2018-2019-2 20165205《网络对抗技术》Exp4 恶意代码分析

公告

实验要求

监控你自己系统的运行状态，看有没有可疑的程序在运行。

分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。

假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

基础问题

1.如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

使用schtasks监视主机，然后统计可以的IP号和可疑的联网程序
或者使用Sysmon，编写配置文件，记录联网端口的操作
使用Process Monitor工具，主要监视注册表的变化

2.如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。

使用wireshark进行抓包获取这个进程的通信
使用PIED查看是否加壳
在Virus Total中对程序进行扫描
使用systracer进行分析，对比运行程序或进程前后发生的变化

实验内容

1. 系统运行监控（2分）

1.1使用schtasks监控系统

在本机中使用`schtasks /creat /TN /netstat5205 /sc MINUTE /MO 1 /TR"cmd /c netstat -bn > c:\netstatlog.txt"创建计划任务netstat5205
- TN 指定任务名称
- sc 指定记录间隔时间，这里规定每隔一分钟记录一次
- TR 指定运行命令
- bn b指记录可执行文件名，n指记录端口和IP
- > 输出到指定文件

C盘下创建netstat5205.bat脚本文件，写入以下内容

  date/t >> c:\netstatlog.txt
  time/t >> c:\netstatlog.txt
  netstat -bn >> c:\netstatlog.txt

在开始中搜索任务计划程序，找到我们刚刚创建的任务，双击，点击操作，修改，把“程序或脚本”改为netstat5205.bat,然后确定
执行8个小时后进行统计，在excel表中统计所有的exe进程的联网动态
修改统计范围
可以看到
其中360，wps，WeChat，vm，输入法，浏览器是我可以看懂的，其他
- jucheck.exe是java软件的检测升级进程，
- SCMiNi64.exe，这个我没有怎么查到，查到的只是说这个硬件的运行程序
- SGTool.exe 搜狗输入法运行的进程之一
- svchost.exe 是从动态链接库 (DLL)中运行的服务的通用主机进程名称。这个程序对系统的正常运行是非常重要

1.2使用sysmon工具监控系统

重点监控进程创建，网络连接和远程线程创建
下载sysinternals
命令行安装sysmon -accepteula -i -n

创建配置文件Sysmon20165205.xml

  <Sysmon schemaversion="3.10">
  	<!-- Capture all hashes -->
  	<HashAlgorithms>*</HashAlgorithms>
  	<EventFiltering>
  		<!-- Log all drivers except if the signature -->
  		<!-- contains Microsoft or Windows -->
  		<DriverLoad onmatch="exclude">
			<Signature condition="contains">microsoft</Signature>
			<Signature condition="contains">windows</Signature>
  	</DriverLoad>

  		<NetworkConnect onmatch="exclude">
  		 <Image condition="end with">chrome.exe</Image>
  	      <Image condition="end with">iexplorer.exe</Image>
  	      <Image condition="end with">firefox.exe</Image>
  	      <SourcePort condition="is">137</SourcePort>
  	      <SourceIp condition="is">127.0.0.1</SourceIp>
  	      <DestinationPort condition="is">80</DestinationPort>      
  	      <DestinationPort condition="is">443</DestinationPort>   
  	    </NetworkConnect>

  	    <CreateRemoteThread onmatch="include">
  	      <TargetImage condition="end with">explorer.exe</TargetImage>
  	      <TargetImage condition="end with">firefox.exe</TargetImage>
  	      <TargetImage condition="end with">svchost.exe</TargetImage>
  	     <TargetImage condition="end with">winlogon.exe</TargetImage>
  	      <SourceImage condition="end with">powershell.exe</SourceImage>
  	    </CreateRemoteThread>

  	    <ProcessCreate onmatch="include">
  	     <Image condition="end with">chrome.exe</Image>
  	     <Image condition="end with">iexplorer.exe</Image>
  	     <Image condition="end with">firefox.exe</Image>
  	    </ProcessCreate>

  	    <FileCreateTime onmatch="exclude" >
  	      <Image condition="end with">firefox.exe</Image>   
  	    </FileCreateTime>

  	    <FileCreateTime onmatch="include" >
  	      <TargetFilename condition="end with">.tmp</TargetFilename>       
  	      <TargetFilename condition="end with">.exe</TargetFilename>  
  	    </FileCreateTime>

  	  </EventFiltering>
  	</Sysmon>