สวัสดีและยินดีต้อนรับกลับมา
ตอนนี้เราจะลงมือปฏิบัติจริงและวิเคราะห์มัลแวร์ตัวอย่างหนึ่งไฟล์ zip
โปรดดาวน์โหลดจากส่วนทรัพยากรแล้วแตกไฟล์
รหัสผ่านเป็นบทเรียนการแคร็ก คอม.
หลังจากที่คุณแตกไฟล์แล้ว คุณควรจะได้โฟลเดอร์ และภายในนั้นมีโฟลเดอร์ย่อยชื่อว่ามัลแวร์ และนี่คือมัลแวร์ตัวมันเอง
ดังนั้นต้องระมัดระวัง
ตรวจสอบให้แน่ใจว่าคุณกำลังทำสิ่งนี้ภายในเครื่องเสมือนของคุณ และเมื่อมองดูครั้งแรก
คุณจะเห็นว่ามีไอคอนปลอม PDF และยังมี . นามสกุล. exe
เราจะเห็นได้ชัดเจนเพราะเราได้เปิดใช้งานการแสดงส่วนขยายแล้ว โดยค่าเริ่มต้น Windows จะไม่แสดงส่วนขยาย
ดังนั้นผู้ใช้ทั่วไปอาจถูกหลอกให้คิดว่านี่คือไฟล์ PDF
ตอนนี้เราจะทำการวิเคราะห์แบบคงที่
เราสามารถใช้ TrID เพื่อตรวจสอบประเภทไฟล์ได้
มาเริ่ม TriD
กันเลย
อย่าพึ่งพึ่งการต่อขยาย
ดังนั้นคุณยังต้องยืนยันว่ามันเป็นไฟล์ปฏิบัติการหรือไม่
TrID พบว่ามีความเป็นไปได้สูงถึง 67% ว่าเป็นไฟล์ EXE
ดังนั้นเราจึงรู้แน่ชัดว่ามันเป็นไฟล์ปฏิบัติการ
สิ่งต่อไปที่เราสามารถทำได้คือใช้ PE Studio เพื่อวิเคราะห์ส่วนหัว PE ดังนั้นเราจึงสามารถไปที่โฟลเดอร์ยูทิลิตี้ได้
และเริ่มต้น PE Studio
PE Studio ได้รับการออกแบบมาโดยเฉพาะสำหรับการวิเคราะห์มัลแวร์ ตามที่ฉันได้กล่าวไว้ในบทเรียนก่อนหน้านี้
ดังนั้นเราจึงลากมัลแวร์เข้ามาที่นี่และให้เวลาเพื่อให้มันวิเคราะห์
และกำลังทำการวิเคราะห์ตามที่คุณเห็น มีข้อความรอสำหรับฟิลด์บางส่วน
ปล่อยให้มันดำเนินไป
การวิเคราะห์เสร็จสิ้นแล้ว
คุณสามารถไปที่ Indicators ได้โดยตรง
และตรงนี้จะบอกระดับความรุนแรงให้คุณทราบ
ระดับหนึ่ง สอง และสาม
ระดับที่ 1 คือระดับที่รุนแรงที่สุด
สิ่งเหล่านี้จึงเป็นตัวชี้วัดการประนีประนอม
และคุณจะเห็นที่นี่ หมายเลขหนึ่ง ระดับหนึ่งจะเป็นสตริงการอ้างอิงไฟล์ที่อยู่ในแบล็คลิสต์
ไฟล์อ้างอิงไลบรารีแบล็คลิสต์
สแต็กสัญลักษณ์การนำเข้าไฟล์คือแบล็คลิสต์
ไฟล์นี้เปิดเผยการโทรกลับการเก็บข้อมูลภายในเธรด
และอื่นๆอีกมากมาย
ดังนั้นอาจจะสามอันดับแรกนี้
หนึ่ง สอง สาม เป็นตัวบ่งชี้หลักของการประนีประนอม บางทีอาจจะเป็นเพียงเท่านั้น
เราไม่สามารถแน่ใจได้จนกว่าเราจะพิจารณาดูเครื่องมืออื่น
จากนั้นไฟล์จะอ้างอิงสตริงสแต็กเป็นแบล็คลิสต์ ดังนั้นคุณสามารถไปที่สตริงโดยตรงและดูแบล็คลิสต์ได้
ในแผงสตริงที่นี่ คุณสามารถดูออฟเซ็ต ประเภทของสตริง ASCII และขนาด สตริงและแบล็คลิสต์หรือไม่ใช่แบล็คลิสต์
คุณสามารถคลิกที่นี่เพื่อสลับและแสดงรายการที่อยู่ในบัญชีดำทั้งหมดก่อน
จากนั้นคุณสามารถดูได้ที่นี่ว่ามีสตริงใดบ้างที่พบในไฟล์ที่อยู่ในบัญชีดำ
โดยทั่วไปแล้ว RegSetValue จะถูกใช้โดยมัลแวร์เพื่อความต่อเนื่องเพื่อให้สามารถเริ่มทำงานได้ทุกครั้งที่ระบบปฏิบัติการเริ่มต้น
และคุณยังมีการเชื่อมต่อเครือข่ายซ็อกเก็ต gethostbyname เหล่านี้คือ API ของ Winsock ทั้งหมดที่ใช้ในการเชื่อมต่อกับเครือข่าย
ดังนั้น PDF ไม่ควรมีสิ่งเหล่านี้ทั้งหมด
ดังนั้นนี่เป็นสิ่งที่ไม่ควรทำอย่างแน่นอน
และการเรียก API ที่น่าสงสัยเพิ่มเติม ได้แก่ InternetClose, InternetOpen และอื่นๆ
อินเทอร์เน็ตOpenUrl
gethostbyname.
ดังนั้นคุณจะเห็นว่ารายชื่อที่อยู่ในบัญชีดำทั้งหมดถูกทำเครื่องหมายด้วยกากบาทสีแดง
และคุณยังเห็นว่ามีการดำเนินการไฟล์ทั้งหมดที่นี่ด้วย
และยังมี CreateProcess ด้วย
นั่นหมายความว่ามันสามารถสร้างกระบวนการเพิ่มเติมได้
CreateToolhelp32Snapshot นี้ใช้ร่วมกับ Process32First และ Process32Next เพื่อแสดงรายการกระบวนการทั้งหมดที่ทำงานอยู่บนระบบปฏิบัติการของคุณ
ตอนนี้ไฟล์ PDF ไม่สามารถทำสิ่งนั้นได้
ดังนั้นจึงน่าสงสัยอย่างมากที่คุณพบสิ่งประเภทนี้ในมัลแวร์หรือโปรแกรมนี้
อีกอย่างหนึ่งคือ ShellExecute ซึ่งน่าสงสัยมาก
และมันอนุญาตให้มัลแวร์สามารถรันโปรแกรมอื่นได้
และคุณจะเห็นว่ามันสามารถโพสต์อะไรบางอย่างลงบนอินเทอร์เน็ตได้ด้วย
และตรงนี้คุณเห็นสายนี้ไหม?
นี่คือสัญลักษณ์ของการเข้ารหัสเลขฐานสิบหกแบบ base64
วิธีหนึ่งที่โปรแกรมพยายามจะปกปิดสตริงของมัน
โอเค เป็นการสิ้นสุดของบัญชีดำเพียงเท่านี้
ดังนั้นเราสามารถเห็นสิ่งต่างๆ มากมายที่นี่เพียงแค่ดูสิ่งนี้
แล้วตอนนี้เราก็มาดูการนำเข้ากัน
ดังนั้นสิ่งนี้จะทำให้คุณได้รับมากยิ่งขึ้น
เราสามารถแสดงรายการตาม Blacklist ได้ที่นี่ บัญชีดำ
เอาล่ะ.
ดังนั้นนี่คือ API ทั้งหมดที่ PE Studio พบและอยู่ในบัญชีดำ
เปิดกระบวนการโทเค็น
RegSetValue มีความน่าสงสัยอย่างมาก
นั่นหมายความว่ามันสามารถสร้างคีย์รีจิสทรีได้ อาจจะเพื่อจุดประสงค์ในการคงอยู่ตามที่ฉันได้กล่าวไว้ก่อนหน้านี้
และอันนี้ก็น่าสงสัยมากเช่นกัน
สามารถใช้งาน InternetOpen, InternetOpenUrl ได้
นั่นหมายความว่ามันสามารถเชื่อมต่ออินเตอร์เน็ตได้
คงกำลังโทรกลับบ้าน
การโทรไปยังเซิร์ฟเวอร์คำสั่งและควบคุมอาจเป็นการดาวน์โหลดเพย์โหลดเพิ่มเติม
และยังมี VirtualProtect ด้วย VirtualProtect ถูกใช้โดยมัลแวร์เพื่อเปลี่ยนการอนุญาตสำหรับหน่วยความจำ
โดยปกติแล้วจะดำเนินการนี้เมื่อคุณต้องการแกะโค้ดเพิ่มเติมลงในหน่วยความจำบางส่วนเพื่อให้คุณสามารถดำเนินการได้
และยังมี DeleteFile ซึ่งมัลแวร์ใช้เพื่อลบสำเนาของตัวเองหลังจากที่สร้างสำเนาแล้วและวางไว้ที่อื่น
และตามที่ฉันได้กล่าวไปก่อนหน้านี้ CreateToolhelp32Snapshot ร่วมกับ Process32First และ Process32Next ที่นี่ จะถูกใช้เพื่อแสดงรายการและแจงนับกระบวนการทั้งหมดที่กำลังทำงานอยู่บนคอมพิวเตอร์ของคุณ
โดยปกติมัลแวร์จะทำเช่นนั้นเพื่อพยายามต้านทานการวิเคราะห์
ต้องการทราบว่าคุณกำลังใช้งาน Wireshark, Process Explorer, x64dbg หรือเครื่องมือวิเคราะห์ย้อนกลับและมัลแวร์ใดๆ
อยู่หรือไม่
นั่นคือสาเหตุที่มีการแสดงรายการกระบวนการทั้งหมดที่ทำงานอยู่บนคอมพิวเตอร์ของคุณ
เอาล่ะ.
เราจึงได้เห็นสิ่งที่น่าสงสัยมากมาย
ตัวบ่งชี้การประนีประนอม ตามที่นักวิเคราะห์ชอบเรียก หรือเรียกอีกอย่างหนึ่งว่า IOC
ตอนนี้มีการระบุเวลาที่นี่ หากคุณคลิกที่นี่ คุณจะเห็นว่ามัลแวร์นี้ถูกสร้างขึ้นเมื่อวันที่ 14 ตุลาคม
เวลา 16:31 น. ม. , 1998.
แต่ปีนี้อาจเป็นปีปลอมก็ได้เพราะสามารถเปลี่ยนแปลงได้
แต่มันเป็นตัวบ่งชี้ที่ดีว่าสิ่งนี้ถูกสร้างขึ้นเมื่อใด
และหากคุณคลิกที่ไลบรารี่ที่นี่ คุณจะเห็นว่ามีฟังก์ชั่นที่ส่งออกและนำเข้ามากมาย
นี่คือสินค้าที่นำเข้า
ตรงนี้ครับ.
และนี่คือรายชื่อไลบรารี่ที่นำเข้ามา
ดังนั้นคุณจะเห็นว่ามีสินค้านำเข้าจาก Wininet มากมาย
วินซ็อค2
นี่คือไลบรารี Winsock สำหรับการทำงานเครือข่าย โดยทั่วไปใช้โดยมัลแวร์เพื่อเชื่อมต่ออินเทอร์เน็ต
และ advapi32 ใช้สำหรับรีจิสทรีเพื่อสร้างคีย์ใหม่ในรีจิสทรี
โดยทั่วไปแล้ว kernel32 จะใช้โดยโปรแกรม PE ทั้งหมด
user32 ใช้สำหรับสร้างอินเทอร์เฟซผู้ใช้
นี่แสดงฟังก์ชันนำเข้าจำนวนมาก
ดังนั้นส่วนใหญ่แล้วสิ่งนี้อาจจะไม่ได้แพ็คไว้
ถ้าจัดเต็มมาจะเจอฟังก์ชั่นน้อยมาก ไม่เยอะขนาดนี้
เอาล่ะ.
เพียงแค่ใช้เครื่องมือสองชิ้นนี้เพียงอย่างเดียว เราก็สามารถเห็นสิ่งต่างๆ มากมายแล้ว
สิ่งต่อไปที่คุณต้องทำคือไปรับแฮชเพื่อให้เรารับแฮชได้โดยใช้โปรแกรม HashMyFiles
คลิกขวาที่นี่และ HashMyFiles
ตอนนี้เรามีแฮชแล้ว เราสามารถคัดลอก MD5 และตรวจสอบ VirusTotal ได้
ดังนั้นแฮชจึงเป็นวิธีที่แน่นอนในการระบุไฟล์
ชื่อไฟล์สามารถปลอมแปลงได้เพื่อไม่ให้แฮชโกหก
ดังนั้นเราจึงมุ่งหน้าไปที่ VirusTotal
จากนั้นเมื่อเปิดขึ้นมาแล้ว ให้มองหาฟังก์ชันค้นหาที่นี่ จากนั้นวางแฮชลงไป แล้วกด Enter จากนั้นระบบจะค้นหาในฐานข้อมูลและจะพบว่ามีผลลัพธ์
58 รายการจากทั้งหมด 71 รายการ
นี่จึงยืนยันได้ว่ามันเป็นมัลแวร์
โปรแกรมป้องกันไวรัส 58 จาก 71 โปรแกรมเคยตรวจพบว่าเป็นมัลแวร์มาก่อน
ดังนั้นไฟล์แฮชจึงเป็นวิธีที่ดีมากในการระบุประเภทของไวรัสหรือมัลแวร์นั่นเอง
ดังนั้นคุณจะเห็นว่านี่คือตัวแปรต่างๆ เช่น Trojan, Win32 และอื่นๆ
และ.
ดังนั้นนี่จึงมีประโยชน์มาก
ไฟล์บางไฟล์มีขนาดค่อนข้างใหญ่ ดังนั้นคุณไม่ควรอัปโหลดไปยัง VirusTotal
คุณสามารถสร้างแฮชและค้นหาตามแฮชได้
ดังนั้นหากในอนาคตมีมัลแวร์รูปแบบใดๆ คุณก็สามารถใช้แฮชเพื่อระบุตัวตนโดยใช้วิธีที่ฉันได้แสดงให้คุณดูได้
โอเค เครื่องมือทั้งสามนี้เพียงอย่างเดียวก็สามารถสร้างข้อมูลจำนวนมากให้กับไฟล์ได้แล้ว
ไฟล์คืออะไรเป็นต้น
นั่นคือทั้งหมดสำหรับการแนะนำการวิเคราะห์แบบคงที่นี้
แล้วพบกันใหม่ในตอนหน้าครับ
ขอบคุณที่รับชมครับ.