20155323刘威良《网络对抗》Exp4 恶意代码分析

实践目标

1是监控你自己系统的运行状态，看有没有可疑的程序在运行。

2是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。

3假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

实践内容（3.5分）

1系统运行监控（2分）

（1）使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。

（2）安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。

参考：schtask与sysmon应用指导

实际日志的分析还需要发挥下自己的创造力，结合以前学过的知识如linux的文本处理指令等进行。分析的难点在于从大量数据中理出规律、找出问题。这都依赖对结果过滤、统计、分类等进一步处理，这就得大家会什么用什么了。

2恶意软件分析（1.5分）

分析该软件在

(1)启动回连

(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件

（3）读取、添加、删除了哪些注册表项

（4）读取、添加、删除了哪些文件

（5）连接了哪些外部IP，传输了什么数据（抓包分析）

该实验重点在“分析”，不是“如何使用某软件”。组长、课题负责人要求写细一点，其他人可以重点放在分析上。

实验过程

计划任务监控

在C盘根目录下建立一个netstatlog.bat文件(先在桌面建一个txt文件输入内容然后保存为bat文件再拖入c盘)

date /t >> c:\netstatlog.txt

time /t >> c:\netstatlog.txt

netstat -bn >> c:\netstatlog.txt

这个bat文件的作用是将记录的结果按格式输出到netstatlog.txt文件中。

输入命令schtasks /create /TN netstat /sc MINUTE /MO 1 /TR "c:\netstatlog.bat"指令创建一个任务，记录每隔一分钟记录一次计算机的联网情况。

这一步我在自习室做了两次都没有出现和其他同学一样的结果，只有在右键bat文件以管理员身份运行才会刷新txt文件得到监控结果。并不是自动刷新，我打开"控制面板-管理工具-任务计划程序"，在任务计划程序库里找到了该netstat进程并打开属性，勾选"使用最高权限运行"以后还是不行。

后来我发现是我的条件设置那出了问题，默认条件是只有在计算机使用交流电源时才启动此任务，而我在自习室时电脑都是不插电的。

将选项改为唤醒计算机运行此任务就可以什么时候都开始监控了。

由于监控时每一分钟都会闪一次命令行，很不方便，开了一个来小时我就关掉了，然后我将txt内的内容复制到IP地址批量查询网站

对IP地址比较奇怪的几个软件，我百度查询了一下都是日常使用的安全软件，但是里面我发现有个wpscloudsvr.exe，这是WPS的服务，难怪我没设置自启动每次开机都会弹WPS的广告，这也太流氓了。。

用Symon进行运行监控

将解压包里的文件解压至C盘。

将代码存入配置文件Sysmoncfg.txt并存入C盘

<Sysmon schemaversion="3.10">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
  <Signature condition="contains">microsoft</Signature>
  <Signature condition="contains">windows</Signature>
</DriverLoad>

<NetworkConnect onmatch="exclude">
  <Image condition="end with">chrome.exe</Image>
  <Image condition="end with">iexplorer.exe</Image>
  <SourcePort condition="is">137</SourcePort>
</NetworkConnect>

<CreateRemoteThread onmatch="include">
  <TargetImage condition="end with">explorer.exe</TargetImage>
  <TargetImage condition="end with">svchost.exe</TargetImage>
  <TargetImage condition="end with">winlogon.exe</TargetImage>
  <SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
  </EventFiltering>
</Sysmon>