Bentornati.
Ora si inseriscono i filtri per Procmon.
Questi sono i filtri che utilizzeremo, come in precedenza.
Quindi iniziamo.
La prima cosa che dobbiamo filtrare è il nome dell'applicazione del malware.
Quindi fate clic sull'icona dei filtri e selezionate Nome processo, quindi selezionate il nome del malware stesso.
Quindi fare clic su Aggiungi e su Applica.
Quindi ora è sceso a 867 filtrati.
La prossima volta, filtreremo in base alle chiamate API.
Quindi selezioniamo qui sotto, Operazione, e selezioniamo l'API che vogliamo filtrare.
Il primo è WriteFile.
Fare clic su Aggiungi e su Applica.
Il prossimo è SetDispositionInformationFile.
Fare clic su Aggiungi.
Fare clic su Applica e il successivo sarà Reg
SetValue.
Valore
impostato di
Reg.
Fare clic su Aggiungi.
Fare clic su Applica.
Il prossimo sarà Process
Create.
Quindi fate clic su Cerca processo di creazione.
Processo di
creazione.
Fare clic su Aggiungi.
Fare clic su Applica.
Il prossimo sarà TCP e UDP.
È sufficiente digitare TCP per cercare tutto ciò che è correlato a TCP.
Fare clic su Aggiungi.
Fare clic su Applica.
L'ultimo è UDP. Fare clic su Aggiungi.
Fare clic su Applica, quindi fare clic
su OK al termine
dell'applicazione del filtro.
Fare clic su OK.
E ora possiamo vedere che questi sono alcuni indicatori di compromesso.
Ha chiamato WriteFile per creare e rilasciare un nuovo file, xpupdate, in questo percorso.
E utilizza l'API RegSetValue per creare una nuova chiave di registro.
Chiamato Windows Update Loader, richiama l'API WriteFile per creare un nuovo file in questa posizione.
Inoltre, imposta il valore di registro, un nuovo
valore di registro, Conversion, probabilmente per tenere traccia della versione di questo malware, e crea
anche un'altra chiave di persistenza qui in questa posizione.
Ora possiamo esportare questo file.
Facciamo quindi clic su Opzioni.
Prima di ciò, è necessario impostare: assicurarsi che nessuno di questi elementi sia selezionato e selezionare Colonne.
Assicurarsi di controllare questo, e poi questo, questo e questo per assicurarsi che l'ID thread sia controllato. Fare clic su OK.
E ora lo salviamo in due formati.
Il primo formato è un formato PML.
Selezionare Tutti gli eventi e il Formato nativo.
E qui, modificate il percorso del desktop in cui avete inserito il malware.
Quindi, al desktop.
Fare clic su Salva e salvare qui.
Questo è il file.
Fare
clic su OK.
La seconda versione è un file CSV da utilizzare per ProcDOT.
Quindi File, Salva, Tutti gli eventi, e qui si seleziona CSV, valori separati da virgole, e la posizione va bene, la stessa
posizione. Fare clic su OK.
Ora possiamo aprire ProcDOT e analizzarlo con ProcDOT.
Quindi andate
su FLARE, su Utilità e selezionate ProcDOT.
Ed eseguirlo.
Fare clic su OK e assicurarsi che il percorso sia il punto. exe è impostato su "ok".
Fare clic sui tre punti qui per aprire il file CSV sul desktop, nella posizione
in cui è stato salvato.
Fare clic su Apri, quindi fare clic su questi tre punti per avviare l'analisi.
L'analisi è quindi iniziata.
Dagli un po' di tempo.
Ora l'analisi è completata e fate clic sul nome del malware stesso qui.
Facendo doppio clic e cliccando su Aggiorna, verrà generata la visualizzazione per mostrare l'analisi.
Ora la visualizzazione è terminata.
Possiamo fare uno zoom.
Tenendo premuto il tasto Ctrl e scorrendo con la rotella del mouse, si può vedere che il nome originale
è financials_unpacked. exe e ha creato un thread e un file chiamato xpupdate.
E qui si può vedere che è stata creata anche una chiave di registro chiamata Windows Update Loader
ed è Autostart.
Ciò significa che questo è il meccanismo di persistenza.
E ciò che si avvierà automaticamente - si può vedere
una freccia che parte da qui, Imposta come valore.
In questo modo, quando l'utente riavvia il computer o effettua nuovamente l'accesso, viene eseguito automaticamente questo xpupdate.
Ora rimane la domanda: questo xpupdate è lo stesso file decompresso? exe?
Si tratta dello stesso file o no?
Come fai a saperlo?
Giusto.
Quindi, poiché qui non abbiamo visto nulla chiamato Rinomina, proprio come nel primo malware, abbiamo visto chiaramente
che il malware si è rinominato dopo essersi copiato, ma qui non c'è alcuna rinominazione.
Quindi, per scoprire se xpupdate è lo stesso file di financials_unpacked, possiamo usare l'hash.
Va bene, si può usare l'hash, quindi possiamo andare a farlo ora.
Possiamo creare un hash per il primo file e confrontarlo con l'hash- quindi andiamo alla
posizione del malware.
Facciamo clic con il pulsante destro del mouse su questo file, decompresso, e su Hash My Files.
Ora abbiamo l'MD5. Copiamo l'MD5, lo inseriamo nel Blocco note e lo chiamiamo "originale".
Ora andiamo nella posizione,
la posizione di xpupdate, che è qui, C:\Windows\xpupdate, e creiamo un hash anche per questo.
Quindi andiamo all'unità C:.
Andiamo in Windows e cerchiamo il file xp.
Fate clic con il pulsante destro del mouse e selezionate Hash My Files, quindi copiate anche l'MD5 da qui.
Copiare l'MD5 e inserirlo nel Blocco note per il confronto.
E si vede che sono identici, esattamente uguali.
Quindi questo conferma che xpupdate. exe è esattamente lo stesso file del suo nome originale.
Va bene.
L'altra cosa che fa è creare una nuova discussione.
Si può vedere qui, Crea thread 2824, e questo thread crea un altro file in questa posizione, AppData\Roaming,
e questo nuovo file si
chiama install. dat.
Il thread crea anche un'altra chiave in questo registro per tenere traccia della sua versione.
È interessante notare che qui si crea anche un altro meccanismo di persistenza.
E questa volta la chiave si chiama con.
E questa truffa eseguirà il nome del file originale, perché ovviamente non ha eliminato il file originale.
Quindi il file originale è ancora presente.
Quindi eseguirà due copie di se stesso,
una è qui e l'altra è qui.
In questa analisi abbiamo quindi visto una serie di elementi,
indicatori di compromesso.
Quindi, nella prossima lezione, farò l'analisi della rete.
Grazie per aver guardato.
Ci vediamo alla prossima.