的结果分析程序连接

• 使用 schtasks /create /TN netstat5221 /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c: etstatlog.txt" 命令创建计划任务netstat5221
• 
• 其中，TN是TaskName的缩写，创建的任务名是netstat5221；sc是计时方式，这里我们以分钟计时--MINUTE；TR是Task Run，要运行的指令是 netstat -bn,b表示显示可执行文件名，n表示以数字来显示IP和端口。
• 随后在C盘创建一个 netstat5221.txt ，内容如下：
• 
• 完成后将txt文件类型改为bat文件类型
• 
• 随后打开任务计划程序，可以观察到刚刚创建的任务
• 
• 双击打开它对其进行一些修改：
• 在编辑操作，将要运行的程序设为刚刚创建的 netstat5221.bat
• 
• 在条件里边，将充电才工作的选项取消，否则不给电脑充电，任务就没法运行。netstat5221.txt也不会更新
• 
• 完成以上操作后，就可以把电脑放在那里让其自动运行了。大约一段时间后（我让它工作是12小时），就可以在netstat5221.txt文件中查看到本机在该时间段内的联网记录。（这里有很多方法可以看自己的任务是不是自动执行了，比如有没有在你设定的时间间隔内一闪而过一个命令行；或者是看联网记录的txt大小有没有变化等）
• 
• 为了更生动形象，我们将生成的记录用Excel详细档下来，并对其进行统计分析：（下面的步骤与我做出的统计图会有些许出入，因为后边我又多试了Excel的其他类型表示，但大体设置方向是对的）
• 选中要分析的列，插入数据透视图
• 
• 筛选掉一些无意义的字段，将周五置入下边两个区域中
• 
• 之后选择想要的类型表显示就可以了
• 
• 这里我对联网数超过100的进行了一下研究，首先是最多的 LegacyCsLoaderService.exe  ，以前都没听说过这个
• 
• 大概意思是 LegacyCsLoaderService.exe 是任务管理器中的一个进程，但其不是必须的核心文件，而且通常会导致问题，可以通过控制面板将其删除或添加。该文件进行过数字签名，但依旧得提防它，是一个可用程序还是特洛伊木马，还得自己来判断。。。
• QQ，Vmware就跳过，看一下最左边两个：
• 360tray.exe是360安全卫士木马防火墙模块
• 
• 360se.exe是360浏览器的主程序
• 
• SogouExplorer.exe就简单了，就是搜狗浏览器
• 观察剩余的几个，并没有发现什么可疑的。便开始整理数据，以便今后有需要研究再来查表：
• 联网次数
• 
• 外网地址
• 

• 使用sysmon工具监控系统

• sysmon是微软Sysinternals套件中的一个工具，使用sysmon工具前首先要配置文件。这里我选择：进程创建ProcessCreate、进程创建时间FileCreatTime、网络连接NetworkConnect、远程线程创建CreateRemoteThread
• 随后是配置文件，需要先了解配置文件应该怎么写：

• ① 进程创建ProcessCreate的过滤事件选项有：

• UtcTime, ProcessGuid, ProcessId, Image, CommandLine, CurrentDirectory, User, LogonGuid, LogonId, TerminalSessionId, IntegrityLevel, Hashes, ParentProcessGuid, ParentProcessId, ParentImage, ParentCommandLine

•  这里我用到了Image、SourceIp、SourcePort。

• ② 进程创建时间FileCreatTime的过滤事件选项有：

• UtcTime, ProcessGuid, ProcessId, Image, TargetFilename, CreationUtcTime, PreviousCreationUtcTime

•  这里我用到了Image。

• ③ 网络连接NetworkConnect的过滤事件选项有：

• UtcTime, ProcessGuid, ProcessId, Image, User, Protocol, Initiated, SourceIsIpv6, SourceIp, SourceHostname, SourcePort, SourcePortName, DestinationIsIpv6, DestinationIp, DestinationHostname, DestinationPort, DestinationPortName

• 这里我用到了Image、SourceIp、SourcePort。

• ④ 远程线程创建CreateRemoteThread的过滤事件选项有：

• UtcTime, SourceProcessGuid, SourceProcessId, SourceImage, TargetProcessGuid, TargetProcessId, TargetImage, NewThreadId, StartAddress, StartModule, StartFunction

• 这里我用到了TargetImage、SourceImage。

• 更多可参考使用轻量级工具Sysmon监视你的系统，配置自己的文件
• 随后创建自己的配置文件：
• 
• 随后准备sysmon，着手监视工作
• 在启动前先看一下其参数配置：
• 
• 可以看到，使用 i 参数帮助我们安装，安装成功界面如下：
• 
• 随后使用 c 参数使刚创建的配置文件生效：
• 
• 计算机管理->事件查看器->应用程序和服务日志->Microsoft->Windows->Sysmon->Operational。在这里，我们可以看到按照配置文件的要求记录的新事件
• 
• 随后利用在之前实验中生成的后门程序，启动 kali 回连主机
• 
• 查看日志，可以看到后门程序的相应信息(包括连接协议、Kali的IP、使用的端口号、使用者及使用的软件名等)
• 
• 除此之外，还发现了一些其他有趣的日志：
• 
• svchost.exe是微软视窗操作系统里的一个系统进程，管理通过Dll文件启动服务的其它进程。一些病毒木马伪装成系统dll文件通过Svchost调用它，试图隐藏自己。

---

 

二、恶意软件分析

• 分析该软件在：启动回连；安装到目标机；其他任意操作时（如进程迁移或抓屏），该后门软件：读取、添加、删除了哪些注册表项；读取、添加、删除了哪些文件；连接了哪些外部IP，传输了什么数据（抓包分析）

• 静态分析

• 文件扫描（VirusTotal、VirScan工具等）
  文件格式识别（peid、file、FileAnalyzer工具等）
  字符串提取（Strings工具等）
  反汇编（GDB、IDAPro、VC工具等）
  反编译（REC、DCC、JAD工具等）
  逻辑结构分析（Ollydbg、IDAPro工具等）
  加壳脱壳（UPX、VMUnPacker工具等）

• （1）VirusTotal分析

• 将程序丢入VirusTotal，查看其详细信息
• 
• 可以看到这个恶意代码的SHA-1摘要值、MD5摘要值、文件类型、文件大小等等，报毒数是（34/72），算是比较高的了

• （2）PEiD分析

• PEiD是检查加壳的恶意代码，几乎可以侦测出所有的
• 先检查一下啥壳都没加的：什么都没找到
• 
• 再检测一下使用了upx的：
• 
• PEiD成功检测出了加壳的相关信息。

• （3）PE Explorer分析

• PE Explorer是功能超强的可视化Delphi、C++、VB程序解析器，可直接浏览、修改软件资源，包括菜单、对话框、字符串表等；还可以快速对W32DASM软件反编译，编辑PEditor 软件的PE文件头，可以更容易的分析源代码，修复损坏了的资源，可以处理 PE 格式的文件有：EXE、DLL、DRV、BPL、DPL、SYS、CPL、OCX、SCR 等 32 位可执行程序。

• 通过使用PE Explorer分析恶意代码所链接到的dll库。打开之前的后门程序：
• 
• 在“查看→引入”可以查看引入的dll库，分析：
  • KERNEL32.dll：是Windows 9x/Me中非常重要的32位动态链接库文件，属于内核级文件。它控制着系统的内存管理、数据的输入输出操作和中断处理，当Windows启动时，kernel32.dll就驻留在内存中特定的写保护区域，使别的程序无法占用这个内存区域。
  • msvcrt.dll：是微软在windows操作系统中提供的C语言运行库执行文件（Microsoft Visual C Runtime Library)，其中提供了printf,malloc,strcpy等C语言库函数的具体运行实现，并且为使用C/C++(Vc)编译的程序提供了初始化（如获取命令行参数）以及退出等功能。
  • ntdll.dll：ntdll.dll是重要的Windows NT内核级文件。描述了windows本地NTAPI的接口。当Windows启动时，ntdll.dll就驻留在内存中特定的写保护区域，使别的程序无法占用这个内存区域。
• 
  
• 
• 将之前生成的其他几个恶意代码都放进去查了一下，发现所有后门程序都会引用KERNEL32.dll这个库。那么可以猜想这是后门程序必须有的一个链接库，可能会被杀软们当成另一种“特征码”来看待。

• 动态分析

• 快照比对（SysTracer、Filesnap、Regsnap工具等）
  抓包分析（WireShark工具等）
  行为监控（Filemon、Regmon、ProcessExplorer工具等）
  沙盒（NormanSandbox、CWSandbox工具等）
  动态跟踪调试（Ollydbg、IDAPro工具等）

• （1）Threatbook沙盒检测
• 沙盒检测结果（7/25）查杀概率为28%
• 
• 行为检测中查看异常
• 
• 可以看到，反检测技术、反逆向工程、PE文件节数量异常，都成为了该文件是危险文件的标志！
• （2）快照比对SysTracer分析
• 下载SysTracer工具
• 点击右侧的take snapshot，存储快照：
  • 快照一：未移植后门程序，保存为Snapshot #1
  • 快照二：移植后门程序，保存为Snapshot #2
  • 快照三：运行后门程序并在kali中实现回连，保存为Snapshot #3
  • 快照四：在kali中使用dir指令，保存为Snapshot #4
  • 快照五：在kali中使用record_mic指令，保存为Snapshot #5
• 
• 通过右下角的 compare 或者 View Differences Lists 比对各快照，可以选择 Only Difference 只查看不同的项
• 对比快照一和快照二：增加了后门程序 20175221_backdoor.exe ，许多键值和文件都有被修改，亦或是增加、删除！
• 
• 对比快照二和快照三（回连前与回连后）：
• 可以看到新增的后门进程，以及源IP、目的IP、端口号、连接的协议
• 
• 该后门程序还生成了很多文件、目录和键值，同时也有很多未授权的地方是看不了的！
• 
• 对比快照三和快照四：kali上执行dir指令，但是变化不大
• 对比快照四和快照五：kali上执行record_mic指令
• 注册表项中有以下变化：
• 
• 新建了很多连接，其中有与后门程序相关的 Apache HTTP Server
• 
• （3）WireShark抓包分析
• 回连前打开WireShark，选择本地连接WLAN，开始抓包
• 回连后关闭抓包，分析抓到的包：可以看到kali与win10连接的过程中产生了大量TCP包，并且找到了三次握手
• 
• 查看详细内容，看到端口、源IP、目的IP、通信协议等等
• 

---

实验收获与感想

• 这次实验做下来，感觉并没有遇到什么困难。主要训练的还是分析恶意代码的能力，当怀疑自己的PC中了恶意代码，那么该如何去侦测；亦或是发现了木马病毒，该如何去消灭它，这些技巧我觉得在个人生活中还是挺实用的。
• 也才知道原来分析方法有动态和静态，这也衍生出了许多以前没使用过的工具：SysTracer、PE Explorer、PEiD等等，也终于不用只会说wireshark了，算是除了抓包以外又学会了一些保护电脑的方法