2018-2019-2 网络对抗技术 20165324 网络对抗技术 Exp4：恶意代码分析

课下实验：

• 实践目标
  • 是监控你自己系统的运行状态，看有没有可疑的程序在运行。
  • 是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
  • 假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。
• 实践内容
  • 系统运行监控
    • 使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。
    • 安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
  • 恶意软件分析分析
    • 该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。
    • 该后门软件（3）读取、添加、删除了哪些注册表项（4）读取、添加、删除了哪些文件（5）连接了哪些外部IP，传输了什么数据（抓包分析）
• 实验问题
  • 如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。
    • 使用sysmon工具，监控的可疑的端口、获取注册表信息、网络连接等信息，记录相关的日志文件，然后使用whois查看对方信息，或者使用wireshark抓包分析。
  • 如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
    • 使用virustotal或者viruscanj进行检测，获取信息。
    • 使用systracer工具分析恶意软件，查看其对注册表和文件的修改。

内容4.1：使用schtasks指令监控系统

• 如图使用schtasks /create /TN netstat5324 /sc MINUTE /MO 5 /TR "cmd /c netstat -bn > c:\netstatlog.txt"命令创建计划任务netstat5324，其中，TN是TaskName的缩写，我们创建的计划任务名是netstat5324；sc表示计时方式，我们以分钟计时填MINUTE；TR=Task Run，要运行的指令是 netstat -bn,b表示显示可执行文件名，n表示以数字来显示IP和端口。

• 在C盘中创建一个netstat5324.bat脚本文件（可先创建txt文本文件，使用记事本写入后通过修改文件名来修改文件格式）在其中写入以下内容：

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

• 打开任务计划程序，如图可以看到我们新创建的这个任务：

• 如图执行此脚本一定时间，在netstatlog.txt文件中查看到本机在该时间段内的联网记录：

-如图当记录的数据足够丰富时，停止任务，将所得数据在excel中进行分析

• 生成柱形图，由图可知当前时间段内的任务进程为：TCP、360Tray.exe、QQ.exe、YoudaoNote.exe等等。

任务4.2使用sysmon工具监控系统

• sysmon是微软Sysinternals套件中的一个工具，使用sysmon工具前首先要配置文件。
• 使用Sysmon.exe -i C:\Sysmon20165324.xml安装sysmon。

• 修改的配置文件如下：

<Sysmon schemaversion="3.10"><!-- Capture all hashes --><HashAlgorithms>*</HashAlgorithms><EventFiltering><!-- Log all drivers except if the signature --><!-- contains Microsoft or Windows --><DriverLoad onmatch="exclude"><Signature condition="contains">microsoft</Signature><Signature condition="contains">windows</Signature></DriverLoad><NetworkConnect onmatch="exclude"><Image condition="end with">chrome.exe</Image><Image condition="end with">iexplorer.exe</Image><Image condition="end with">firefox.exe</Image><SourcePort condition="is">137</SourcePort><SourceIp condition="is">127.0.0.1</SourceIp><DestinationPort condition="is">80</DestinationPort>      <DestinationPort condition="is">443</DestinationPort>   </NetworkConnect><CreateRemoteThread onmatch="include"><TargetImage condition="end with">explorer.exe</TargetImage><TargetImage condition="end with">firefox.exe</TargetImage><TargetImage condition="end with">svchost.exe</TargetImage><TargetImage condition="end with">winlogon.exe</TargetImage><SourceImage condition="end with">powershell.exe</SourceImage></CreateRemoteThread><ProcessCreate onmatch="include"><Image condition="end with">chrome.exe</Image><Image condition="end with">iexplorer.exe</Image><Image condition="end with">firefox.exe</Image></ProcessCreate><FileCreateTime onmatch="exclude" ><Image condition="end with">firefox.exe</Image>   </FileCreateTime><FileCreateTime onmatch="include" ><TargetFilename condition="end with">.tmp</TargetFilename>       <TargetFilename condition="end with">.exe</TargetFilename>  </FileCreateTime></EventFiltering>
</Sysmon>

• 使用Sysmon.exe -c C:\Sysmon20165324.xml，将sysmon按照修改好的配置文件进行更新。
• 如图win10下，左下角开始菜单右击->事件查看器->应用程序和服务日志->Microsoft->Windows->Sysmon->Operational。在这里，我们可以看到按照配置文件的要求记录的新事件，以及事件ID、任务类别、详细信息等等。

• 这里我们可以找到刚刚通过命令行，运行Sysmon.exe文件时，所记录的信息：日志名称、来源、事件ID、级别、任务类型等。

内容4.3：使用VirusTotal分析恶意软件

• 如图把生成的恶意代码放在VirusTotal进行分析，基本情况如下：

• 如图查看这个恶意代码的基本属性：

• 可以看出它的行为模式

• 以及该恶意代码的算法库支持情况：
  

• 然后我重点关注了这个运行时DLL，查阅了DLL相关信息：
• 动态链接程序库，全称：Dynamic Link
  Library，简称：DLL，作用在于为应用程
  序提供扩展功能。应用程序想要调用DLL文件，需要跟其进行“动态链接”；从编程的
  角度，应用程序需要知道DLL文件导出的API函数方可调用。由此可见，DLL文件本身并
  不可以运行，需要应用程序调用。正因为DLL文件运行时必须插入到应用程序的内存模
  块当中，这就说明了：DLL文件无法删除。这是由于Windows内部机制造成的：正在运行
  的程序不能关闭。所以，DLL后门由此而生！

• DLL后门原理及特点：把一个实现了后门功能的代码写成一个DLL文件，然后插入到一个EXE文件当中，使
  其可以执行，这样就不需要占用进程，也就没有相对应的PID号，也就可以在任务管理
  器中隐藏。DLL文件本身和EXE文件相差不大，但必须使用程序（EXE）调用才能执行DLL
  文件。DLL文件的执行，需要EXE文件加载，但EXE想要加载DLL文件，需要知道一个DLL
  文件的入口函数（既DLL文件的导出函数），所以，根据DLL文件的编写标准：EXE必须
  执行DLL文件中的DLLMain（）作为加载的条件（如同EXE的mian（））。做DLL后门基本
  分为两种：1）把所有功能都在DLL文件中实现；2）把DLL做成一个启动文件，在需要的
  时候启动一个普通的EXE后门

内容4.4：使用Process Monitor分析恶意软件（window7虚拟机作为靶机）

• Process Monitor 是一款由 Sysinternals 公司开发的包含强大的监视和过滤功能的高级 Windows 监视工具，可实时显示文件系统、注册表、进程/线程的活动。

• 如图打开软件，可以看出其对各个进程的详细记录：

• 在这里我们分析前几天使用过的everything.exe如图：

• 可知该进程创建的时间、进程号、操作、结果。查看Process可得该Everything的版本信息，对应的路径，还有进程标识符PID，以及运行Everything时各个模块的信息。

内容4.5：使用Process Explorer分析恶意软件

• Process Explorer是由Sysinternals开发的Windows系统和应用程序监视工具
• 在这里我们选择在虚拟机windows7安装该软件，并以此作为靶机，kali作为实验的攻击者。

• 靶机运行木马，回连攻击机时，我们可以看到Process Explorer对其进行的记录：

内容4.6: 使用PEiD分析恶意软件

• PEiD(PE Identifier)是一款著名的查壳工具，其功能强大，几乎可以侦测出所有的壳，其数量已超过470 种PE 文档 的加壳类型和签名。
• 对使用了UPX加壳后的后门程序的分析如图：

内容4.7: 使用systracer分析恶意软件

• 基本步骤如下：
• 点击右侧的take snapshot，存储快照
  • 快照一：未移植后门程序
  • 快照二：移植后门程序
  • 快照三：运行后门程序并在kali中实现回连
  • 快照四：在kali中使用dir指令
• 如图四个快照已抓获：

• 对比快照一和快照二，可以知道后门程序20165324_backdoor.exe已植入。

• 对比快照二和快照三，可以知道后门程序修改了权限，键值。dll文件也被修改
  

• 对比快照三和快照四，增加了很多TCP连接，因为后门程序使用reverse_tcp建立连接，kali的命令操作都是通过tcp进行传送。

实验总结与体会

• 本次实验学习了很多软件的使用，通过使用文件扫描工具、文件格式识别工具、快照比对工具等等，对系统安全监测和恶意代码的分析有了基本的认识。通过学习实践，才了解到安全隐患防不胜防，自己应该注重规范上网、按时更新杀软病毒库。浏览器下载的软件或程序都应谨慎防范。