2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

时间:2022-09-14 22:25:10

博客目录

一、实践目标

  • 监控你自己系统的运行状态,看有没有可疑的程序在运行。

  • 分析一个恶意软件,就分析Exp2或Exp3中生成后门软件;分析工具尽量使用原生指令或sysinternals,systracer套件。

  • 假定将来工作中你觉得自己的主机有问题,就可以用实验中的这个思路,先整个系统监控看能不能找到可疑对象,再对可疑对象进行进一步分析,好确认其具体的行为与性质。

二、实践内容

1.系统运行监控

(1)使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里。运行一段时间并分析该文件,综述一下分析结果。目标就是找出所有连网的程序,连了哪里,大约干了什么(不抓包的情况下只能猜),你觉得它这么干合适不。如果想进一步分析的,可以有针对性的抓包。

(2)安装配置sysinternals里的sysmon工具,设置合理的配置文件,监控自己主机的重点事可疑行为。

参考:schtask与sysmon应用指导

2.恶意软件分析

分析该软件在(1)启动回连,(2)安装到目标机(3)及其他任意操作时(如进程迁移或抓屏,重要是你感兴趣)。该后门软件

(3)读取、添加、删除了哪些注册表项

(4)读取、添加、删除了哪些文件

(5)连接了哪些外部IP,传输了什么数据(抓包分析)

实验步骤

系统运行监控

1.使用schtasks指令监控系统(使用如计划任务,每隔一分钟记录自己的电脑有哪些程序在联网,连接的外部IP是哪里。运行一段时间并分析该文件,综述分析结果)

  • 使用schtasks /create /TN netstat5202 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt"命令创建计划任务netstat5202

    • TN是TaskName的缩写,我们创建的计划任务名是netstat5202;
    • sc表示计时方式,我们以分钟计时填MINUTE;
    • TR=Task Run,要运行的指令是 netstat
    • bn,b表示显示可执行文件名,n表示以数字来显示IP和端口;
    • 表示输出重定向,将输出存放在c:\netstatlog.txt文件中

      2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 在C盘中创建一个netstat5202.bat脚本文件,写入以下内容

    date /t >> c:\netstat5318.txt time /t >> c:\netstat5318.txt netstat -bn >> c:\netstat5318.txt

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 打开任务计划程序,可以看到新创建的这个任务:

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 双击这个任务,点击操作并编辑,将“程序或脚本”改为我们创建的netstat5318.bat批处理文件,确定即可。

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 还可以自行更改该任务的其他属性,如在"条件"选项卡中可以看到,电源选项中默认操作为“只有在计算机使用交流电源时才启动此任务”,那么使用电池电源时就会停止任务。

  • 执行此脚本一定时间,就可以在netstat5202.txt文件中查看到本机在该时间段内的联网记录:

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 当记录的数据足够丰富时,停止任务,将所得数据在excel中进行分析

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 等待一段时间(如一天),将存储的数据通过excel表进行整理,过程参考其他同学的博客

    • 统计图如下:

      2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析
  • 由统计数据可知,联网最多的是wps软件,对应的程序“wps.exe”,排名第二的是“vmware.exe”,虚拟机的进程。

2.使用sysmon工具监控系统(安装配置sysinternals里的sysmon工具,设置合理的配置文件,监控自己主机的重点事可疑行为。)

① 基本操作

  • 确定要监控的目标:在这里我选择进程创建、进程创建时间、网络连接、远程线程创建
  • 写配置文件
    • 相关事件过滤器选项在这可看到,进程创建ProcessCreate我用到了Image、SourceIp、SourcePort,进程创建时间FileCreateTime我用到了Image,网络连接NetworkConnect我用了Image、SourceIp、SourcePort,远程线程创建CreateRemoteThread我用了TargetImage、SourceImage
    • 开始写与自己想要监控的事件相对应的配置文件,命名为20165202Sysmoncfig.txt,内容如下:(配置文件是xml文件,为了简单编辑就直接命令为.txt,每次用写字本打开。)
<Sysmon schemaversion="3.10">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<ProcessCreate onmatch="exclude">
<Image condition="end with">QQBrowser.exe</Image>
</ProcessCreate> <FileCreateTime onmatch="exclude" >
<Image condition="end with">QQBrowser.exe</Image>
</FileCreateTime> <NetworkConnect onmatch="exclude">
<Image condition="end with">QQBrowser.exe</Image>
<SourcePort condition="is">137</SourcePort>
<SourceIp condition="is">127.0.0.1</SourceIp>
</NetworkConnect>
<NetworkConnect onmatch="include">
<DestinationPort condition="is">80</DestinationPort>
<DestinationPort condition="is">443</DestinationPort>
</NetworkConnect> <CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>
  • 注释:

    • exclude相当于白名单,不用记录。include相当于黑名单
    • Image condition根据自己使用的浏览器更改,如谷歌浏览器是“chrome.exe”,IE浏览器是“iexplore.exe”
    • 进程创建时间类似,也是不创建浏览器创建进程的时间。
    • 网络连接过滤掉了浏览器的网络连接、源IP为127.0.0.1的网络连接和目的端口为137的连接服务,且查看目的端口为80(http)和443(https)的网络连接。(137端口的主要作用是在局域网中提供计算机的名字或IP地址查询服务,一般安装了NetBIOS协议后,该端口会自动处于开放状态。127.0.0.1表示本机IP。)
    • 远程线程创建记录了目标为explorer.exe、svchost.exe、winlogon.exe和powershell.exe 的远程线程。
    • explorer.exe是Windows程序管理器或者文件资源管理器
    • svchost.exe是一个属于微软Windows操作系统的系统程序,是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。
    • winlogon.exe是Windows NT 用户登陆程序,用于管理用户登录和退出。
    • powershell.exe是专为系统管理员设计的新 Windows 命令行外壳程序。该外壳程序包括交互式提示和脚本环境,两者既可以独立使用也可以组合使用。
  • 将配置文件放在C盘中

② 启动sysmon

  • 下载老师给的安装包并解压:SysinternalsSuite201608

  • 右键点击左下角Windows标志,打开Windows PowerShell(管理员)进入管理员命令行,先cd进入工具目录,在安装sysmon:.\Sysmon.exe -i C:\20165202Sysmoncfig.txt

  • 弹出窗口点击Agree,安装成功如下图

    2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 此时sysmon已启动

    2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

③ 使用sysmon

  • 左下角右键Windows标志,找到事件查看器,在应用程序和服务日志-Microsoft-Windows-Sysmon-Operational可以看到按照配置文件的要求记录的新事件,以及事件ID、任务类别、详细信息等等

  • 分析实验二生成的后门程序20165202.exe,按步骤执行到回连

    2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 在点击Sysmon-Operational刷新记录,在12:36:34找到运行后门文件相对应的日志如下

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • Linux执行shell获取cmd

    2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

    • 运行shell,getuid等命令之后,我们都会找到一个之前没有出现过的C:\Windows\SysWOW64\cmd.exe程序如下图所示,SysWOW64可以在64bit的Windows中运行32bit的程序,而Windows下的cmd.exe是64bit的,kali回连获取的windows的cmd程序是32位的!

      2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

恶意软件分析

  • 静态分析
    • 文件扫描(VirusTotal、VirusScan工具等)
    • 文件格式识别(peid、file、FileAnalyzer工具等)
    • 字符串提取(Strings工具等)
    • 反汇编(GDB、IDAPro、VC工具等)
    • 反编译(REC、DCC、JAD工具等)
    • 逻辑结构分析(Ollydbg、IDAPro工具等)
    • 加壳脱壳(UPX、VMUnPacker工具等)

3.使用VirusTotal分析恶意软件

  • 把生成的恶意代码放在VirusTotal进行分析(也可以使用VirusScan工具),基本情况如下:

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 查看这个恶意代码的基本属性:

    2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

    可以看出它的SHA-1、MD5摘要值、文件类型、文件大小,以及TRiD文件类型识别结果。(注:TRiD通过读取文件头,根据特征码进行文件类型匹配。)最神奇的是它可以查出来文件的编码方式,可以看出我是用VC++进行编译的!

  • 还可以看到加壳情况以及该恶意代码的算法库支持情况:

    2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

4.使用PEiD分析恶意软件

PEiD(PE Identifier)是一款著名的查壳工具,其功能强大,几乎可以侦测出所有的壳,其数量已超过470种PE文档的加壳类型和签名。

  • 先看一下没有加壳的后门程序

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 再看一下加过压缩壳的后门程序:

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 再看一下加过加密壳的后门程序:

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 可以看到,该软件无法识别加密壳

5.使用PE Explorer分析恶意软件

PE Explorer是功能超强的可视化Delphi、C++、VB程序解析器,能快速对32位可执行程序进行反编译,并修改其中资源。该软件支持插件,你可以通过增加插件加强该软件的功能,原公司在该工具中捆绑了UPX的脱壳插件、扫描器和反汇编器,可以查看程序头部信息(默认界面)、程序静态数据目录、程序结头信息、对程序反汇编等等,非常好用。

  • 查看程序头部信息

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 这里主要看文件引用的dll库,可以通过视图->引入进行查看,如下图所示:

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • KERNEL32.dll:控制着系统的内存管理、数据的输入输出操作和中断处理。
  • msvcrt.dll:是微软编译软件的函数库。
  • USER32.dll:Windows用户界面相关应用程序接口,用于包括Windows处理,基本用户界面等特性,如创建窗口和发送消息。它是一个对系统很关键或很可疑的文件,易遭受木马病毒破坏导致系统找不到此文件,出现错误提示框。
  • WSOCK32.dll:Windows Sockets应用程序接口,用于支持很多Internet和网络应用程序。是一个对系统很关键或很可疑的文件,易遭受木马病毒破坏导致系统找不到此文件,出现错误提示框。
  • 我使用该工具查看了实验三生成的多个后门程序,发现使用veil生成的后门程序所引用的dll文件是最多的,而且所有的后门程序都会引用KERNEL32.dll这个文件。
  • 工具-反汇编器进行反汇编

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 动态分析
    • 快照比对(SysTracer、Filesnap、Regsnap工具等)
    • 抓包分析(WireShark工具等)
    • 行为监控(Filemon、Regmon、ProcessExplorer工具等)
    • 沙盒(NormanSandbox、CWSandbox工具等)
    • 动态跟踪调试(Ollydbg、IDAPro工具等)

6.使用systracer分析恶意软件

SysTracer是一款可以分析你的计算机文件,文件夹和注册表项目改变的系统实用工具。你可以在任何想要的时间获取无数个屏幕快照,比较任何一对想要的屏幕快照,并且观察其间的不同之处。获取屏幕快照通常会持续几分钟的时间,这取决于文件和文件夹的数量和注册表项目的总数。

  • 最好用两台虚拟机:kali和win7
  • 下载SysTracer
  • 进入安装选择第二个,next设置端口为5202(后门生成时利用的端口),安装完成后进入界面

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 打开后门前先点击take snapshot(创建快照),接着Start
    • 快照一:未移植后门程序,保存为Snapshot #1
    • 快照二:移植后门程序,保存为Snapshot #2
    • 快照三:运行后门程序并在kali中实现回连,保存为Snapshot #3
    • 快照四:在kali中使用dir指令,保存为Snapshot #4
    • 快照五:在kali中使用record_mic指令,保存为Snapshot #5
  • 创建过程长短视当前系统体量而定,创建好后默认名称为Snapshot #1

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 我们按住ctrl键,选择#1和#2进行比较:可以发现在启动回连时的变化

  • 通过右下角的compare键或者View Differences Lists比对各快照,可以选择Only Difference只查看不同的项

  • 对比快照一和快照二:增加了我的后门程序20165202+_upxed.exe,

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 这里可以看到很多增加,删除,更新的键值和文件

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 对比快照二和快照三(后门启动前与启动后):

  • 可以看到新增的后门进程,而且可以详细看到其的目的IP和端口号、源IP和端口号以及连接的协议:

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 而且该后门程序生成了很多文件、目录和键值

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 对HKEY_USER和HKEY_CURRENT_USER根键中的Software子键进行了修改(HKEY_CURRENT_USER管理系统当前的用户信息。在这个根键中保存了本地计算机中存放的当前登录的用户信息,包括用户登录用户名和暂存的密码。):

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 对比快照三和快照四:kali上执行dir指令

  • key_local_machine根键中的内容进行了修改(HKEY_LOCAL_MACHINE保存了注册表里的所有与这台计算机有关的配置信息)

    2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 对比快照四和快照五:kali上执行record_mic指令

  • 注册表项中有以下变化:

    2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

    • 新建了很多连接,其中有与后门程序相关的内容

    • 进程中增加了这一项:音频系统驱动,我猜测应该是与record_mic指令相关

      2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 此外我们可以通过查看后门软件的“opened handles”(打开的句柄)来对比他们都做了什么

7.使用wireshark抓包分析恶意软件

  • 回连完成后结束捕获,并把过滤规则设置为ip.addr == 192.168.153.131,只查看和虚拟机IP有关的数据包,把没用的包过滤掉

  • 我们可以看到有大量的TCP包,这其中有回连相关的包,传输了很多数据:

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

  • 传输的数据包括三次握手:Windows向Kali发出TCP同步请求包SYN,Kali给Windows发出的SYN同步请求包和确认包ACK,Kali给Windows传的ACK包、PSH+ACK包等等(PSH表示有DATA数据传输)

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

四、基础问题回答

1.如果在工作中怀疑一台主机上有恶意代码,但只是猜想,所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些,用什么方法来监控?

  • 最简单的,使用第系统监控schtasks创建计划任务,记录主机连接的外部IP和开放的异常端口。
  • 通过修改配置文件,使用sysmon工具,查看相应日志
  • 使用Process Monitor监视进程情况,观察进程调用的.dll

2.如果已经确定是某个程序或进程有问题,你有什么工具可以进一步得到它的哪些信息?

  • 命令行中使用netstat查看进程连接的外部IP和端口,并追踪
  • 使用Wireshark捕获分析,查看info
  • 通过systracer快照对比,观察文件、注册表等的修改

五、遇到的问题及解决

1.netstat运行失败 txt文档无内容显示

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

解决:这一步我做了很多尝试:最高权限运行、非交流电继续运行,都未解决。最终发现是因为参数那一行多了些内容,参考其他同学的博客进行清空,只使用bat,成功解决。

2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

六、实验总结

  • 本次实验的重点在于对恶意代码进行剖析,在这个稍微强大一点的病毒就能轻易逃过杀软的时代,想要保证电脑的安全不可谓不难。
  • 如果以后我们怀疑自己的电脑被植入了病毒,可以通过这次实验中使用的方法手动监测。
  • 弄清楚一个程序是不是病毒,更要熟悉自己的电脑,清楚某些端口号的作用,清楚什么是可疑的动态。
  • 之前三次实验都是老师给出实验大体步骤,一步一步照着做下去,像按照说明书搭房子,锻炼的是动手能力,但这次实验几乎没有实验指导,怎么做都要自己去想,从地基到房梁结构都要自己设计,侧重于锻炼思维能力,收获了一种全新的学习体验。一些分析软件的使用、Excel的数据导入,都是额外的收获