20175110 王礼博 exp4恶意代码分析

1.基础知识
2.系统运行监控
3.恶意软件分析
4.基础问题回答
5.实践总结与体会

1. 基础知识

1.1 恶意代码的概念与分类

定义：指故意编制或设置的、对网络或系统会产生威胁或潜在威胁的计算机代码。
特征：
- 恶意的目的
- 本身是计算机程序
- 通过执行发生作用
类型：
- 计算机病毒
- 蠕虫
- 恶意移动代码
- 后门
- 特洛伊木马
- 僵尸程序
- 内核套件
- 融合型恶意代码

1.2 恶意代码的分析方法

静态分析
- 恶意代码扫描
- 文件格式识别
- 字符串提取
- 二进制结构分析
- 反汇编
- 反编译
- 代码结构与逻辑分析
- 加壳识别和代码脱壳
动态分析
- 快照对比
- 动态行为监控
- 网络监控
- 沙盒
- 动态跟踪调试

返回目录

2. 系统运行监控

2.1 Windows计划任务schtasks

输入以下命令schtasks /create /TN netstat /sc MINUTE /MO 1 /TR “d:\netstatlog.bat”，创建任务，下面我们来写任务需要调用的bat文件。
- TN: Task Name
- SC: SChedule type,
- MO: MOdifier
- TR: Task Run

接下来先新建一个txt文档，然后输入以下指令,强行转化为.bat类型的文件，放入d盘

date /t >> d:\netstatlog.txt

time /t >> d:\netstatlog.txt

netstat -bn >> d:\netstatlog.txt
打开任务计划程序，找到我们的任务

双击任务，进行提权和脚本确认。

在D盘下建立netstatlog.txt文档，打开文档并运行任务，发现信息已收集。

使用Excel进行导入，并用数据透视图对文本信息进行处理。

分析

我发现，wps，迅雷和QQ浏览器占用的资源是最多的，这是符合实际情况的。由于我用的是苹果手机，所以电脑上安装了苹果服务组件，但是我记得是不自动开启这些服务的，然而苹果服务组件占用了一部分资源，我猜测可能是由于客服服务需求和软件更新需求，所以苹果才在后台偷偷开启组件，其余软件的占用量属于正常范围，没发现什么异常。

2.2 sysmon

首先去官网下载sysmon
创建配置文件sysmon.xml，文件中写入以下指令

<Sysmon schemaversion="4.12">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
<Signature condition="contains">microsoft</Signature>
<Signature condition="contains">windows</Signature>
</DriverLoad>
<NetworkConnect onmatch="exclude">
<Image condition="end with">chrome.exe</Image>
<Image condition="end with">iexplorer.exe</Image>
<SourcePort condition="is">137</SourcePort>
<SourceIp condition="is">127.0.0.1</SourceIp>
</NetworkConnect>
<CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>

将xml与安装包放在同一目录下，以管理员身份打开命令行，使用指令Sysmon.exe -i sysmon.xml安装sysmon。输入命令之后会弹出下面这个框，点击Agree进行安装。

安装成功。

从图中可以看出版本号为4.23，所以我们更新并修改一下配置文件。

<Sysmon schemaversion="4.23">
<!-- Capture all hashes -->
<HashAlgorithms>*</HashAlgorithms>
<EventFiltering>
<!-- Log all drivers except if the signature -->
<!-- contains Microsoft or Windows -->
<DriverLoad onmatch="exclude">
<Signature condition="contains">microsoft</Signature>
<Signature condition="contains">windows</Signature>
</DriverLoad>    
<NetworkConnect onmatch="exclude">
<Image condition="end with">iexplorer.exe</Image>
<SourcePort condition="is">137</SourcePort>
<SourceIp condition="is">127.0.0.1</SourceIp>
</NetworkConnect>
<NetworkConnect onmatch="include"> 
<DestinationPort condition="is">5110</DestinationPort>     
<DestinationPort condition="is">80</DestinationPort>      
<DestinationPort condition="is">443</DestinationPort>    
</NetworkConnect>
<CreateRemoteThread onmatch="include">
<TargetImage condition="end with">explorer.exe</TargetImage>
<TargetImage condition="end with">svchost.exe</TargetImage>
<TargetImage condition="end with">winlogon.exe</TargetImage>
<SourceImage condition="end with">powershell.exe</SourceImage>
</CreateRemoteThread>
</EventFiltering>
</Sysmon>