- 2018-2019-2 网络对抗技术 20165206 Exp4 恶意代码分析

- 实验任务

1系统运行监控（2分）

（1）使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。

（2）安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。

参考：schtask与sysmon应用指导

实际日志的分析还需要发挥下自己的创造力，结合以前学过的知识如linux的文本处理指令等进行。分析的难点在于从大量数据中理出规律、找出问题。这都依赖对结果过滤、统计、分类等进一步处理，这就得大家会什么用什么了。

2恶意软件分析（1.5分）

分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件

（3）读取、添加、删除了哪些注册表项

（4）读取、添加、删除了哪些文件

（5）连接了哪些外部IP，传输了什么数据（抓包分析）

- 基础问题回答

（1）如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

我想监控的操作有：注册表的修改、进程的创建、可疑端口的占用、主机与可疑网络进行通信、哪些文件被查看了等。

监控方法有：使用sysmon并通过修改配置文件，记录相关操作的系统日志文件、使用netstat，让其定时执行，对记录的网络连接进行分析等。

（2）如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。

使用wireshark软件进行抓包分析，查看与主机进行的通信过程，判断是否存在可疑连接；

使用Systracer软件对比分析，通过注册表等信息是否改变等相关信息来进行分析。

- 实验过程

- 系统运行监控

- 使用schtasks指令监控系统

使用schtasks /create /TN netstat5206 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog5206.txt命令,创建计划任务netstat5206;
指令含义：

TN是TaskName的缩写，我们创建的计划任务名是netstat5206;

sc表示计时方式，我们以分钟计时填MINUTE；

TR=Task Run，要运行的指令是 netstat

-bn,b表示显示可执行文件名，n表示以数字来显示IP和端口;

c:\netstatlog5206.txt类似于Linux中的重定向，输出将存放在C盘下的netstatlog5206.txt文件中（自动生成）。
创建脚本文件netstat5206.bat,将它放到c盘中，修改文件内容为：

date /t >> c:\netstatlog5206.txt

time /t >> c:\netstatlog5206.txt

netstat -bn >> c:\netstatlog5206.txt

打开任务计划程序，找到新创建的任务netstat5206；
对这个任务进行编辑，将“程序或脚本”改为netstat5206.bat批处理文件；
运行一定时间，可在netstatlog5206.txt中查看本机在该时间内的联网记录（由于我不小心将之前统计的netstatlog5206.txt删掉了，分析的数据不是很多。。）；
将所得数据在excel中进行分析，导入文本数据；
选择分隔符号；
选中全部分隔符号；
列数据格式选择常规；
导入成功；
选中要分析的列；
生成统计图进行分析，虽然数据较少，但也可以看出TCP连接是最多的，联网最多的是搜狗浏览器对应的程序“Sogoucloud.exe”，也可以看到后门程序20165206_exp4.exe、VM等联网的进程。

- 使用sysmon工具监控系统

创建配置文件sysmon20165206.xml，修改内容为：

<Sysmon schemaversion="3.10">

  <!-- Capture all hashes -->

  <HashAlgorithms>*</HashAlgorithms>

  <EventFiltering>

    <!-- Log all drivers except if the signature -->

    <!-- contains Microsoft or Windows -->

    <ProcessCreate onmatch="exclude">

      <Image condition="end with">chrome.exe</Image>

    </ProcessCreate>

    <FileCreateTime onmatch="exclude" >

      <Image condition="end with">chrome.exe</Image>

    </FileCreateTime>

    <NetworkConnect onmatch="exclude">

      <Image condition="end with">chrome.exe</Image>

      <SourcePort condition="is">137</SourcePort>

      <SourceIp condition="is">127.0.0.1</SourceIp>

    </NetworkConnect>

    <NetworkConnect onmatch="include">

      <DestinationPort condition="is">80</DestinationPort>

      <DestinationPort condition="is">443</DestinationPort>

    </NetworkConnect>

    <CreateRemoteThread onmatch="include">

      <TargetImage condition="end with">explorer.exe</TargetImage>

      <TargetImage condition="end with">svchost.exe</TargetImage>

      <TargetImage condition="end with">winlogon.exe</TargetImage>

      <SourceImage condition="end with">powershell.exe</SourceImage>

    </CreateRemoteThread>

  </EventFiltering>

</Sysmon>

指令含义：

exclude相当于白名单，不用记录。include相当于黑名单。

Image condition这里要根据自己使用的浏览器更改，例如谷歌浏览器是“chrome.exe”，IE浏览器是“iexplore.exe”,写在exclude中就是不记录由该浏览器创建的进程。

进程创建时间类似，也是不创建浏览器创建进程的时间。

网略连接过滤掉了浏览器的网络连接、源IP为127.0.0.1的网络连接和目的端口为137的连接服务，且查看目的端口为80（http）和443（https）的网络连接。

137端口的主要作用是在局域网中提供计算机的名字或IP地址查询服务，一般安装了NetBIOS协议后，该端口会自动处于开放状态。

127.0.0.1表示本机IP。

远程线程创建记录了目标为explorer.exe、svchost.exe、winlogon.exe和powershell.exe 的远程线程。

explorer.exe是Windows程序管理器或者文件资源管理器

svchost.exe是一个属于微软Windows操作系统的系统程序，是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。

winlogon.exe是Windows NT 用户登陆程序，用于管理用户登录和退出。

powershell.exe是专为系统管理员设计的新 Windows 命令行外壳程序。该外壳程序包括交互式提示和脚本环境，两者既可以独立使用也可以组合使用。
在cmd中输入sysmon.exe -i C:\sysmon20165206.xml命令，安装sysmon；
弹出的窗口选择agree；
成功安装；
在计算机管理中查看事件查看器，选择日志的位置为应用程序和服务日志/Microsoft/Windows/Sysmon/Operational；
利用Sysmon具体分析后门程序；
启动Kali，进行回连；
找到运行后门文件相对应的日志，查看详细信息，可以看到这个后门映像文件的具体位置等一些信息；

- 恶意软件分析

- 用VirusTotal分析恶意代码

可以看到这个恶意代码的SHA-1、MD5摘要值、文件类型、文件大小等基本属性。

- 使用PEiD分析恶意软件

扫描没有加壳的后门程序，什么也没有找到；
扫描加了压缩壳的后门程序，可以发现压缩壳；
扫描加了加密壳的后门程序，什么也没有找到；
扫描加了压缩壳后又加了加密壳的后门程序，什么也没有找到；

发现PEid可以发现压缩壳，但不能扫描出加密壳。

- 用Systracer分析恶意代码

下载完成后进行安装，选择第二个；
设置监听端口号；
完成安装后进行对回连前后分别进行快照，take snapshot；
点击上方“Applications”->左侧“Running Processes”->找到后门进程“20165206_ex4.exe”->点击“Opened Ports”查看回连地址、远程地址和端口号;
点击“Compare”，比对一下回连前后计算机发生的变化,选择only difference,查看改变的地方;
可以发现对文件和注册表等进行了修改；

还有许多信息由于未注册不能查看；

-查看opened handles来对比他们都做了什么；

- 用Wireshark分析恶意代码

查看VM虚拟机的ip和主机上VM的ip；

设置过滤规则为ip.addr == 192.168.154.128，只查看与虚拟机IP有关的数据包；
在回连之前，开始捕获，回连完成后结束捕获；
可以看到先进行了TCP三次握手，然后开始传输数据，并传输了大量ACK、PSH+ACK等数据包；
分析数据包可以看到占用的端口等信息；

- 实验总结与体会

这次实验相对以前而言，并没有太多动手的地方，主要是分析恶意代码。通过这次实验，我们可以使用一些恶意代码分析软件来分析恶意代码，也初步尝试监控我们电脑了。比如可以周期性的运行一个任务，查看联网的程序、连接的外部IP等。通过分析，可以发现我们电脑存在的一些隐患或问题。这次和前几次不同，调换了身份，从攻击者变成了防御者，让我对恶意代码有了进一步的理解，收获很大。