20145240《网络对抗》恶意代码分析

恶意代码

基础知识

恶意代码又称恶意软件。这些软件也可称为广告软件（adware）、间谍软件（spyware）、恶意共享软件（malicious shareware）。是指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装运行，侵犯用户合法权益的软件。与病毒或蠕虫不同，这些软件很多不是小团体或者个人秘密地编写和散播，反而有很多知名企业和团体涉嫌此类软件。有时也称作流氓软件。

恶意代码是指故意编制或设置的、对网络或系统会产生威胁或潜在威胁的计算机代码。最常见的恶意代码有计算机病毒（简称病毒）、特洛伊木马（简称木马）、计算机蠕虫（简称蠕虫）、后门、逻辑炸弹等。

特征：

（1） 恶意的目的

（2） 本身是计算机程序

（3） 通过执行发生作用

静态分析

本次实验分析的对象是lsj2.exe

特征库比对

点击“文件行为分析”，可以发现该文件会有加壳、网络连接的行为，自行删除注册表键值的行为

PEID

PEiD是一款著名的查壳工具，其功能强大，几乎可以侦测出所有的壳，但是检测自己生成的52406.exe时却什么都没找到



百度一下UPX发现，这就是一个压缩壳工具

动态分析

使用计划任务schtasks

先在C盘目录下建立一个netstatlog.bat文件，用来将记录的联网结果格式化输出到netstat5240.txt文件中，netstatlog.bat内容为：



打开Windows下命令提示符，输入指令

schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c:\netstatlog.bat"

指令创建一个每隔两分钟记录计算机联网情况的任务：



在任务计划程序中，新建一个触发器



新建一个操作，并设置参数：>> c:\netstat5240.txt



并设置一个名称，给予最高权限



回连后，发现记录了以下回连产生的记录

sysmon工具查看恶意代码回连前后情况

在Sysmon.exe同目录下建立文件：20145240.txt，并输入老师指导书中给的XML

管理员身份运行CMD，输入指令：Sysmon.exe -i test.xml，进行安装



输入指令：Sysmon.exe -c test.xml，进行配置



设置好上述，可以进入Applications and Services Logs/Microsoft/Windows/Sysmon/Operational查看日志，需等待加载，回连并查找52406.exe

TCPView查看恶意代码回连前后情况

在xp下运行查看，如下图

wireshark抓包分析

捕获tcp三次握手以及捕捉到了靶机kali向主机发送文件的数据包



虚拟机IP地址 ：192.168.31.128

使用PE Explorer分析恶意软件

在虚拟机下通过PE explorer打开文件52406.exe，可以查看PE文件编译的一些基本信息，导入导出表等

SysTracer

1.在正常情况下，我们在主机下快照保存为Snapshot #1；

2.Kali生成相应的后门，将文件通过ncat传到主机下后快照保存为Snapshot #2；

3.Kali开启msf监听，在主机下运行后门程序后快照保存为Snapshot #3；

4.Kali对主机虚拟机进行截图后，在win7下快照保存为Snapshot #4；

5.Kali对主机进行一些权限操作后，在win7下快照保存为Snapshot #5.

快照结果对比分析：

1&2： 将文件传到主机后发现注册表发生了变化，发现可以桌面新增了文件





2&3：Kali回连成功后注册表发生变化，进程信息发现我们有网络连接







3&4：获取主机截屏后，注册表信息又发生变化





4&5：在进行一些权限操作后，进程信息显示后门程序有联网诉求

实验后回答问题

（1）如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

可以对比注册表，进程，端口，服务还有文件等信息，对其进行监控。

可以用到本次实验的工具来分析，如 wireshark捕包、TCPview查看系统的TCP连接信息、sysmon用来监视和记录系统活动、是否有获取权限等行为。

（2）如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。

Process Explorer工具，观察里面是否有这个未知程序在运行，并且查看dll等信息。

使用wireshark捕包，重点查看与未知程序进行网络连接IP的包，分析包内的信息是否为敏感信息。

2.实验总结与体会

因为电脑内存小虚拟机左一个右一个，实在是很麻烦，但是本次实践时在SysTracer快照时头一次体会到了电脑内存小的好处， 快照了3个的时候出现了问题，只能重装，还好比较快基本上每个照一两分钟就结束了，很感动。一次用这么多工具，刚开始有点分不清每个的功能，也出现了很多问题，实践才是硬道理，还有待努力改进。