20155217《网络对抗》Exp04 恶意代码分析

Posted on 2018-04-16 12:36 20155217杨笛阅读(373) 评论(0) 编辑收藏举报

20155217《网络对抗》Exp04 恶意代码分析

实践内容

使用schtasks指令监控系统运行
使用sysmon工具监控系统运行
使用virscan分析恶意软件
使用systracer工具分析恶意软件
使用Process Explorer分析恶意软件
使用Process Monitor分析恶意软件
使用wireshark分析恶意软件回连情况
使用PEiD分析恶意软件

使用schtasks指令监控系统运行

在C盘目录下建立netstatlog.bat文件，用来将记录的联网结果格式化输出到netstatlog.txt文件中，netstatlog.bat内容为：

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

打开Windows下命令提示符，输入指令schtasks /create /TN netstat /sc MINUTE /MO 2 /TR "c:\netstatlog.bat"指令创建一个每隔两分钟记录计算机联网情况的任务。
之后查看netstatlog.txt文件，都是正常联网的应用。

隔天再次查看了这一天当中记录的主机联网日志，并未发现异常。

出现的小问题

在最初运行`netstatlog.bat`的时候，会出现需要提高权限的情况。

所以我在运行`netstatlog.bat`时右键单击，点击以管理员身份运行，之后在打开txt文件就能正常显示信息啦。

使用sysmon工具监控系统运行

使用sysmon工具先要配置文件，一开始直接使用老师给的配置文件：

<Sysmon schemaversion="3.10">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
  <Signature condition="contains">microsoft</Signature>
  <Signature condition="contains">windows</Signature>
</DriverLoad>

<NetworkConnect onmatch="exclude">
  <Image condition="end with">chrome.exe</Image>
  <Image condition="end with">iexplorer.exe</Image>
  <SourcePort condition="is">137</SourcePort>
</NetworkConnect>

<CreateRemoteThread onmatch="include">
  <TargetImage condition="end with">explorer.exe</TargetImage>
  <TargetImage condition="end with">svchost.exe</TargetImage>
  <TargetImage condition="end with">winlogon.exe</TargetImage>
  <SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
  </EventFiltering>
</Sysmon>

配置好文件后，先使用Sysmon.exe -i C:\Sysmon.txt指令对sysmon进行安装：

启动之后，便可以到事件查看器里查看相应的日志：

我查看了其中一部分事件的详细信息。
此事件是之前运行Sysmon.exe文件创建的：

此事件是存储360浏览器的缓存数据的：

此事件记录的是运行wps：

之后，我对Sysmoncfg.txt配置文件进行了修改，重点是监视80和443端口的联网情况，发现了一个SoftupNotify.exe的未知进程，百度之后发现竟然是一个蠕虫病毒的名字= =，还是安装在了360本身自建的文件夹里。然后我就搜，发现SoftupNotify.exe是360软件管家的升级助手文件，通常会在开机的时候，或者在软件进行升级的时候会自动启动此进程。闹了一个误会，罪过罪过。其他就没什么异常情况了。

对配置文件的修改如下：

<Sysmon schemaversion="3.10">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
  <Signature condition="contains">microsoft</Signature>
  <Signature condition="contains">windows</Signature>
</DriverLoad>

<NetworkConnect onmatch="exclude">
  <Image condition="end with">WeChat.exe</Image>
</NetworkConnect>

<NetworkConnect onmatch="include">     
  <DestinationPort condition="is">80</DestinationPort>      
  <DestinationPort condition="is">443</DestinationPort>    
</NetworkConnect>

<CreateRemoteThread onmatch="include">
  <TargetImage condition="end with">explorer.exe</TargetImage>
  <TargetImage condition="end with">svchost.exe</TargetImage>
  <TargetImage condition="end with">winlogon.exe</TargetImage>
  <SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
  </EventFiltering>
</Sysmon>