Bienvenido de nuevo.
Continuaremos ahora con el análisis dinámico de la muestra de malware uno.
Así que debemos detenernos aquí después de obtener todo el Monitor de Procesos y también la salida de Regshot.
Ahora queremos filtrar el Monitor de Procesos. Sin filtrar, podemos ver
que hay unos 221.000 eventos.
Así que vamos a filtrar algunas cosas.
Haga clic aquí en el filtro.
Y luego lo primero es que seleccionemos Nombre del proceso. Haga clic en Nombre del proceso, busque Nombre del proceso.
Porque estos eventos son eventos para todos los eventos de todo el sistema operativo, pero sólo
estamos interesados en nuestro malware.
Así que haga clic en Nombre del proceso, y aquí abajo hay una lista desplegable, y haga clic en este malware, haga clic en Agregar,
y se puede ver que se añade al filtro.
Y cuando hagas clic en Aplicar, mira lo que pasa aquí abajo.
De acuerdo.
Ha reducido el número a 82.000.
De acuerdo.
Así que ahora vamos a seguir añadiendo filtros adicionales.
Y recuerda este diagrama: estos son los filtros que vamos a añadir.
La siguiente es la Operación Is.
Así que hacemos clic aquí, seleccionamos Operación Es. Operación Son las llamadas API-API.
Así que la primera operación, la primera API, es WriteFile.
O la API ReadFile.
Y, a continuación, haga clic en Añadir.
Haga clic en Aplicar.
Y ves que se reduce a 66.
Y ahora el siguiente es SetDispositionInformationFile.
SetDisposition.
SetDispositionInformationFile es para eliminar archivos.
Así que haga clic en Añadir, haga clic en Aplicar.
De acuerdo.
Y ahora el siguiente es RegSetValue.
RegSetValue, haga clic en Añadir y, a continuación, en Aplicar.
Y la siguiente es Crear proceso.
Buscar Proceso Crear.
Con cualquier
malware, estas son las API que filtrarás.
Haga clic en Aplicar y, a continuación, en TCP.
Sí.
No es necesario buscar aquí porque hay muchos TCP.
Así que vamos a escribir manualmente para seleccionar todos los TCP.
Haga clic en Añadir y en Aplicar.
Y también UDP.
TCP y UDP son protocolos de red.
De acuerdo.
Así que ahora podemos cerrar esto.
Y luego tenemos que configurar las opciones. Asegúrese de que ninguna de estas opciones está marcada.
A continuación, seleccione Seleccionar columnas aquí, y luego aquí asegúrese
de que Thread ID está marcada, y el resto son los siguientes.
Siga exactamente lo que ve aquí para mi configuración y, a continuación, haga clic en
Aceptar.
Ahora vamos a guardarlo dos veces.
Uno está en formato nativo. Haga clic en Archivo, Guardar y, a continuación, seleccione Todos los eventos, Formato
nativo PML y, a continuación, haga clic en este para seleccionar la ubicación para guardar esta captura.
Seleccione aquí la carpeta de muestra y, a continuación, haga clic en Guardar.
Así que este es el archivo de registro PML.
Haga clic en Guardar.
Haga clic
en Aceptar.
De acuerdo.
La razón por la que guardamos es por si más adelante quieres volver a abrirlo para volver a examinarlo, puedes hacerlo de
esta manera.
El segundo formato que vas a guardar es el formato CSV.
Haga clic en Todos los eventos aquí, seleccione CSV.
Ahora, esta versión es para el siguiente programa, que vamos a utilizar para visualizar los eventos-que
es ProcDOT.
Así que ProcDOT requiere un CSV.
En este caso, la ubicación es la misma, pero el nombre del archivo es diferente.
Ampliación. Haga clic en
Aceptar.
Así que espéralo.
Ahorra.
Ya está hecho.
Ya podemos abrir nuestro ProcDOT.
Así que sólo tienes que ir a la carpeta FLARE, utilidades, y abrir el programa ProcDOT.
Sí.
Bien, hagamos clic en OK aquí.
Y luego aquí, asegúrese de establecer la ruta de acceso al punto. lista de unidades exe.
El WinDump/Tcpdump no es necesario, pero esto definitivamente necesitamos.
Ya te he enseñado a instalar Graphviz en uno de los vídeos anteriores.
Si aún no lo ha hecho, hágalo ahora.
Seleccione la ruta, que
es esta ruta.
Haga clic
en Aceptar.
Y a continuación vamos a abrir el archivo CSV haciendo clic en estos tres puntos de aquí.
Y luego ir al escritorio donde se ve el archivo de registro en formato CSV, procmon1. csv.
Haga clic en Abrir, y ahora podemos hacer clic en esto para lanzarlo.
Estos tres puntos aquí.
Haga clic en Iniciar y comenzará a analizar el archivo CSV.
Así que deja que analice.
Una vez que haya terminado, el análisis, verá una lista de todos los procesos.
Así que haga clic en el malware en sí y haga doble clic en él para seleccionarlo, y entonces
usted necesita para actualizar la salida.
Así que haz clic en Actualizar.
Y ahora generará el gráfico de análisis para que lo visualices.
Y ha generado el gráfico.
Y compáralo con tu Procmon1.
Procmon tiene 243 eventos, y está bastante bien por sí mismo, pero son demasiados para intentar comprender lo que está
pasando.
Así que ProcDOT toma todos estos eventos y encuentra las relaciones entre ellos y lo visualiza en un gráfico,
que es mucho más fácil de entender.
Así que si quieres una salida en bruto, aquí verás los eventos Procmon.
Desde aquí, puedes ver que está escribiendo en este archivo, creando algún valor de registro aquí, creando un proceso aquí,
y así sucesivamente.
Pero esto en sí mismo es bueno para los indicadores de compromiso.
Pero para visualizarlo y entenderlo, usamos esto.
Este es un gráfico interactivo.
Puedes mantener pulsada la tecla Control y hacer zoom desplazando la rueda del ratón.
Amplía y reduce la imagen, y puedes arrastrar y moverte.
Y aquí está Budget Report, el propio malware original.
Ha creado un hilo, como puedes ver: 2284.
Y luego por aquí, ha creado un proceso, CMD proceso aquí.
Y luego por aquí, se puede ver en la parte posterior aquí, también creó un archivo por lotes temporal,
124. bate.
Y luego este archivo por lotes se ejecutó con el fin de eliminar algo más.
Así que usted puede ver que probablemente utilizó el archivo por lotes para crear otro hilo, otro proceso,
para matar el archivo CMD, que se utilizó para eliminar el propio archivo por lotes, y luego por aquí,
por lo que también creó una clave de persistencia en esta ubicación, en este registro, con esta nueva
clave: 12648430.
Y así es como se inicia cuando el ordenador se reinicia solo.
Y entonces lo que realmente va a reiniciar es este archivo,
ctfmon.
Puedes ver la flecha viniendo de aquí.
Así que esta clave de persistencia va a ejecutar este archivo, y luego este archivo, si lo rastreas, en
realidad ha sido renombrado de su nombre original.
¿Lo ves?
El nombre original es Informe Presupuestario, y luego le ha cambiado el nombre.
Vea aquí el punto, la raya y la etiqueta con otro nombre.
Ahora sabemos que ctfmon y Budget Report son el mismo archivo.
Así es como se esconde.
Se esconde en este lugar.
Y a partir de aquí, se renombra, y entonces...
Y también ha creado otras claves.
Así que esos son los principales indicadores de
compromiso que estamos viendo aquí.
Por lo tanto, si no ha utilizado ProcDOT, no podríamos ver este tipo de relación entre los distintos
componentes.
Estos componentes se conocen como artefactos en el análisis de malware.
Así pues, los artefactos son las pistas o pruebas que quedan de que el malware ha existido o ha hecho algo.
Así que esta colección de todos estos artefactos aquí conformarán sus indicadores de compromiso.
Eso es todo.
Así de importante y útil es esta herramienta cuando se utiliza junto con Procmon.
Así que ahora, si quisieras escribir un informe, probablemente escribirías un informe para mostrar todas estas cosas,
enumerar este archivo.
Ha sido renombrado de un archivo anterior, nombre original, y luego ha creado una entrada en
el registro aquí, y también ha creado un archivo por lotes utilizado para borrarse a sí mismo más tarde, y más tarde el archivo por lotes
también fue eliminado, y todas las ubicaciones del registro, así como la ubicación, la ruta del nuevo archivo.
De acuerdo.
Todo ello se incluirá en su informe para el indicador de compromiso.
Ahora, lo siguiente que hacemos es el análisis de redes.
Así que para ese análisis, nos vemos en el próximo vídeo.
Gracias por vernos.