20155234 exp4 恶意代码分析

实验4 恶意代码分析

系统运行监控

Schtasks

先建立一个netstat20155234.txt文件，在文件中输入
date /t >> c:\netstat20155234.txt
time /t >> c:\netstat20155234.txt
netstat -bn >> c:\netstat20155234.txt
然后将此文件名改为netstat20155234.bat
再建立一个netstat20155234.txt，用来将记录的联网结果格式化输出到其中
将这两个文件剪切到c盘目录下
然后，以管理员身份打开命令行，输入schtasks /create /TN netstat /sc MINUTE /MO 1 /TR "c:\netstat20155234.bat"
成功创建计划任务后，打开netstat20155234.txt就可以看见监控

可以看出我当时运行了360浏览器和微信，可以看出我的主机ip为192.168.43.45，访问微信需要经过123.125.54.248的北京联通ip。

而360se中的42.121.254.191来自阿里云。并且都利用了tcp协议。

sysmon工具

配置及运行过程其他同学已经写得十分详细了，我在下面给出我的事件日志。

• 这是360浏览器
  

  记录了我运行360浏览器打开了一个网页

• 这是一个运行的后门但并没有回连
  

  可以看出只是一个单纯的运行的应用程序

• 这是一个运行并且回连成功的后门
  

  我们可以清晰的看出这是利用tcp访问了1234端口，ip为192.169.152.128

  在线分析

  
  

  由这张图可以发现，这个后门程序使用了ADVAPI32.dll、KERNEL32.dll、MSVCRT.dll、WS2_32.dll、WSOCK32.dll，这五个链接库，其中WS2_32.dll、WSOCK32.dll是比较熟悉的win上面编写SOCKET用的，这是用来回连使用的，而advapi32.dll是一个高级API应用程序接口服务库的一部分，包含的函数与对象的安全性，注册表的操控以及事件日志有关，从这句解释就可以看出，本后门程序的潜在的威胁，kernel32.dll是Windows 9x/Me中非常重要的32位动态链接库文件，属于内核级文件。它控制着系统的内存管理、数据的输入输出操作和中断处理，当Windows启动时，kernel32.dll就驻留在内存中特定的写保护区域，使别的程序无法占用这个内存区域。而msvcrt.dll是微软在windows操作系统中提供的C语言运行库执行文件（Microsoft Visual C Runtime Library)，其中提供了printf,malloc,strcpy等C语言库函数的具体运行实现，并且为使用C/C++(Vc)编译的程序提供了初始化（如获取命令行参数）以及退出等功能。

  恶意软件分析

  Systracer

  这是Windows正常运行
  
  这是运行后门回连之后
  
  

  可以看出利用tcp协议访问1234端口

  

  可以看出后门在更改注册表

  在回连成功后输入dir命令可以看出多了一个svchost.exe的服务

  

  实验后回答问题

  如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

• 可以通过计划任务，来建立一个定时更新的日志来查看

• 通过sysmon来监控。

  如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。

• 可以通过抓包工具，进行分析。

• 通过systracer工具分析某个程序执行前后，计算机注册表、文件、端口的一些变化情况。

  实验总结与体会

  通过本次试验，从监测发现可疑文件到对可疑代码进行分析再到确认恶意代码，收获是不少的。这次学习，学会了杀毒软件所不能解决的事情。上次做免杀得知，杀毒软件的检测是基于恶意代码的特征吗进行识别的。如果一个恶意代码的特征码不在杀毒软件的特征库里，那么会产生严重后果。