2016310Exp4 恶意代码及分析

网络对抗 Exp4 恶意代码分析

实验内容
- 系统运行监控
- 恶意软件分析
- 报告评分
基础问题回答
实践目标
实验内容
- 1. 系统运行监控——计划任务
- 2. 系统运行监控——利用Sysmon
- 3.1恶意软件分析—— virscan网站
- 3.2恶意软件分析——PEID
- 3.3恶意软件分析——PE Explorer
- 3.4恶意软件分析——Process Monitor
- 3.5恶意软件分析——Process Explorer
- 3.6恶意软件分析——Systraer
- 3.7恶意软件分析——Wireshark
实验中遇到的问题及解决方法
实验感想

一、基础问题回答

1. 如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控

使用Windows自带的schtasks指令设置一个计划任务，指定每隔一定时间记录主机的联网记录或者是端口开放、注册表信息等；
通过sysmon工具，配置好想记录事件的文件，之后在事件查看器里找到相关日志文件查看；
使用任务管理器->进程，监视进程执行情况，查看是否有可疑程序运行。

2. 如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息

使用systracer工具分析恶意软件,查看其对注册表和文件的修改，进行快照的对比。
virscan集合各种杀软，对指定文件进行分析定性。
使用Wireshark进行抓包分析，监视其与主机进行的通信过程。

二、实践目标

1.是监控你自己系统的运行状态，看有没有可疑的程序在运行。

2.是分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件。

3.假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

三、实践内容

1、windows计划任务

以管理员身份打开cmd，使用指令schtasks /create /TN 4310netstat /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt创建计划任务4310netstat，记录每1分钟计算机联网情况：
在c盘下手动创建一个netstatlog.txt文件

在桌面建立一个20164310netstatlog.txt文件，内容为：

date /t >> c:\netstatlog.txt
time /t >> c:\netstatlog.txt
netstat -bn >> c:\netstatlog.txt

将后缀名改为.bat后，用管理员身份将该文件放入C盘

打开计算机管理的“任务计划程序库”，可以查看到4310netstat任务就绪（这里忘记截图了）
打开其属性，修改其指令为20164310netstatlog.bat
可以在C盘的netstatlog.txt文件中查看到本机在该时间段内的联网记录：

2、使用sysmon工具

首先创建配置文件sysmon4310.txt，并输入如下的代码：

这里需要注意的是第一行代码那个版本如果谢3.10的时候出现问题那么就要换成4.20

<Sysmon schemaversion="4.20">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <DriverLoad onmatch="exclude">
      <Signature condition="contains">microsoft</Signature>
      <Signature condition="contains">windows</Signature>
    </DriverLoad>
    
    <NetworkConnect onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <Image condition="end with">iexplorer.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>