2018-2019-2 网络对抗技术 20165202 Exp4 恶意代码分析

博客目录

一、实践目标
二、实践内容
- 1.系统运行监控
- 2.恶意软件分析
三、实验步骤
四、基础问题回答
五、遇到的问题及解决
六、实验总结

一、实践目标

监控你自己系统的运行状态，看有没有可疑的程序在运行。
分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

二、实践内容

1.系统运行监控

（1）使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。

（2）安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。

参考：schtask与sysmon应用指导

2.恶意软件分析

分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件

（3）读取、添加、删除了哪些注册表项

（4）读取、添加、删除了哪些文件

（5）连接了哪些外部IP，传输了什么数据（抓包分析）

实验步骤

系统运行监控

1.使用schtasks指令监控系统（使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述分析结果）

使用schtasks /create /TN netstat5202 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt"命令创建计划任务netstat5202
- TN是TaskName的缩写，我们创建的计划任务名是netstat5202;
- sc表示计时方式，我们以分钟计时填MINUTE；
- TR=Task Run，要运行的指令是 netstat
- bn,b表示显示可执行文件名，n表示以数字来显示IP和端口;
- 表示输出重定向，将输出存放在c:\netstatlog.txt文件中
在C盘中创建一个netstat5202.bat脚本文件，写入以下内容

date /t >> c:\netstat5318.txt time /t >> c:\netstat5318.txt netstat -bn >> c:\netstat5318.txt

打开任务计划程序，可以看到新创建的这个任务：

双击这个任务，点击操作并编辑，将“程序或脚本”改为我们创建的netstat5318.bat批处理文件，确定即可。

还可以自行更改该任务的其他属性，如在"条件"选项卡中可以看到，电源选项中默认操作为“只有在计算机使用交流电源时才启动此任务”，那么使用电池电源时就会停止任务。
执行此脚本一定时间，就可以在netstat5202.txt文件中查看到本机在该时间段内的联网记录：

当记录的数据足够丰富时，停止任务，将所得数据在excel中进行分析

等待一段时间（如一天），将存储的数据通过excel表进行整理，过程参考其他同学的博客
- 统计图如下：
由统计数据可知，联网最多的是wps软件，对应的程序“wps.exe”,排名第二的是“vmware.exe”，虚拟机的进程。

2.使用sysmon工具监控系统（安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。）

① 基本操作

确定要监控的目标：在这里我选择进程创建、进程创建时间、网络连接、远程线程创建
写配置文件
- 相关事件过滤器选项在这可看到，进程创建ProcessCreate我用到了Image、SourceIp、SourcePort，进程创建时间FileCreateTime我用到了Image，网络连接NetworkConnect我用了Image、SourceIp、SourcePort，远程线程创建CreateRemoteThread我用了TargetImage、SourceImage
- 开始写与自己想要监控的事件相对应的配置文件，命名为20165202Sysmoncfig.txt，内容如下：（配置文件是xml文件，为了简单编辑就直接命令为.txt，每次用写字本打开。）

<Sysmon schemaversion="3.10">

   <!-- Capture all hashes -->

   <HashAlgorithms>*</HashAlgorithms>

   <EventFiltering>

     <!-- Log all drivers except if the signature -->

     <!-- contains Microsoft or Windows -->

     <ProcessCreate onmatch="exclude">

       <Image condition="end with">QQBrowser.exe</Image>

     </ProcessCreate>

     <FileCreateTime onmatch="exclude" >

       <Image condition="end with">QQBrowser.exe</Image>

     </FileCreateTime>

     <NetworkConnect onmatch="exclude">

       <Image condition="end with">QQBrowser.exe</Image>

       <SourcePort condition="is">137</SourcePort>

       <SourceIp condition="is">127.0.0.1</SourceIp>

     </NetworkConnect>

     <NetworkConnect onmatch="include">

       <DestinationPort condition="is">80</DestinationPort>

       <DestinationPort condition="is">443</DestinationPort>

     </NetworkConnect>

     <CreateRemoteThread onmatch="include">

       <TargetImage condition="end with">explorer.exe</TargetImage>

       <TargetImage condition="end with">svchost.exe</TargetImage>

       <TargetImage condition="end with">winlogon.exe</TargetImage>

       <SourceImage condition="end with">powershell.exe</SourceImage>

     </CreateRemoteThread>

   </EventFiltering>

</Sysmon>

注释：
- exclude相当于白名单，不用记录。include相当于黑名单
- Image condition根据自己使用的浏览器更改，如谷歌浏览器是“chrome.exe”，IE浏览器是“iexplore.exe”
- 进程创建时间类似，也是不创建浏览器创建进程的时间。
- 网络连接过滤掉了浏览器的网络连接、源IP为127.0.0.1的网络连接和目的端口为137的连接服务，且查看目的端口为80（http）和443（https）的网络连接。（137端口的主要作用是在局域网中提供计算机的名字或IP地址查询服务，一般安装了NetBIOS协议后，该端口会自动处于开放状态。127.0.0.1表示本机IP。）
- 远程线程创建记录了目标为explorer.exe、svchost.exe、winlogon.exe和powershell.exe 的远程线程。
- explorer.exe是Windows程序管理器或者文件资源管理器
- svchost.exe是一个属于微软Windows操作系统的系统程序，是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。
- winlogon.exe是Windows NT 用户登陆程序，用于管理用户登录和退出。
- powershell.exe是专为系统管理员设计的新 Windows 命令行外壳程序。该外壳程序包括交互式提示和脚本环境，两者既可以独立使用也可以组合使用。
将配置文件放在C盘中

② 启动sysmon

下载老师给的安装包并解压：SysinternalsSuite201608
右键点击左下角Windows标志，打开Windows PowerShell(管理员)进入管理员命令行，先cd进入工具目录，在安装sysmon：.\Sysmon.exe -i C:\20165202Sysmoncfig.txt
弹出窗口点击Agree，安装成功如下图
此时sysmon已启动

③ 使用sysmon

左下角右键Windows标志，找到事件查看器，在应用程序和服务日志-Microsoft-Windows-Sysmon-Operational可以看到按照配置文件的要求记录的新事件，以及事件ID、任务类别、详细信息等等
分析实验二生成的后门程序20165202.exe，按步骤执行到回连
在点击Sysmon-Operational刷新记录，在12:36:34找到运行后门文件相对应的日志如下

Linux执行shell获取cmd
- 运行shell，getuid等命令之后，我们都会找到一个之前没有出现过的C:\Windows\SysWOW64\cmd.exe程序如下图所示，SysWOW64可以在64bit的Windows中运行32bit的程序，而Windows下的cmd.exe是64bit的，kali回连获取的windows的cmd程序是32位的！

恶意软件分析

静态分析
- 文件扫描（VirusTotal、VirusScan工具等）
- 文件格式识别（peid、file、FileAnalyzer工具等）
- 字符串提取（Strings工具等）
- 反汇编（GDB、IDAPro、VC工具等）
- 反编译（REC、DCC、JAD工具等）
- 逻辑结构分析（Ollydbg、IDAPro工具等）
- 加壳脱壳（UPX、VMUnPacker工具等）

3.使用VirusTotal分析恶意软件

把生成的恶意代码放在VirusTotal进行分析（也可以使用VirusScan工具），基本情况如下：

查看这个恶意代码的基本属性：

可以看出它的SHA-1、MD5摘要值、文件类型、文件大小，以及TRiD文件类型识别结果。（注：TRiD通过读取文件头，根据特征码进行文件类型匹配。）最神奇的是它可以查出来文件的编码方式，可以看出我是用VC++进行编译的！
还可以看到加壳情况以及该恶意代码的算法库支持情况：

4.使用PEiD分析恶意软件

PEiD(PE Identifier)是一款著名的查壳工具，其功能强大，几乎可以侦测出所有的壳，其数量已超过470种PE文档的加壳类型和签名。

先看一下没有加壳的后门程序

再看一下加过压缩壳的后门程序：

再看一下加过加密壳的后门程序：

可以看到，该软件无法识别加密壳

5.使用PE Explorer分析恶意软件

PE Explorer是功能超强的可视化Delphi、C++、VB程序解析器，能快速对32位可执行程序进行反编译，并修改其中资源。该软件支持插件，你可以通过增加插件加强该软件的功能，原公司在该工具中捆绑了UPX的脱壳插件、扫描器和反汇编器，可以查看程序头部信息（默认界面）、程序静态数据目录、程序结头信息、对程序反汇编等等，非常好用。

查看程序头部信息

这里主要看文件引用的dll库，可以通过视图->引入进行查看，如下图所示：

KERNEL32.dll：控制着系统的内存管理、数据的输入输出操作和中断处理。
msvcrt.dll：是微软编译软件的函数库。
USER32.dll：Windows用户界面相关应用程序接口，用于包括Windows处理，基本用户界面等特性，如创建窗口和发送消息。它是一个对系统很关键或很可疑的文件，易遭受木马病毒破坏导致系统找不到此文件，出现错误提示框。
WSOCK32.dll：Windows Sockets应用程序接口，用于支持很多Internet和网络应用程序。是一个对系统很关键或很可疑的文件，易遭受木马病毒破坏导致系统找不到此文件，出现错误提示框。
我使用该工具查看了实验三生成的多个后门程序，发现使用veil生成的后门程序所引用的dll文件是最多的，而且所有的后门程序都会引用KERNEL32.dll这个文件。
工具-反汇编器进行反汇编

动态分析
- 快照比对（SysTracer、Filesnap、Regsnap工具等）
- 抓包分析（WireShark工具等）
- 行为监控（Filemon、Regmon、ProcessExplorer工具等）
- 沙盒（NormanSandbox、CWSandbox工具等）
- 动态跟踪调试（Ollydbg、IDAPro工具等）

6.使用systracer分析恶意软件

SysTracer是一款可以分析你的计算机文件,文件夹和注册表项目改变的系统实用工具。你可以在任何想要的时间获取无数个屏幕快照，比较任何一对想要的屏幕快照,并且观察其间的不同之处。获取屏幕快照通常会持续几分钟的时间,这取决于文件和文件夹的数量和注册表项目的总数。

最好用两台虚拟机：kali和win7
下载SysTracer
进入安装选择第二个，next设置端口为5202（后门生成时利用的端口），安装完成后进入界面

打开后门前先点击take snapshot（创建快照），接着Start
- 快照一：未移植后门程序，保存为Snapshot #1
- 快照二：移植后门程序，保存为Snapshot #2
- 快照三：运行后门程序并在kali中实现回连，保存为Snapshot #3
- 快照四：在kali中使用dir指令，保存为Snapshot #4
- 快照五：在kali中使用record_mic指令，保存为Snapshot #5
创建过程长短视当前系统体量而定，创建好后默认名称为Snapshot #1

我们按住ctrl键，选择#1和#2进行比较：可以发现在启动回连时的变化
通过右下角的compare键或者View Differences Lists比对各快照，可以选择Only Difference只查看不同的项
对比快照一和快照二：增加了我的后门程序20165202+_upxed.exe，

这里可以看到很多增加，删除，更新的键值和文件

对比快照二和快照三（后门启动前与启动后）：
可以看到新增的后门进程，而且可以详细看到其的目的IP和端口号、源IP和端口号以及连接的协议：

对HKEY_USER和HKEY_CURRENT_USER根键中的Software子键进行了修改（HKEY_CURRENT_USER管理系统当前的用户信息。在这个根键中保存了本地计算机中存放的当前登录的用户信息，包括用户登录用户名和暂存的密码。）：

对比快照三和快照四：kali上执行dir指令
对key_local_machine根键中的内容进行了修改（HKEY_LOCAL_MACHINE保存了注册表里的所有与这台计算机有关的配置信息）
对比快照四和快照五：kali上执行record_mic指令
注册表项中有以下变化：
- 新建了很多连接，其中有与后门程序相关的内容
- 进程中增加了这一项:音频系统驱动，我猜测应该是与record_mic指令相关
此外我们可以通过查看后门软件的“opened handles”（打开的句柄）来对比他们都做了什么

7.使用wireshark抓包分析恶意软件

回连完成后结束捕获，并把过滤规则设置为ip.addr == 192.168.153.131，只查看和虚拟机IP有关的数据包，把没用的包过滤掉
我们可以看到有大量的TCP包，这其中有回连相关的包,传输了很多数据：

传输的数据包括三次握手：Windows向Kali发出TCP同步请求包SYN，Kali给Windows发出的SYN同步请求包和确认包ACK，Kali给Windows传的ACK包、PSH+ACK包等等（PSH表示有DATA数据传输）

四、基础问题回答

1.如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控？

最简单的，使用第系统监控schtasks创建计划任务，记录主机连接的外部IP和开放的异常端口。
通过修改配置文件，使用sysmon工具，查看相应日志
使用Process Monitor监视进程情况，观察进程调用的.dll

2.如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息？

命令行中使用netstat查看进程连接的外部IP和端口，并追踪
使用Wireshark捕获分析，查看info
通过systracer快照对比，观察文件、注册表等的修改

五、遇到的问题及解决

1.netstat运行失败 txt文档无内容显示

解决：这一步我做了很多尝试：最高权限运行、非交流电继续运行，都未解决。最终发现是因为参数那一行多了些内容，参考其他同学的博客进行清空，只使用bat，成功解决。

六、实验总结

本次实验的重点在于对恶意代码进行剖析，在这个稍微强大一点的病毒就能轻易逃过杀软的时代，想要保证电脑的安全不可谓不难。
如果以后我们怀疑自己的电脑被植入了病毒，可以通过这次实验中使用的方法手动监测。
弄清楚一个程序是不是病毒，更要熟悉自己的电脑，清楚某些端口号的作用，清楚什么是可疑的动态。
之前三次实验都是老师给出实验大体步骤，一步一步照着做下去，像按照说明书搭房子，锻炼的是动手能力，但这次实验几乎没有实验指导，怎么做都要自己去想，从地基到房梁结构都要自己设计，侧重于锻炼思维能力，收获了一种全新的学习体验。一些分析软件的使用、Excel的数据导入，都是额外的收获