2018-2019-2 网络对抗技术 20165216 Exp4 恶意代码分析

1.原理与实践说明

1.1实践目标

监控你自己系统的运行状态，看有没有可疑的程序在运行。
分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。
假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

1.2实验内容概述

系统运行监控
- 使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述分析结果。
- 安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。
分析该软件在
(1)启动回连
(2)安装到目标机
(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。

该后门软件

读取、添加、删除了哪些注册表项
读取、添加、删除了哪些文件
连接了哪些外部IP，传输了什么数据

1.3.基础问题回答

（1）如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所以想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

使用schtasks指令设置定时计划，并将内容写入一个文本。使用Excel表格进行图像分析，找到可疑程序。
使用Sysmon编写配置文件，记录有关日志。
使用Process Explorer工具监视进程执行情况
使用Process Monitor工具，监视文件系统、注册表、进程/线程的活动。

(2)如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。

使用抓包软件Wireshark进行抓包分析
使用Process Explorer工具或Process Monitor工具，监视文件系统、注册表、进程/线程的活动。

实践过程

2.1使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述一下分析结果。目标就是找出所有连网的程序，连了哪里，大约干了什么(不抓包的情况下只能猜)，你觉得它这么干合适不。如果想进一步分析的，可以有针对性的抓包。

用管理员模式打开Win10下的CMD命令提示符
使用命令 "schtasks /create /TN netstat5216 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt""创建计划任务 netstat5216
- TN 是TaskName的缩写，我们创建的计划任务名是netstat5216;
- sc 是计时方式，我们以分钟计时填MINUTE；
- TR 是Task Run,运行命令符指令netstat
- bn b表示显示可执行文件名，n表示以数字来显示IP和端口;
- “>” 表示输出重定向，将输出存放在c:\netstatlog.txt文件中
在桌面创建netstat5216.txt文件，编辑写入以下3行
- date /t >> c:\netstat5318.txt
- time /t >> c:\netstat5318.txt
- netstat -bn >> c:\netstat5216.txt
复制进入C盘目录下后（需要授权），更改后缀为.bat脚本文件
打开控制面板-系统与安全-管理工具-计划任务-netstat20165216
右键编辑，将启动程序或脚本设置为C盘目录下的netstat5216.bat,参数清空。
等待漫长的时间，在netstat5216.txt内查看相关记录
进行Excel表分析
新建Excel表
选择数据-获取外部数据-自文本，选择netstat5216.txt
选择分隔符号文件类型，下一步
分隔符号Tab键，分号，逗号，空格打√，下一步
列数据格式为常规，完成。
数据放置位置为第一个单元格就好（默认）
选择进程列（即名字为.exe的可执行文件列）
插入-数据透视图（不是数据透视表，图和表的表示是不同的！）
区域选择.exe可执行文件这一列
选择新工作表
若出现此命令要求源数据至少有二行...的提水，在列的第一个单元格随便填写个内容，如可执行文件，只要有字就OK
在右侧选择添加的字段中去掉空白协议 TCP 等无意义字段，我们只需查看.exe执行程序就好
将其分别移入轴（类别）以及值当中即可观察其汇总表
我们观察到360tray.exe是连接网络最多的一个
查看表格，可以看到它使用的协议为TCP,外部地址为36.99.30.203:80
我们估计是360安全卫士实时监控所带的东西，我们上网查查看

？？？？？？？

2.2安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。

sysmon是微软Sysinternals套件中的一个工具，使用sysmon工具前首先要配置文件。参考使用轻量级工具Sysmon监视你的系统该文章，创建配置文件sysmon20165216.xml。该文章同样可以查看时间过滤器及其参数。
可参考上述文章选择事件过滤器
这里我选择的有进程创建ProcessCreate、进程创建时间FileCreatTime、网络连接NetworkConnect、远程线程创建CreateRemoteThread。
配置文件的编写
关于ProcessCreate，选项我选择Image、SourceIp、SourcePort。
关于进程创建时间FileCreatTime，我选择了Image选项。
关于网络连接NetworkConnect,我选择了Image、SourceIp、SourcePort
关于远程线程创建CreateRemoteThread，我选择了TargetImage、SourceImage.
配置文件20165216Sysmoncfig内容如下：

<Sysmon schemaversion="3.10">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <ProcessCreate onmatch="exclude">     
      <Image condition="end with">360se.exe</Image> 
    </ProcessCreate>

    <FileCreateTime onmatch="exclude" >
      <Image condition="end with">360se.exe</Image>
    </FileCreateTime>
    
    <NetworkConnect onmatch="exclude">
      <Image condition="end with">360se.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>
    <NetworkConnect onmatch="include">     
      <DestinationPort condition="is">80</DestinationPort>      
      <DestinationPort condition="is">443</DestinationPort>    
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>

参数说明

“exclude",不包括，相当于白名单,"include"包括，相当于黑名单
“Image condition" 内浏览器名字，360的进程名为360se.exe,谷歌就改为chrome.exe,火狐为firefox.exe,具体查看方法建议任务管理器查看详情。
网络连接过滤掉了浏览器的网络连接、源IP为127.0.0.1的网络连接和目的端口为137的连接服务，并查看目的端口为80（http）和443（https）的网络连接。
- 137端口的主要作用是在局域网中提供计算机的名字或IP地址查询服务，一般安装了NetBIOS协议后，该端口会自动处于开放状态。
- 127.0.0.1表示本机IP。
远程线程创建记录了目标为explorer.exe、svchost.exe、firefox.exe、winlogon.exe和powershell.exe 的远程线程。
- explorer.exe是Windows程序管理器或者文件资源管理器
- svchost.exe是一个属于微软Windows操作系统的系统程序，是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。
- winlogon.exe是Windows NT 用户登陆程序，用于管理用户登录和退出。
- powershell.exe是专为系统管理员设计的新 Windows 命令行外壳程序。该外壳程序包括交互式提示和脚本环境，两者既可以独立使用也可以组合使用。
安装老师码云下的SysinternalsSuite201608.zip并解压
管理员命令指示符下进入解压SysinternalsSuite2016目录下
执行命令 sysmon.exe -i C:\20165216Sysmoncfig.xmml
弹出窗口选择Agree
安装完成界面：