2019-2020-2 20175306王佳烁《网络对抗技术》Exp4 恶意代码分析

一、实验目标与内容

1.实践目标

监控你自己系统的运行状态，看有没有可疑的程序在运行。
分析一个恶意软件，就分析Exp2或Exp3中生成后门软件；分析工具尽量使用原生指令或sysinternals,systracer套件
假定将来工作中你觉得自己的主机有问题，就可以用实验中的这个思路，先整个系统监控看能不能找到可疑对象，再对可疑对象进行进一步分析，好确认其具体的行为与性质。

2.实践内容

2.1 系统运行监控

使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，连接的外部IP是哪里。运行一段时间并分析该文件，综述分析结果。
安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点是可疑行为。

2.2分析该软件在(1)启动回连，(2)安装到目标机(3)及其他任意操作时（如进程迁移或抓屏，重要是你感兴趣）。该后门软件

读取、添加、删除了哪些注册表项
读取、添加、删除了哪些文件
连接了哪些外部IP，传输了什么数据

3.基础知识

3.1 恶意代码的概念与分类

定义：又称恶意软件，指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装运行，侵犯用户合法权益的软件。指故意编制或设置的、对网络或系统会产生威胁或潜在威胁的计算机代码。
特征：恶意的目的;本身是计算机程序;通过执行发生作用.
分类：计算机病毒;蠕虫;后门;特洛伊木马;Rootkit;等

3.2 恶意代码的分析方法

静态分析
动态分析

二、实践步骤

1.使用schtasks指令监控系统

1.使用命令schtasks /create /TN netstat5306 /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:\netstatlog.txt" 创建计划任务nestat5306
上条命令中的参数分别为：

TN是TaskName的缩写，我们创建的计划任务名是netstat5306;
sc表示计时方式，我们以分钟计时填MINUTE；
TR是Task Run，要运行的指令是netstat;
bn，b表示显示可执行文件名，n表示以数字来显示IP和端口;
>表示输出重定向，将输出存放在c:\netstatlog.txt文件中

2.在C盘中创建一个名为netstat5306.bat的脚本文件，写入以下内容：

date /t >> c:\netstat5306.txt
time /t >> c:\netstat5306.txt
netstat -bn >> c:\netstat5306.txt

3.打开任务计划程序，可以看到新创建的这个任务：

4.双击此任务，点击操作->编辑，将程序或脚本改为我们创建的netstat5308.bat文件，点击确定。

5.在常规栏勾选不管用户是否登录都要运行、使用最高权限运行
6.接下来等待脚本执行一段时间（这段时间内要保持开机联网状态），就可以在netstat5306.txt文件中查看到这段时间内的联网记录

7.执行一段时间后将txt中的数据导出通过excel表进行整理：

8.找到插入选项卡，点击数据透视图，来生成一个数据透视图。

可以看到使用最频繁的是
使用次数最少的是
应该没有什么值得怀疑的软件

2.使用sysmon工具监控系统

1、 sysmon是由Windows Sysinternals出品的一款Sysinternals系列中的工具，用来监视和记录系统活动，并记录到windows事件日志，可以提供有关进程创建，网络链接和文件创建时间更改的详细信息。
2、可选择的事件过滤器有

ProcessCreate 进程创建
FileCreateTime 进程创建时间
NetworkConnect 网络链接
ProcessTermina 进程结束
DriverLoad 驱动加载
ImageLoad 镜像加载
CreateRemoteTh 远程线程创建
RawAccessRead 驱动器读取
ProcessAccess 进程访问
FileCreate 文件创建
RegistryEvent 注册表事件
FileCreateStre 文件流创建
3、我选择的是进程创建、进程创建时间、网络链接、远程线程创建
ProcessCreate

UtcTime, ProcessGuid, ProcessId, Image, CommandLine, CurrentDirectory, User, LogonGuid, LogonId, TerminalSessionId, IntegrityLevel, Hashes, ParentProcessGuid, ParentProcessId, ParentImage, ParentCommandLine

FileCreateTime

UtcTime, ProcessGuid, ProcessId, Image, TargetFilename, CreationUtcTime, PreviousCreationUtcTime

NetworkConnect

UtcTime, ProcessGuid, ProcessId, Image, User, Protocol, Initiated, SourceIsIpv6, SourceIp, SourceHostname, SourcePort, SourcePortName, DestinationIsIpv6, DestinationIp, DestinationHostname, DestinationPort, DestinationPortName

CreateRemoteThread

UtcTime, SourceProcessGuid, SourceProcessId, SourceImage, TargetProcessGuid, TargetProcessId, TargetImage, NewThreadId, StartAddress, StartModule, StartFunction

4、在sysmon所在目录下创建配置文件sysmon5306.xml可以先创建txt文件，之后再转换格式）

<Sysmon schemaversion="10.42">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <ProcessCreate onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
    </ProcessCreate>

    <ProcessCreate onmatch="include">
      <ParentImage condition="end with">cmd.exe</ParentImage>
    </ProcessCreate>

    <FileCreateTime onmatch="exclude" >
      <Image condition="end with">chrome.exe</Image>
    </FileCreateTime>

    <NetworkConnect onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <NetworkConnect onmatch="include">
      <DestinationPort condition="is">80</DestinationPort>
      <DestinationPort condition="is">443</DestinationPort>
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">firefox.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>

onmatch选项只能设置为include或者exclude，exclude相当于白名单，不用记录；include相当于黑名单。
在代码中，第一行的sysmon版本号要跟使用的sysmon一致
Image condition需要根据自己使用的浏览器进行更改
网络连接过滤掉了浏览器的网络连接，回环地址，和目的端口为137的连接服务，并记录目的端口为80（http）和443（https）的网络连接
137端口的主要作用是在局域网中提供计算机的名字或IP地址查询服务，一般安装了NetBIOS协议后，该端口会自动处于开放状态。
127.0.0.1表示回环地址。
远程建成创建记录了目标为explorer.exe、svchost.exe、firefox.exe、winlogon.exe和powershell.exe 的远程线程。
explorer.exe是Windows程序管理器或者文件资源管理器
svchost.exe是一个属于微软Windows操作系统的系统程序，是从动态链接库 (DLL) 中运行的服务的通用主机进程名称。
winlogon.exe是Windows NT 用户登陆程序，用于管理用户登录和退出。
powershell.exe是专为系统管理员设计的新 Windows 命令行外壳程序。该外壳程序包括交互式提示和脚本环境，两者既可以独立使用也可以组合使用。
5、打开cmd，进入到sysmon所在的文件夹中，输入sysmon.exe -i sysmon5306.xml

出现这样的画面其实是失败的，我们需要以管理员身份运行cmd，重新输入命令后成功启动。

6、查看事件查看器，选择日志的位置，
应用程序和服务日志/Microsoft/Windows/Sysmon/Operational，在这里，选择其中任一条，我们可以看到按照配置文件的要求记录的新事件，以及事件ID、任务类别、详细信息等。

7、这个配置文件记录的第一个日志就是打开sysmon5306.xml配置文件

3.恶意软件分析

静态分析

文件扫描（VirusTotal、VirusScan工具等）
文件格式识别（peid、file、FileAnalyzer工具等）
字符串提取（Strings工具等）
反汇编（GDB、IDAPro、VC工具等）
反编译（REC、DCC、JAD工具等）
逻辑结构分析（Ollydbg、IDAPro工具等）
加壳脱壳（UPX、VMUnPacker工具等）
1、使用VirusTotal分析恶意软件
把生成的恶意代码放在VirusTotal进行分析,情况如下
查看这个恶意代码的基本属性，可以看到它的SHA-1、MD5摘要值等结果

2、使用PEiD分析恶意软件

PEiD(PE Identifier)是一款著名的查壳工具，其功能强大，几乎可以侦测出所有的壳，其数量已超过470种PE文档的加壳类型和签名。

先探试一下没加壳的后门程序
再尝试一下加壳的后门程序

3、使用PE Explorer分析恶意软件

PE Explorer是功能超强的可视化Delphi、C++、VB程序解析器，能快速对32位可执行程序进行反编译，并修改其中资源。该软件支持插件，你可以通过增加插件加强该软件的功能，原公司在该工具中捆绑了UPX的脱壳插件、扫描器和反汇编器，可以查看程序头部信息（默认界面）、程序静态数据目录、程序结头信息、对程序反汇编等等，非常好用。

由于是中文版，所以比较好看

经过查询KERNEL32.dll控制着系统的内存管理、数据的输入输出操作和中断处理，msvcrt.dll是微软编译软件的函数库
通过分析生成的后门程序都会使用KERNEL32.dll，所以如果有陌生软件使用KERNEL32.dll则应当提高警惕。

动态分析

快照比对（SysTracer、Filesnap、Regsnap工具等）
抓包分析（WireShark工具等）
行为监控（Filemon、Regmon、ProcessExplorer工具等）
沙盒（NormanSandbox、CWSandbox工具等）
动态跟踪调试（Ollydbg、IDAPro工具等）
1、使用Process Monitor分析恶意软件

Process Monitor 是一款由 Sysinternals 公司开发的包含强大的监视和过滤功能的高级 Windows 监视工具，可实时显示文件系统、注册表、进程/线程的活动。

打开软件，可以看到各个进程的详细记录，找了半天。。。
进程的详细信息如下
进程的相关信息
还可以看到该后门程序相关的库

2、使用Process Explorer分析恶意软件

Process Explorer是由Sysinternals开发的Windows系统和应用程序监视工具，目前已并入微软旗下。不仅结合了Filemon（文件监视器）和Regmon（注册表监视器）两个工具的功能，还增加了多项重要的增强功能。包括稳定性和性能改进、强大的过滤选项、修正的进程树对话框（增加了进程存活时间图表）、可根据点击位置变换的右击菜单过滤条目、集成带源代码存储的堆栈跟踪对话框、更快的堆栈跟踪、可在 64位 Windows 上加载 32位 日志文件的能力、监视映像（DLL和内核模式驱动程序）加载、系统引导时记录所有操作等。

使用实验三生成的后门文件尝试回连后，可以在 Process Explorer工具中查看到其记录，我们可以看到这个程序运行时子程序中有conhost.exe这个程序，同样的程序我们可以在cmd.exe的子程序中看到，由此我们可以知道该程序是在命令行中运行的。
可以详细查看该进程的CPU、虚拟内存、物理内存、I/O等相关信息

3、使用systracer分析恶意软件

systracer就好像一个“照相机”。他可以记录下计算机某个时刻的状态。然后过一段时间后再次“拍照”记录。通过比较两张“照片”中计算机的不同进行相应的分析。
点击右侧的take snapshot，存储快照
通过右下角的compare键或者View Differences Lists比对各快照，可以选择Only Difference只查看不同的项

可以看到还是非常详细的
4、使用wireshark进行抓包分析

回连开始开始前开始捕包，获取主机相关权限后结束捕包，并把过滤规则设置为ip.addr == 192.168.1.17 and ip.addr== 192.168.1.33
可以看到大量的TCP包，成功进行三次握手

四、基础问题回答

1、如果在工作中怀疑一台主机上有恶意代码，但只是猜想，所有想监控下系统一天天的到底在干些什么。请设计下你想监控的操作有哪些，用什么方法来监控。

使用windows自带的schtasks指令设置一个计划任务，每隔一定的时间对主机的联网记录等进行记录。
使用Sysmon，通过修改配置文件，记录相关的日志文件。
使用Process Explorer工具，监视进程执行情况。
使用Process Monitor工具，监视文件系统、注册表、进程/线程的活动。
2、如果已经确定是某个程序或进程有问题，你有什么工具可以进一步得到它的哪些信息。
使用systracer工具分析恶意软件，查看其对注册表和文件的修改。
使用Wireshark进行抓包分析，监视其与主机进行的通信过程。
使用Process Explorer工具或Process Monitor工具，监视文件系统、注册表、进程/线程的活动。

五、实验感想

这次实验操作并不难，也基本不会遇到什么特殊情况。但是这次实验的实用性比较强，更加贴合我们的平时。通过实验，能够更加了解恶意代码的静态分析和动态分析，也通过一些软件能够发现我们电脑中的一些恶意代码。虽然有些记录信息看不懂，但是能看出来和普通正常软件的不同。前两次实验是以一个攻击者的方面，而这次实验是以一个被攻击者的角度去分析，也能让我们更加了解。