2018-2019-2 网络对抗技术 20165337 Exp4 恶意代码分析

1.实践目标

1.1是监控你自己系统的运行状态，看有没有可疑的程序在运行。

1.2是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。

1.3假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

2.实践内容

2.1系统运行监控

（1）使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。

（2）安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。

参考：schtask与sysmon应用指导

实际日志的分析还需要发挥下自己的创造力，结合以前学过的知识如linux的文本处理指令等进行。分析的难点在于从大量数据中理出规律、找出问题。这都依赖对结果过滤、统计、分类等进一步处理，这就得大家会什么用什么了。

** 2.2恶意软件分析**

分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件

（3）读取、添加、删除了哪些注册表项

（4）读取、添加、删除了哪些文件

（5）连接了哪些外部IP，传输了什么数据（抓包分析）

实验过程

实验一：使用schtasks指令监控系统

使用管理员权限创建任务，输入如下指令

schtasks /create /TN netstat5303 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt"

命令创建计划任务:netstat5337

其中，TN是TaskName的缩写，我们创建的计划任务名是netstat5303；sc表示计时方式，我们以分钟计时填MINUTE；TR=Task Run，要运行的指令是 netstat -bn,b表示显示可执行文件名，n表示以数字来显示IP和端口。

在C盘创建一个txt文件，然后写入下列代码：

date /t >> c:\netstat5337.txt time /t >> c:\netstat5337.txt netstat -bn >> c:\netstat5337.txt

然后将后缀名改为.bat

打开我的电脑，右键单击管理，点击任务计划管理，再点击任务计划程序库就可以看到自己刚刚创建的任务计划

双击任务点击编辑，点击浏览将“程序或脚本”改为netstat5337.bat批处理文件，确定即可。添加参数那里需要把其他的数据都删掉，在首界面要点击使用最高权限运行，否则的话就可能在C盘中无法创建txt文件。

执行此任务一段时间后你就会在C盘里面看见自己创建的netstat5337.txt

然后在Excel中把自己的数据进行系统性的分析，首先导入数据。

对表格进行统计做一些数据透视图，然后就可以更直观的看到那些应用程序进行了链接

从中发现谷歌浏览器联网次数最多，因为经常使用，尤其做实验的时候来回开网页

之后是小娜和金山，都是后台运行联网

其他就是一些后台应用软件

然后就是本地链接的地址

192.168.1.226最多，可能是我的本机地址

外部地址：

链接最多的两个是117.18.232.200和128.58.101.49

这俩地址一个是澳大利亚一个是美国

实验二：系统监控——Sysmon工具

Sysmon是微软Sysinternals套件中的一个工具，能监控几乎所有的重要操作。

首先我们根据实验指导书中的链接下载一下Sysinternals套件，下载下来之后解压，这里一定要注意！！！千万不要直接解压到当前文件夹，一堆看不懂的文件安排的明明白白，一定要建个文件夹解压！！！

接下来，新建并编辑配置文件C:\20165337.xml exclude相当于白名单，里面的程序或IP不会被记录，include相当于黑名单，可以把自己想监控的写到黑名单中

这是xml文件内容

<Sysmon schemaversion="3.10">

  <!-- Capture all hashes -->

  <HashAlgorithms>*</HashAlgorithms>

  <EventFiltering>

    <!-- Log all drivers except if the signature -->

    <!-- contains Microsoft or Windows -->

    <DriverLoad onmatch="exclude">

      <Signature condition="contains">microsoft</Signature>

      <Signature condition="contains">windows</Signature>

    </DriverLoad>

    <NetworkConnect onmatch="exclude">

      <Image condition="end with">chrome.exe</Image>

      <Image condition="end with">iexplorer.exe</Image>

      <SourcePort condition="is">137</SourcePort>

      <SourceIp condition="is">127.0.0.1</SourceIp>

    </NetworkConnect>

    <CreateRemoteThread onmatch="include">

      <TargetImage condition="end with">explorer.exe</TargetImage>

      <TargetImage condition="end with">svchost.exe</TargetImage>

      <TargetImage condition="end with">winlogon.exe</TargetImage>

      <SourceImage condition="end with">powershell.exe</SourceImage>

    </CreateRemoteThread>

  </EventFiltering>

</Sysmon>

使用命令sysmon.exe -i C:\20165337.xml进行Sysmon的配置更新与启动

之后在win10环境下，在我的电脑右键——管理——事件查看器——应用程序和服务日志——Microsoft————Windows——Sysmon——Operational。这里，我们可以看到按照配置文件的要求记录的新事件，以及事件ID、任务类别、详细信息等等。

事件识别码1 :进程建立

事件识别码2 :进程更改了文件创建时间

事件识别码3 :网络连接

事件识别码4 : Sysmon服务状态已变更

事件识别码5 :进程已终止

事件识别码6 :已载入驱动程式

事件识别码7 :已载入影像

事件识别码8 :创建远程线程

事件识别码9 : RawAccessRead

事件识别码10 :进程访问

事件识别码11 :文件创建

事件识别码12 :注册事件(创建和删除对象)

事件识别码13 :注册事件(值集)

事件识别码14 :注册事件(键和值重命名)

事件识别码15 :文件创建流哈希

事件识别码255 :错误

观察一个事件识别码为1的详细信息，谷歌浏览器建立的进程

观察一个事件识别码为5的详细信息，可以看到这是一个有关搜狗输入法的进程终止事件

观察一个事件识别码为2的详细信息，迅雷更改文件创建时间，不知道为什么...

之后打开kali虚拟机，然后使用我们实验三中的后门文件进行回连，然后观察回连成功后的日志

可以看到20165337.exe后门程序创建了网络连接，这应该就是后门回连的时候创建的网络连接使用tcp连接。

接下来我输入照相指令看一下又创建了哪些进程，从图上看到，启动了driver。我猜是启动了相机的驱动程序，而且事件识别码也是6：已载入驱动程式

接下来进行截屏的操作，从图上看出来进行了网络连接，应该是截了屏之后把数据传过去了，所以才会有网络连接，事件识别码3 :网络连接

实验三：恶意软件分析

先把自己的后门软件上传的网站上看一下，很容易被检测到

使用systracer进行分析

首先下载systracer

之后运行程序

我分别创建了四个快照：

1.初始状态，2.成功回连，3.远程操作，4.结束链接：

点击右下角的比较，查看变化

这是注册表，在进行kali回连的时候对很多注册表项都进行了改变

再看文件，不少文件发生变动，尤其是exp4.exe，是我这次的后门文件

应用程序的变化，主要的还是我的后门程序exp4.exe

接下来用wireshark抓包分析连接了哪些外部IP，传输了什么数据

设置主机host为192.168.1.184我的kali虚拟机的IP地址，然后回连看抓到了哪些东西

发现大部分的包都是请求的tcp三次握手请求建立的包，可能他是在大量的发送请求命令然后进行连接

然后打开一个命令包，发现就是三次握手请求建立

然后进行截屏或者录像等操作

发现还只是一堆tcp包，打开一个

正常的三次握手

使用Process Monitor进行分析

Process Monitor一款系统进程监视软件，总体来说，Process Monitor相当于Filemon+Regmon，其中的Filemon专门用来监视系统中的任何文件操作过程，而Regmon用来监视注册表的读写操作过程。有了Process Monitor，使用者就可以对系统中的任何文件和注册表操作同时进行监视和记录，通过注册表和文件读写的变化，对于帮助诊断系统故障或是发现恶意软件、病毒或木马来说，非常有用。这是一个高级的 Windows 系统和应用程序监视工具，由优秀的 Sysinternals 开发，并且目前已并入微软旗下，可靠性自不用说。

运行后门程序进行回连后打开软件，找到后门程序

进程的详细信息

实验中的问题：

1.在任务计划程序库里配置完成后不能点击确定，出现任务出错,错误消息,一个或多个的指定的参数无效窗口，百度了之后解决了。问题链接：https://zhidao.baidu.com/question/1383075504353290300.html?fr=iks&word=��%2C��Ϣ%2Cһ��ָ��Ĳ��Ч&ie=gbk

2.sysmon那一栏没有，重启电脑之后好了

心得体会

通过这次实验我学会了检测自己电脑里的软件都干了些啥，能搞明白自己的网速，性能都去哪了，这种了解自己电脑的过程感觉很美好，感觉自己终于能对自己的电脑有所掌控了