2018-2019-2 《网络对抗技术》Exp4 恶意代码分析 Week6 20165311

2018-2019 20165311 网络对抗 Exp4 恶意代码分析

2018-2019 20165311 网络对抗 Exp4 恶意代码分析

• 实验内容
  • 系统运行监控（2分）
  • 恶意软件分析（1.5分）
  • 报告评分（1分）
• 基础问题回答
• 实验过程
  
  • 1. 系统运行监控——计划任务
  • 2. 系统运行监控——利用Sysmon
  • 3. 恶意软件分析—— virscan网站
  • 4. 恶意软件分析——PEID
  • 5. 恶意软件分析——Systracer
• 实验中遇到的问题及解决方法
• 实验感想

---

基础问题回答

1. 如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控

• 使用Windows自带的schtasks指令设置一个计划任务，指定每隔一定时间记录主机的联网记录或者是端口开放、注册表信息等；
• 通过sysmon工具，配置好想记录事件的文件，之后在事件查看器里找到相关日志文件查看；
• 使用任务管理器->进程，监视进程执行情况，查看是否有可疑程序运行。

2. 如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息

• 使用systracer工具分析恶意软件,进行快照的对比.
• virscan集合各种杀软，对指定文件进行分析定性。
• 使用Wireshark进行抓包分析，监视其与主机进行的通信过程。

返回

---

实验内容

系统运行监控（2分）

• 使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。
• 安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
  
  参考：schtask与sysmon应用指导
  
  实际日志的分析还需要发挥下自己的创造力，结合以前学过的知识如linux的文本处理指令等进行。分析的难点在于从大量数据中理出规律、找出问题。这都依赖对结果过滤、统计、分类等进一步处理，这就得大家会什么用什么了。

恶意软件分析（1.5分）

• 分析该软件在(1)启动回连(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。
• 该后门软件
  • 读取、添加、删除了哪些注册表项
  • 读取、添加、删除了哪些文件
  • 连接了哪些外部IP，传输了什么数据（抓包分析）

该实验重点在“分析”，不是“如何使用某软件”。组长、课题负责人要求写细一点，其他人可以重点放在分析上。

报告评分（1分）

返回

---

实践过程

1、windows计划任务

• 以管理员身份打开cmd，使用指令```schtasks /create /TN 5311netstat /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c: etstatlog.txt创建计划任务5311netstat，记录每1分钟计算机联网情况：
• 在c盘下手动创建一个netstatlog.txt文件

• 在桌面建立一个20165311netstatlog.txt文件，内容为：

date /t >> c:
etstatlog.txt
time /t >> c:
etstatlog.txt
netstat -bn >> c:
etstatlog.txt

• 将后缀名改为.bat后，用管理员身份将该文件放入C盘

• 打开计算机管理的“任务计划程序库”，可以查看到5311netstat任务就绪，打开其属性，修改其指令为20165311netstatlog.bat

• 在属性中“常规”一栏最下面勾选“使用最高权限运行”，不然程序不会自动运行

• 在属性中“条件”这一选项中的“电源”一栏中，取消勾选“只有计算机使用交流电源才启动此任务”，防止电脑一断电任务就停止

• 可以在C盘的netstat5311.txt文件中查看到本机在该时间段内的联网记录：

• 等待一段时间，将存储的数据通过excel表进行整理

分析：

首先我们可以看到BtvStack.exe是最多的，其次是“chrome.exe”和“Explorer.exe”。当启动谷歌浏览器时前者就会出现在任务管理器中，关闭任务管理器后会自动退出。

这里我们还可以找到、虚拟机、后门程序20165311_backdoor.exe这些连网的进程。

返回

---

2、使用sysmon工具

• 首先创建配置文件sysmon5311.txt，并输入如下的代码：

<Sysmon schemaversion="4.20">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <DriverLoad onmatch="exclude">
      <Signature condition="contains">microsoft</Signature>
      <Signature condition="contains">windows</Signature>
    </DriverLoad>
    
    <NetworkConnect onmatch="exclude">
      <Image condition="end with">iexplorer.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <NetworkConnect onmatch="include"> 
      <DestinationPort condition="is">5311</DestinationPort>     
      <DestinationPort condition="is">80</DestinationPort>      
      <DestinationPort condition="is">443</DestinationPort>    
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>

• 在官网上下载sysmon工具
• 以管理员身份打开命令行，使用指令Sysmon.exe -i C:sysmon5311.txt安装sysmon

• 安装成功之后在事件查看器中的应用程序和服务日志下，查看Microsoft->Windows->Sysmon->Operational。
• 在这里，我们可以看到按照配置文件的要求记录的新事件，以及事件ID、任务类别、详细信息等等。

利用Sysmon具体分析日志

这里我选择了自己实验二中生成的后门20165311_backdoor.exe进行分析

• 启动回连、安装到目标主机。

• 输入getpid 查询进行数据筛选

• 在服务日志中发现了后门程序的痕迹

返回

---

恶意软件分析

（1） 文件扫描（VirScan工具）

• 使用在线VirusScan工具对上次实验中生成的.jar文件进行扫描

• 点击 哈勃文件 分析查看详细分析结果：

总结：
此恶意代码主要就是通过建立一个反弹连接，受害机一旦运行该程序，攻击机就会自动获取该受害机的控制权限，

并在受害机中创建进程、修改删除文件、创建事件对象等等，对受害机造成很大的威胁。

返回

---

（2）文件格式识别（peid工具）

• 下载Peid工具，对上次实验中用Veil生成的加壳的后门程序进行查壳

• 换第二次实验生成的后门进行检测，显示什么都没找到

返回

---

快照比对（SysTracer工具）

• 下载SysTracer工具
• 点击右侧的take snapshot，存储快照
  • 快照一：未移植后门程序
  • 快照二：移植后门程序
  • 快照三：运行后门程序并在kali中实现回连
  • 快照四：在kali中使用dir指令
  • 快照五：在kali中使用record_mic指令

• 通过右下角的View Differences Lists比对各快照，进行分析
• 快照一和快照二：发现增加了我的后门程序

• 快照二和快照三：发现了我的后门程序正在运行的进程

• 快照三和快照四：增加了很多TCP连接，应该是为了获取windows的目录所以发出了TCP连接请求

• 快照四和快照五：删除了快照四中建立的TCP连接，创建了新的TCP连接，应该是为了发出录音功能请求

返回

---

实验中遇到的问题

任务一中打开 netstat5311.txt 时，显示“请求的操作需要提升”

通过百度找到了解决办法，只要在代码前插入即可（自动以管理员权限运行）

@echo off
>nul 2>&1 "%SYSTEMROOT%system32cacls.exe" "%SYSTEMROOT%system32configsystem"
if '%errorlevel%' NEQ '0' (goto UACPrompt) else ( goto gotAdmin )
:UACPrompt
echo Set UAC = CreateObject^("Shell.Application"^) > "%temp%getadmin.vbs"
echo UAC.ShellExecute "%~s0", "", "", "runas", 1 >> "%temp%getadmin.vbs"
"%temp%getadmin.vbs"
exit /B
:gotAdmin
if exist "%temp%getadmin.vbs" ( del "%temp%getadmin.vbs" )
pushd "%CD%"
CD /D "%~dp0"

---

实验感想

本次实验的重点在分析恶意代码。我们学习使用了数款用于检测恶意代码的指令或是软件，例如SysTracer、Sysmon等工具。

通过学习了解到，恶意代码的分析方法主要分为静态分析方法和动态分析方法。这两种方法在本次实验中都有所涉及。

我们要时常对电脑的行为进行监控，不能只依靠杀毒软件，杀毒软件不是百分之百安全的。

返回