2019-2020-2 20175302闫君廷《网络对抗技术》Exp4 恶意代码分析

一、实践目标
二、实践内容
三、实验步骤
四、实验感想
五、问题回答

一、实践目标

监控你自己系统的运行状态，看有没有可疑的程序在运行。
分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

二、实践内容

1系统运行监控
（1）使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。
（2）安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。

实际日志的分析还需要发挥下自己的创造力，结合以前学过的知识如linux的文本处理指令等进行。分析的难点在于从大量数据中理出规律、找出问题。这都依赖对结果过滤、统计、分类等进一步处理，这就得大家会什么用什么了。

2恶意软件分析（1.5分）

分析该软件在
（1）启动回连
（2）安装到目标机
（3）及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）
该后门软件：
（1）读取、添加、删除了哪些注册表项
（2）读取、添加、删除了哪些文件
（3）连接了哪些外部IP，传输了什么数据（抓包分析）

三、实验步骤

1. 系统运行监控：

使用schtasks设置计划任务

使用schtasks指令监控系统设置计划任务，每隔一分钟查看自己的电脑有哪些程序在联网，连接的外部IP是哪里，运行一段时间后分析该文件。
在C盘中创建一个netstat5302.bat脚本，写入以下内容

date /t >> c:\netstat5302.txt
time /t >> c:\netstat5302.txt
netstat -bn >> c:\netstat5302.txt

cmd.exe中输入
schtasks /create /TN netstat5302 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt"

创建计划任务netstat5302，命令中TN是TaskName的缩写，sc计时方式，MINUTE以分钟计时，TR即Task Run，netstat要运行的指令，-b输出可执行文件名，-n以数字来显示IP和端口，最后输出重定向，将输出存放在c:\netstatlog.txt文件中。
在任务计划中编辑任务，将程序或脚本设为netstat5302.bat

一定要设置权限，不然运行着也没有用。。。

运行一段时间后将数据导入excel中整理统计，因为我开着任务玩了一会游戏，可以看到LeagueClient.exe等一些游戏客户端相关的应用联网活跃，还有后台疯狂运行的WPS，用过的浏览器QQBrowser.exe，还有一个SearchUI.exe，没想到这个后台疯狂运行的竟然是小娜（cortana），那必然是要跟他说再见了。

使用sysmon工具监控系统。

sysmon是由Windows Sysinternals出品的一款Sysinternals系列中的工具。它以系统服务和设备驱动程序的方法安装在系统上，并保持常驻性。sysmon用来监视和记录系统活动，并记录到windows事件日志，可以提供有关进程创建，网络链接和文件创建时间更改的详细信息。
通过收集使用Windows事件集合或SIEM代理生成的事件，然后分析它们，可以识别恶意或异常活动，并了解入侵者和恶意软件在您的网络上如何操作。
在官网上下载了Sysmon，根据老师教学文档和官网描述，编辑配置文件sysmon5302.xml

内容涉及

进程创建包括cmd.exe的创建和除去chrome.exe
文件更改时间除去chrome.exe
网络连接除去chrome.exe、137端口、127.0.0.1回环IP，包括80、443端口
远程线程创建记录Windows程序管理器或者文件资源管理器explorer.exe；从动态链接库 (DLL) 中运行的服务的通用主机进程svchost.exe；Windows用于管理用户登录和退出的winlogon.exe；为系统管理员设计的Windows命令行外壳程序powershell.exe

打开CMD，进入Sysmon所在位置，运行Sysmon64.exe -i sysmon5302.xml安装Sysmon
在事件查看器中进入应用程序和服务日志/Microsoft/Windows/Sysmon/Operational查看sysmon64的日志。
然后就可以看到乱七八糟的一篇日志，我意识到我的配置文件有问题。。。

于是我根据日志内容修改了一下配置文件，将QQ浏览器、腾讯安全管家和WPS加入了白名单，把那个chrome.exe去掉，因为我没有谷歌浏览器。。。
然后运行Sysmon64.exe -c sysmon5302.xml修改配置
发现我不想看的日志少了很多，但是还是有，我就很奇怪，卸载了再重新安装也不行，没有找解决办法。
运行后门程序与kali回连，sysmon没有看到相关后门程序的运行（？我好像没有事件1的相关日志）
进行相关操作也没有相关日志，倒是在kali中exit之后有一条Process terminated的信息。

在kali中qkill QQBrowser.exe然后我的QQ浏览器全都被关闭了，可以看到进程结束信息，但是没有跟后门相关的信息。