Bienvenido de nuevo.
En este vídeo, le mostraré la forma correcta de realizar un análisis dinámico.
Hay una secuencia correcta que
debes seguir. Flujo de trabajo de análisis dinámico.
Siga la secuencia al pie
de la letra.
Número uno, inicia Procmon.
A continuación, haz una pausa y luego borra la salida.
Procmon debe iniciarse en pausa.
Y luego número dos, empezar FakeNet.
FakeNet empezará inmediatamente a monitorizar el tráfico de Internet e interceptará cualquier intento
del malware de conectarse a Internet
y, a continuación, responderá con una respuesta falsa al malware.
Y luego tres, empieza Regshot.
Y luego haz el primer disparo.
Haga clic en el botón Primer disparo.
Ahora, la razón por la que pausamos
Procmon es porque no queremos que Procmon capture los cambios realizados por Regshot.
De lo contrario, Procmon tendrá demasiados eventos que no podrá ver ni filtrar.
Entonces número cuatro, espera a que Regshot haga lo suyo.
Puede tardar unos minutos.
Por supuesto, debe tener la configuración correcta
para Regshot.
Debería estar tomando una instantánea de la unidad
C, la raíz del propio sistema de archivos.
Así que una vez que el primer disparo se ha completado.
Entonces se detendrá solo.
No pulse aún el botón de segundo disparo.
En su lugar, ahora quiere reanudar Procmon, que antes estaba en pausa.
La razón por la que reanudamos Procmon es porque en el siguiente paso vamos a ejecutar el malware.
Así que queremos que Procmon monitorice el propio proceso
del malware.
Número cinco, ponga en marcha el malware y déjelo funcionar entre uno y tres minutos.
Y luego, mientras se ejecuta, estudia la salida de FakeNet para ver qué intenta hacer el malware en términos de conectividad
de red.
El malware puede intentar llamar a casa como contactar con el centro de mando y control o llegar a un servidor para descargar cargas
útiles adicionales o herramientas adicionales.
Número seis.
Transcurridos unos tres minutos, ponga Procmon
en pausa.
Para entonces, Procmon ya habrá capturado suficientes eventos para analizarlos más tarde.
Ahora, número siete, usamos Regshot.
Vuelve a ello.
Y ahora haces clic en el botón Segundo
disparo.
Así que ahora Regshot hará la segunda toma y verá cuáles son los cambios que se han realizado.
La razón por la que utilizamos Regshot es para comparar los cambios realizados por el malware.
Y número ocho.
El segundo disparo debe ser bastante rápido en comparación con el primero.
Una vez finalizada la segunda toma, haga clic en el botón Comparar y, a continuación, seleccione Comparar y mostrar salida.
Así que ahora Regshot comparará la primera toma y la segunda para ver cuáles son los cambios que se han realizado
después de que el malware haya comenzado a ejecutarse.
Así que una vez que la operación de comparación se ha completado, esto también debe tomar alrededor de uno, tal vez dos minutos.
Número nueve, estudia la salida de Regshot.
Revísalo y comprueba cuáles son los cambios que se han introducido en el sistema operativo.
Por ejemplo, se han creado nuevas claves en el registro o se han añadido nuevos archivos, creado nuevas carpetas,
etc.
Ahora, el siguiente paso es que vamos a mirar los eventos de Procmon que han sido capturados en Procmon.
Así que para ver los eventos, tenemos que filtrar y mirar sólo el proceso que te
interesa, que es el malware en sí.
Para ello, tenemos que aplicar algunos filtros.
Así que los filtros que se aplican es el número uno, el nombre del proceso.
Así que esto es lo que parece cuando se aplican los filtros de aquí.
Aquí puede seleccionar el tipo de filtro en la lista desplegable.
Y después de eso, seleccione el nombre de la operación o el nombre del proceso aquí.
Lo primero es seleccionar el Nombre del Proceso.
Y luego, en la lista desplegable de aquí, seleccione el nombre del malware.
Así que eso y luego haga clic en Agregar.
Entonces verá que se añade el primer filtro.
Y después de eso.
En segundo lugar, se aplica el filtro Operación es.
Eso significa que desde aquí se selecciona de la lista desplegable.
Seleccione Operación Es.
Y luego aquí seleccionar este uno a la vez y añadirlos a la lista de filtros.
La primera es Escribir Archivo,
Establecer Archivo de Información
de Disposición.
Se utiliza para borrar archivos.
Normalmente, el malware se borra a sí mismo después de haber hecho una copia y haberla escondido en algún lugar.
Y luego RegSetValue.
Es la nueva clave de registro que se añade.
Entonces Process Create es donde el malware crea nuevos procesos o nuevos hilos.
TCP y UDP son los protocolos de red, así que todo esto es lo que nos interesa filtrar de
la larga lista de eventos que Procmon ha capturado.
Así que una vez que haya añadido todos estos filtros, su lista debería ser más corta.
Usted puede comenzar con 108.000 eventos, pero después de aplicar este filtro, se filtrará para mostrar
tal vez menos de diez, tal vez 20 eventos.
Así que esto es manejable y como se puede ver, después de aplicar estos filtros, se puede ver
claramente estos son todos los valores que se han filtrado para las distintas llamadas a la API.
De acuerdo.
Así que sólo mirando esto, puedes ver algunos de los indicadores de compromiso.
Pero queremos ir un paso más allá.
Queremos visualizar esto en la vista gráfica utilizando otra herramienta llamada ProcDOT.
Pero antes de poder visualizarlo con ProcDOT, tiene que configurar su Monitor de Procesos.
Y exportar los archivos necesarios para que ProcDOT los utilice.
Para ello, debemos configurar los parámetros correspondientes.
Y.
Los ajustes os los mostraré en la propia práctica mientras lo hacemos.
Y creo que también has visto el video anterior en los videos anteriores hace unas lecciones, donde es necesario
configurar el Monitor de Procesos en consecuencia para utilizar las opciones para mostrar las columnas correctas.
Debe mostrarse la columna de rosca.
Y también hay que ocultar ciertas columnas.
Así que si has olvidado cómo hacerlo, por favor ve y revisa el video anterior donde instalamos Graphviz.
En ese video te mostré cómo configurar Process Monitor para exportar el formato correcto para ProcDOT.
Lo siguiente que quiero mencionar son algunos de los filtros Procmon más comunes.
Así que usted puede ver si vamos a añadir filtro en Procmon.
Estos son algunos de los que puedes elegir.
Lo que hemos hecho es elegir esto.
Las que aparecen en negrita son algunas de las más importantes.
Escribir archivo.
Establecer posición.
Establecer
disposición.
Fichero de información.
RegSetValue, Crear proceso, TCP y UDP.
También puedes experimentar con los demás añadiéndolos si quieres.
Y también quiero informarte sobre la persistencia del registro.
Estas son algunas de las ubicaciones de las claves del registro que pueden permitir al malware sobrevivir a un reinicio del sistema
operativo.
Así que si un malware intenta poner algo en estas ubicaciones mediante la creación de nuevas claves, entonces es un signo de
compromiso y un indicador de compromiso.
Así que tenemos el
HKLM, HKLM, HKCU.
Así que esté
atento a estas nuevas llaves en estos distintos lugares.
Otra cosa que hay que tener en cuenta son las diferencias entre los programas de 32 bits y los de 64 bits y cómo se ejecutan
en Windows.
Si está ejecutando un sistema operativo de 64 bits y el programa que ejecuta es de 64 bits, los
archivos DLL procederán de Windows\System32.
Por ejemplo, kernel32. dll vendrá de aquí.
Así que el programa de 64 bits o malware estará usando esas DLLs en System32.
Por otro lado, si está ejecutando un programa de 32 bits en un sistema operativo de 64 bits, las DLL procederán
de esta carpeta.
Windows\SysWOW64.
Así que esto es para que sea compatible con versiones anteriores.
Por eso los programas de 32 bits pueden seguir ejecutándose en Windows de 64 bits.
Lo siguiente que debe tener en cuenta es el orden de búsqueda de DLL.
Cuando un programa se ejecuta, necesitará utilizar APIs que se exportan desde los archivos DLL, por lo que los archivos DLL se encuentran
típicamente en Windows o Windows\System o Windows\System32 y a veces el malware intentará adelantarse
poniendo su propia versión de una DLL que es exactamente la misma que la DLL del sistema.
Así que puede hacerlo poniéndolo en el directorio, en su propio directorio.
Este es el orden de búsqueda en el directorio. Todo lo que se encuentre en el directorio de la izquierda se ejecutará primero
antes que en el directorio de la derecha.
Así que si un programa se va a ejecutar, este es el orden en el que buscará la DLL.
Así que el malware puede poner su propia DLL en el mismo directorio en el que se está ejecutando.
Así que ejecutará esa versión de la DLL en lugar de la que se encuentra en la carpeta Sistema
de Windows.
Así que tenlo en cuenta.
Por lo tanto, si encuentra una DLL dentro de la propia carpeta del malware y tiene el mismo nombre que la DLL de la carpeta System
de Windows, sabrá que se trata de una falsificación, la versión corrupta de la DLL original.
Así que eso es todo lo que quiero informarte sobre los conocimientos previos que necesitas tener
antes de que empecemos a hacer las prácticas sobre el análisis dinámico.
Así que gracias por vernos.
Nos vemos en la próxima.