2019-2020-2 20174310 隋润起《网络对抗技术》 Exp4 恶意代码分析

一、实验目标

1、实践要求

监控你自己系统的运行状态，看有没有可疑的程序在运行；
分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals systracer套件；
假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

2、实践内容

系统运行监控
- 使用如计划任务每隔一分钟记录电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述分析结果。目标：找出所有连网的程序的连接和操作，这个操作是否合适合理，并有针对性的抓包做进一步的分析；
- 安装配置sysinternals中的sysmon工具，设置合理的配置文件，监控主机的重点事可疑行为；
- 实际日志的分析还需要发挥下自己的创造力，结合以前学过的知识如linux的文本处理指令等进行(难点在于从大量数据中理出规律、找出问题)。
恶意软件分析
- 分析该软件在启动回连，安装到目标机及其他任意操作时(如进程迁移或抓屏)，该后门软件：读取、添加、删除了哪些注册表项；
- 读取、添加、删除了哪些文件；
- 连接了哪些外部IP，传输了什么数据(抓包分析)。

二、实践过程

1. 系统运行监控——计划任务

创建计划任务，使系统每1分钟自动检测到有哪些程序在连接我们的网络。

使用管理员模式运行cmd模式，输入如下命令

schtasks /create /TN netstat4310 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > d:\netstat4310.txt"（之前尝试做了一下未截图，所以任务已存在，这里重新创建）

TN：Task Name，本例中是netstat4310
SC: SChedule type,本例中是MINUTE,以分钟来计时
MO: MOdifier
TR: Task Run，要运行的指令是 netstat
-bn，b表示显示可执行文件名，n表示以数字来显示IP和端口

在d盘根目录下新建一个文本文件，输入以下内容：

date /t >>d:\netstat4310.txt
time /t >>d:\netstat4310.txt
netstat -bn >>d:\netstat4310.txt

保存后将文件重命名为netstat20174310.bat，作为批处理命令

在【控制面板】->【系统与安全】->【管理工具】->【任务计划程序】中找到创建的任务，并修改计划属性

使用最高权限运行，否则可能会运行失败，同时配置换为windows10。

并将脚本换为刚刚创建的bat文件

运行任务之后，开始记录后台的数据，其中保持电脑的正常使用，大约一个小时之后，打开位于D盘的netstat4310.txt文件，查看里面的内容。

将文本文件导入Excel中，使用excel的数据处理功能，生成数据透视图。

360se.exe：360浏览器
360tray.exe:360防火墙
chrome.exe:谷歌浏览器
EXCEL.EXE:excel程序
GDCAgent.exe：联想服务中心
mysqld.exe：mysql数据库程序

等等，从结果观察来看，我的电脑似乎没有什么自启动的软件，应该是比较安全的。

2.系统运行监控——利用Sysmon

进入官网下载SysinternalsSuite.zip并解压。

根据自己的系统选择Sysmon版本，我的电脑是64位的系统，所以选择Sysmon64.exe，在程序的属性中查看版本信息。

并且在SysinternalsSuite所在目录下创建文本文件，存入下列代码保存并重命名为sysmon20174310.xml。

<Sysmon schemaversion="10.42">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <DriverLoad onmatch="exclude">
      <Signature condition="contains">microsoft</Signature>
      <Signature condition="contains">windows</Signature>
    </DriverLoad>

    <NetworkConnect onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <Image condition="end with">iexplorer.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>

ProcessCreate 进程创建，这里的进程名包含了所有以该进程名结尾的进程
NetworlConnect 网络连接，过滤掉浏览器的网络连接，即源IP为127.0.0.1(本机IP)的网络连接和目的端口为137(提供局域网中ID或IP查询服务)的连接服务，且查看目的端口为80(http)和443(https)的网络连接
CreateRemote 远程线程创建
FileCreate Time 进程创建时间
onmatch include/exclude 设置免检/必检名单