Bentornati.
Proseguiamo ora con l'analisi della rete di malware.
Quindi questa precedente analisi di ProcDOT è stata molto utile se si vuole salvare il sistema operativo.
Ora sapete dove andare per eliminare il malware da queste posizioni e anche da qui.
Giusto.
È quindi molto utile per riprendersi da un attacco di malware, da un'infezione di malware.
Per fare l'analisi della rete, abbiamo la FakeNet. Prima abbiamo visto che questo indicatore di
compromissione sta cercando di raggiungere questo URL e di inviare questi byte codificati al server.
E ora anche FakeNet conserva un record, quindi possiamo chiudere FakeNet.
Ora, Ctrl+C per eliminarlo.
Se Ctrl+C non lo interrompe, è possibile chiuderlo chiudendo la finestra.
Quindi il record FakeNet è qui, i registri
FakeNet.
Se aprite i registri di FakeNet e scorrete verso il basso, vedrete un file PCAP qui sotto.
Ora, il file PCAP viene aperto di default da un programma chiamato Wireshark.
Quindi è sufficiente fare doppio clic su di esso e Wireshark aprirà il file e lo analizzerà.
Aspettiamo quindi che Wireshark si accenda e si inizializzi.
Ok, questi sono tutti i pacchetti catturati da FakeNet e memorizzati come file PCAP.
Quello che vogliamo è l'HTTP, perché abbiamo visto che FakeNet si stava connettendo all'HTTP.
Quindi possiamo andare alla casella del filtro e digitare il protocollo HTTP e premere Invio.
E ora, dall'alto, si possono vedere tutti i... e si
può vedere che sta pubblicando qualcosa su Internet.
Giusto.
Questa è una richiesta POST, quindi possiamo fare clic con il pulsante destro del mouse e selezionare Segui flusso TCP.
Quindi ora ricostruirà il traffico.
E qui si può vedere lo stesso risultato che abbiamo visto prima da FakeNet.
Si sta collegando a questo sito web sulla porta 80 e il tipo di contenuto è un modulo.
Sta inviando questi dati con questa chiave e questa stringa codificata in esadecimale, la risposta è OK e FakeNet ha intercettato
il traffico.
Lo si può vedere.
Va bene.
E quindi anche questo è un chiaro indicatore di compromesso.
Ora sappiamo dove sta andando.
Quindi, se si desidera analizzare ulteriormente questo dato, probabilmente si può utilizzare un decrittatore per decifrare questa stringa codificata
in esadecimale e scoprire di cosa si tratta.
Ecco come si fa l'analisi di rete.
E questa è solo un'introduzione all'analisi del malware.
I passaggi fondamentali sono i seguenti.
Quindi, per ricapitolare quello che abbiamo fatto nelle ultime tre lezioni, abbiamo fatto un'analisi seguendo questa
procedura esattamente in questo ordine.
Poi abbiamo bisogno anche delle impostazioni di Procmon e dell'esportazione di Procmon e dell'impostazione dei filtri.
E abbiamo visto che l'analisi ha confermato la posizione di persistenza.
È inoltre necessaria l'analisi della rete utilizzando FakeNet e Wireshark e analizzarla seguendo il flusso.
Spero che questo vi aiuti a comprendere le basi dell'analisi dinamica.
Quindi ora potete scrivere il rapporto per inserire tutto ciò che avete visto, e il rapporto comprenderà
un elenco di tutti gli indicatori di compromissione che avete visto.
È tutto per questo video.
Grazie per aver guardato.
E ricordate, prima di iniziare la sessione successiva di analisi del malware, dovreste sempre ripristinare
l'istantanea della macchina virtuale.
Ok? Il ripristino dell'istantanea ripulisce tutto il malware dalla macchina
virtuale, in modo da poter ricominciare con una nuova analisi per un nuovo campione di malware.
Quindi...
è tutto.
Grazie.
Ci vediamo alla prossima.