20145304 Exp4 恶意代码分析

实验后回答问题

（1）如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

监控连网记录，查看有没有可疑的信息，可使用Windows计划任务或schtasks来监控系统
监控驱动加载、线程注入等，可使用Sysmon工具，在事件查看器查看。
捕获数据包，分析其内容，看是否有不正常的连接，可开启wireshark。
注册表，运行程序等，可使用systracer拍摄快照，进行对比。
查看开放端口，是否有不需要开放的端口被开启。
（2）如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
可用PEView来查看该程序是否加壳。
PEView逆向查看该程序，可能会找到关于网络连接和编译的线索。
使用systracer拍摄快照，分析程序运行前后的变化。

实验总结与体会

电脑中正在运行的东西，不仅仅只有我们看到的，还可能有一些我们感觉不到的恶意代码在运行，之前的几次实验我们学习的是如何制作恶意代码，这次的恶意代码分析，让我们能依据之前自己做的恶意代码的功能，去分析一些值得关注的一些内容，也为以后可能的分析提供了思路。通过之前的免杀，杀毒软件有时也是很不可靠的，还得靠自己来监控判断，掌握一项技能很重要。

实践过程记录

恶意代码静态分析

将逆序后的shellcode代码放到恶意代码的检测网站上检测。

分析结果显示，39款软件有5款认为其不安全，从检测报告可以推测出该程序可能为一个shellcode的木马。

查看文件行为分析可看到该程序未加壳，还可看到回连的IP与端口信息。

PEiD查看该代码是否加壳

可以看出其编译环境为VC

PEView

使用PEView逆向查看后门程序，猜想可能会有关于IP和端口的信息，但没有找到，数据处大都是乱码，在调试部分，发现了本机上编译该代码的地址。

系统运行监控

使用schtasks分析网络连接情况

创建计划任务。
为方便观察，使用批处理，在C盘下建一个文件netstatlog.bat，并在计划任务中修改操作的添加参数为c:\netstatlog.bat
将netstatlog.txt文件另存为.vbs文件，用Excel打开，进行筛选，查看结果。在5个小时里共有273条记录，删除重复项后只剩19条，除去无用的信息，观察剩下的，无可疑的地方。

使用Sysmon监控

创建配置文件

<Sysmon schemaversion="3.10">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <DriverLoad onmatch="exclude">
      <Signature condition="contains">microsoft</Signature>
      <Signature condition="contains">windows</Signature>
    </DriverLoad>

    <NetworkConnect onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <Image condition="end with">iexplorer.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>