Hola.
En este vídeo, vamos a realizar el análisis dinámico práctico del malware uno.
Pero antes, algunas precauciones.
Asegúrese de que está utilizando su máquina virtual.
Y luego, como precaución adicional, puedes ir hasta el final y desactivar la red.
Así que baja a Máquina y haz clic en Configuración.
Y luego por aquí, Network, podrías hacer esto.
Baje aquí y establezca en Adaptador sólo para host.
Eso desactivará la red.
Pero esto es opcional, ¿no?
No lo voy
a hacer porque no me voy a conectar a mi red de área local dentro de mi oficina ni nada por el estilo.
Así que es bastante seguro.
Así que en tu caso, tienes que tomar estas precauciones adicionales si es necesario.
Lo primero es seguir esta secuencia: iniciar Procmon y pausarlo.
Así que ve al que está aquí abajo.
Haz clic en Procmon.
Y una vez que haya empezado, sólo tienes que pausarlo.
Este es el botón.
Pulse aquí para pausarla y después pulse aquí para borrar la salida.
En segundo lugar, inicia FakeNet.
Así que FakeNet está aquí abajo.
Sólo tienes que hacer clic en este icono para iniciarlo.
Y eso disparará e interceptará todo el tráfico de red que el malware generará.
A continuación, vamos a iniciar Regshot.
Así que haz clic aquí para permitir el acceso.
Así que para Regshot, abra la carpeta FLARE, la carpeta de utilidades dentro de ella, busque Regshot, e inícielo.
Y ahora aquí, haga clic en esta casilla de verificación aquí, y luego cambiar el directorio.
Cambiar a barra invertida C.
Queremos hacer una instantánea de todo el sistema de archivos raíz.
Así que haga clic en 1st Shot.
Haga clic en Disparo.
Y ahora está creando una instantánea de todo su sistema de archivos para la máquina virtual.
Y esto llevará unos minutos, así que pondré el vídeo en pausa y volveré cuando haya terminado.
La primera instantánea ya está hecha, y recibo este mensaje informándome. Haz clic en OK, pero no hagas clic
todavía en la segunda toma.
Ahora vamos a iniciar nuestro Procmon.
Así que vamos a reanudar Procmon.
Así que ven aquí y haz clic en Capturar.
Así que ahora Procmon se ha iniciado, y ahora vamos a ejecutar el malware en sí.
Así que vamos a hacer doble clic y ejecutar el malware.
E inmediatamente, ves que el malware ha desaparecido.
Eso significa que se ha borrado.
Y si echas un vistazo a FakeNet, puedes ver que ha llegado a Internet y ha publicado algo
en este sitio web, mackaiah. locura. com.
Y luego también está contabilizando en este
camino, /yuneva/u, y así sucesivamente.
Y se está conectando a un servidor web.
Puede ver 80, el host, el nombre del host y el número de puerto.
Así que 80 es un servidor web, y está publicando algunos datos, y la longitud es de 938 bytes.
Y este es el par clave-valor.
Está publicando el valor a, y esto es algún tipo de codificación
de aquí a aquí.
Así que ahora vamos a dejar que funcione durante aproximadamente uno a tres minutos y ver si aparece algo más
en FakeNet.
Así que FakeNet está interceptando,
y puedes ver aquí que ahora está enviando otro- otro
POST.
Así que FakeNet ha interceptado todo el tráfico de Internet que ha generado el malware y lo muestra aquí.
Y el segundo POST que también está enviando es una repetición.
Puedes ver que la URL host es la misma, y el puerto es el mismo, y los bytes también son los mismos.
938 bytes es lo mismo.
Y creo que la codificación aquí, los datos que se envían, también es la misma.
Así que está intentando enviar los mismos datos, enviándolos al mismo servidor, y lo ha hecho dos veces hasta ahora.
Así que le daremos otro minuto aproximadamente, y luego pasaremos.
De acuerdo.
Así que ahora ha enviado otro POST, como puedes ver aquí.
Y parece que la longitud también es de 938 bytes, y el host es el mismo, mackaiah,
y así sucesivamente.
Así que parece que está intentando por todos los medios enviar estos datos a este servidor web.
Y de hecho, lo ha interceptado y ha respondido al malware, pero probablemente el malware no ha reconocido
la respuesta.
Por eso sigue intentando enviar los mismos datos al servidor de Internet.
Así que por eso estamos viendo tres POSTs aquí, POSTs idénticos.
Así es como FakeNet-FakeNet intercepta el tráfico y se hace pasar por un servidor,
pero no reenvía el tráfico al servidor previsto.
En su lugar, FakeNet responderá con su propio mensaje, simplemente diciendo "FakeNet"
o algo así al malware.
Y este es el cuarto POST, puedes verlo aquí.
Así que ha publicado cuatro veces,
paquetes idénticos: uno, dos, tres, cuatro.
Así que ahora desde aquí podemos ver el indicador de compromiso.
El nombre de host está a la vista para que lo veamos por aquí.
De acuerdo.
Así que ahora creo que podemos pausar el Monitor de Procesos.
Pongámoslo en pausa.
Y ahora podemos ir y utilizar Regshot para tomar nuestra segunda instantánea y ver qué cambia.
De acuerdo, haz clic en 2nd Shot y haz clic en Shot.
Así que el segundo disparo debería ser más rápido que el primero.
Una vez que haya completado la segunda toma, se podrá hacer clic en el botón Comparar, así que deja que haga su trabajo.
Pondré el vídeo en pausa y volveré cuando termine.
Oh, parece que está hecho.
Haz clic en Aceptar.
De acuerdo.
Así que ahora podemos hacer una comparación.
Simplemente haga clic en este botón aquí, Comparar, y luego desplácese hacia abajo para Comparar y Salida de modo que una vez que haya
terminado de comparar la primera toma y la segunda toma, mostrará inmediatamente la salida.
Así que haz clic en esto y deja que haga lo suyo.
Así que éste tardará más que el segundo disparo.
Así que voy a pausar el vídeo y volveré.
Cuando está hecho, la comparación se hace y esta cosa aparece automáticamente.
Así que ahora podemos analizar esto y ver qué ha pasado.
Así que podemos ver aquí que se añadió.
Y aquí podemos ver que se ha creado una nueva clave.
Esta es la clave:
12648430, y este es el valor de la clave.
Se crea en este registro como 1521, es el usuario, que es el malware en sí, y este es el
registro de software y luego Run1.
Así que esta es la persistencia aquí.
Así que está tratando de crear un método para que persista.
Así que creó una nueva clave, esta
clave, y aquí tenemos el archivo real que se ejecutará cuando el malware se inicie en el próximo reinicio.
Así que usted puede ver que ha puesto un nuevo archivo, creado un nuevo archivo llamado cdf32. dll en esta ubicación.
Así que ahora podemos saber dónde ha escondido el malware
una copia -quizá una copia de sí mismo- con un nombre de archivo diferente en este oscuro lugar.
Entonces desplacémonos hacia abajo.
Así que hemos visto dos indicadores de compromiso de este archivo.
Y echemos un vistazo a ver si hay algo más.
De acuerdo.
Carpetas añadidas.
Ha creado esta carpeta
para colocar allí el archivo CDF.
Así que este es el tercer segundo indicador de compromiso, igual que el primero. Archivos borrados: por lo que se ha
borrado a sí mismo.
¿Lo ves?
Y vimos con nuestros propios ojos que el archivo se borró cuando empezamos a ejecutarlo la primera vez.
Ficheros añadidos:
este es.
Así que ha creado este nuevo archivo y lo puso en esta ubicación,
y esto es para asegurarse de que se puede ejecutar.
También creó una entrada en el registro, que vimos anteriormente.
Así que encontramos muchas cosas reveladoras de este Regshot.
Así que ahora lo siguiente que hacemos es hacer el filtro Procmon.
Así que vamos a Procmon.
De acuerdo.
Toma.
De acuerdo.
Para el filtro Procmon, continuaré en el próximo vídeo, así que permaneced atentos.
Nos vemos en el próximo vídeo.