20165229 NetSec Exp4免杀恶意代码分析20165229 NetSec Exp4免杀恶意代码分析

20165229 NetSec Exp4免杀恶意代码分析

基础问题回答:

1)如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

答：首先，可以使用windows自带的schtasks指令设置一个计划任务，每隔一定的时间对主机的联网记录等进行记录。也可以使用sysmon工具，通过修改配置文件，记录相关的日志文件，或是Process Explorer工具，监视进程执行情况。

2）如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。

答：启动该程序，利用systracer及wireshark动态分析程序动向，或是利用virscan分析它。

实践目标

1）监控你自己系统的运行状态，看有没有可疑的程序在运行。

2）是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。

3）假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

实践过程记录

1.使用schtasks指令监控系统（使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述分析结果）

• 使用schtasks /create /TN netstat5229 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c: etstatlog.txt"命令创建任务netstat5229

  • TN是TaskName的缩写，我们创建的任务计划名是netstat5229；
  • sc是表示即使方式，我们以分钟计师天MINUTE；
  • TR=Task Run，要运行的指令是```netstat；
  • bn，b表示显示可自行文件名，n表示以数字来显示IP和端口；
  • >表示输出重定向，将输出放在c:netstatlog.txt文件中
    

• 在C盘中创建一个netstat5229.bat脚本文件，写入
  date /t >> c: etstat5229.txt time /t >> c: etstat5318.txt netstat -bn >> c: etstat5229.txt

• 打开任务计划程序，可以看到新创建的这个任务
  

• 双击这个任务，点击操作并编辑，将“程序或脚本”改为我们创建的netstat5229.bat批处理文件，确定即可。
  

• 在条件当中取消```只有在计算机使用交流电源时才启动此任务````的复选框，不然电脑一断点脚本就不运行了。
  

2.安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为

ysmon是微软Sysinternals套件中的一个工具。可以监控几乎所有的重要操作，参考[使用轻量级工具Sysmon](https://www.freebuf.com/sectool/122779.html)监视你的系统,开始我们的使用。```

- 基本操作
  - 确定监控目标：在这里我选择```进程创建```、```进程创建时间```、```网络连接```、```远程线程创建```
  - 写配置文件
     -  相关事件过滤器选项在之前的那个连接中可以看到，```进程创建ProcessCreate``` 我用到```Image```、```SourcePort```，```进程创建时间FileCreateTime```我用到了```Image```，```网络连接NetworkConnect```，我用了```Image```、```SourceIp```、```远程线程创建CreateRemoteThread```我用了``` TargetImage```、```SourceImage```
     - 开始写以自己想要监控的实践相对应的配置文件，命名为```20165229Sysmoncfig.txt```，内容如下

* QQBrowser.exe

 <FileCreateTime onmatch="exclude" >
   <Image condition="end with">QQBrowser.exe</Image>
 </FileCreateTime>

 <NetworkConnect onmatch="exclude">
   <Image condition="end with">Internet Explorer</Image>
   <SourcePort condition="is">137</SourcePort>
   <SourceIp condition="is">127.0.0.1</SourceIp>
 </NetworkConnect>
 <NetworkConnect onmatch="include">     
   <DestinationPort condition="is">80</DestinationPort>      
   <DestinationPort condition="is">443</DestinationPort>    
 </NetworkConnect>

 <CreateRemoteThread onmatch="include">
   <TargetImage condition="end with">explorer.exe</TargetImage>
   <TargetImage condition="end with">svchost.exe</TargetImage>
   <TargetImage condition="end with">winlogon.exe</TargetImage>
   <SourceImage condition="end with">powershell.exe</SourceImage>
 </CreateRemoteThread>

``` - ```exclude```相当于白名单，不用记录。```included```相当于黑名单 - ```Image Condition```根据自己使用的浏览器修改。 - 进程创建时间类似，也是不创建浏览器创建进程的时间。 - 网络连接过滤掉了浏览器的网络连接、源IP为```127.0.0.1```的网络连接和目的端口为```137```的连接服务，且查看目的端口为```80（http）````和```443（https）```的网络连接。

• 启动Sysmon
  • 下载老师给的安装包并解压SysinternalsSuite201608
  • 管理员进入命令行，cd 进入工具目录 ```sysmon -accepteula –i -n````指令对sysmon进行安装：
    
• 使用sysmon

  • 在windows中打开事件查看器，在应用程序和服务日志-Microsoft-Windows-Sysmon-Operational可以看到按照配置文件要求记录的新事件，以及事件ID、任务类别、详细信息等。
    

  • 分析实验二生成的后门程序20165229_kk(1).exe,按步骤回连
    

  • 点击Sysmon-operational刷新记录，在16:24:10 找到运行后门文件
    

  • Linux执行shell获取cmd
    

  • 在16:28:00 在日志中有所记录
    

  • 我们在输入dir获取目录下信息，发现了一个被运行的的进程svchost.exe
    
    Svchost.exe是微软视窗操作系统里的一个系统进程，管理通过Dll文件启动服务的其它进程，一些病毒木马伪装成系统dll文件通过Svchost调用它，试图隐藏自己。每个svchost可以同时调用多个dll文件，启动多个服务。

  • 我们在输入webcam_snap获取摄像头，同样也发现了Svchost.exe这个进程。
    

恶意软件分析

静态分析

• 使用VirusTotal分析恶意软件

  • 将实验三生成的加壳后门在VirusTotal进行扫描
    
    查看这个恶意代码的基本属性：可以看出它的SHA-1、MD5摘要值、文件类型、文件大小，以及TRiD文件类型识别结果
  • 使用PEiD进行外壳检测
    

  -使用PE explorer查看PE文件头中包含代码信息

  • 打开后门程序20165229_kk.exe
    
  • 试图-数据目录查看程序静态数据目录
    

  - ```试图```-```节头```查看节头信息
  

  - 工具-反汇编器进行反汇编

 - 退出后点击导入查看所引用的dll库，分析得知

动态分析

• 使用SysTracer分析后门软件的运行过程
  SysTracer是一款可以分析你的计算机文件,文件夹和注册表项目改变的系统实用工具。你可以在任何想要的时间获取无数个屏幕快照，比较任何一对想要的屏幕快照,并且观察其间的不同之处。获取屏幕快照通常会持续几分钟的时间,这取决于文件和文件夹的数量和注册表项目的总数。

  • 进入安装选择第二个，next设置端口为5330（后门生成时利用的端口），安装完成后进入界面

  • 打开后门前先点击take snapshot（创建快照），接着Start

  • 开启后门程序回连kali（停在获取命令的那一刻），此时创建第二个快照Snapshot #2
    

  • 然后kali中输入一个ls命令，此时创建第三个快照Snapshot #3
    

  • 输入screenshot命令抓屏，此时创建第四个快照Snapshot #4
    

  • 点击右下角compare将快照之间进行比较，在Registry可看到注册表的变化（蓝色部分为有变化的）

  • 我们按住ctrl键，选择#1和#2进行比较：可以发现在启动回连时的变化
    

  • 端口变化

  - 新增了写ddl文件

- 关于HKEY_LOCAL_MACHINE：它保存了注册表里的所有与这台计算机有关的配置信息
- 关于HKEY_CURRENT_USER：它管理系统当前的用户信息。在这个根键中保存了本地计算机中存放的当前登录的用户信息，包括用户登录用户名和暂存的密码

• 使用wireshark对流量进行抓包分析
  • 打开Wireshark，选择本地连接接口开始抓包
    kali中打开监控，win7执行后门程序20165229_kk.exe进行回连，输入过滤条件ip.addr == 172.20.10.4，可以看到Wireshark上捕获到大量的TCP传输

实验心得

本次实验的重点在于对恶意代码进行分析，通过这次实验，我懂得了以后要是想检测自己的电脑，可以通过这次实验中使用的方法手动监测。同时，弄清楚一个程序是不是病毒，更要熟悉自己的电脑，清楚某些端口号的作用，清楚什么是可疑的动态。实验中遇到的问题都记录到实验过程中啦~~