前言

我們已經了解如何進行初步的靜態分析來猜測惡意程式的行為，而當靜態分析遇到瓶頸，或是要觀測真實行為時，就必須利用動態分析跑起來才能觀測到真實的結果！使用動態分析可以讓我們看到惡意程式真正的功能，舉例來說，如果是一個鍵盤側錄程式，靜態分析或許可以看出他的行為，但是使用動態分析才能知道這隻程式會把側錄後的檔案存取哪、會記錄些甚麼、會送去哪裡等等細節。昨天介紹了基本動態分析的工具，今天就要來實戰！

基本分析步驟

1. 跑 procmon 並篩選惡意程式名稱，以及在跑惡意程式以前將事件清空
2. 開啟 Process Explorer
3. 使用 Regshot 採集第一個快照
4. 使用 FakeNet-NG 設定虛擬網路
5. 使用 Wireshark 設定網路流量側錄

lab 3-1

Questions

• 這支惡意程式的 imports 和 strings
  • 首先還是要先進行靜態分析
  • 
  • 使用 DIE 看雖然顯示沒有加殼，但是 pestdio 的結果卻顯示導入的函式只有一個 ExitProcess，而且解答是寫說有加殼
  • 
  • 而 strings 卻又看到很多資訊，像是 SOFTWARE\Microsoft\Windows\CurrentVersion\Run、SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders 等
  • 
• 這隻惡意程式的 host-based indicators
  • 基礎靜態分析看完以後就開始進行動態分析，首先打開 procmon 清除掉事件並篩選惡意程式
  • 
  • 然後因為這台機器沒裝 Process Explorer 所以使用 Process Hacker
  • 
  • 然後打開 Regshot 進行第一次紀錄
  • 
  • 接著以 Administrator 開啟 FakeNet-NG
  • 
  • 接著開啟 Wireshark 錄製，喔對然後這邊應該是要錄 Ethernet 0 但因為他 crash 了所以也還是沒東西XD
  • 
  • 接著把題目檔案實際跑起來，在 Process Hacker 看到他閃一下就不見了
  • 
  • 結果搞半天 procmon 沒錄到任何修改 Registry 的紀錄，而且 Wireshark 也沒看到紀錄，查網路發現好像是因為教材都是做給 Windows XP 的所以在 Windows 10 的 VM 上會沒辦法正常運作，難怪測超多次都沒東西，可惜看不到結果QQ
  • 解答是說程式會先建立名為 WinVMX32 的 Mutex，避免同一個惡意程式重複執行。接著會將自己複製到 C:\Windows\System32\vmx32to64.exe，並在 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 建立 VideoDriver 登錄值，讓惡意程式能在每次 Windows 開機時自動執行，以維持持久化，在 procmon 跟 process hacker 中應該都可以看到紀錄，然後 Regshot 會看到被建立的值。
• 這隻惡意程式的 network-based signatures
  • 解答說惡意程式會先解析網域 www.practicalmalwareanalysis.com 的 IP 位址，之後對遠端主機送出固定大小為 256 Bytes 的 Beacon 封包，這個應該可以在 Wireshark 看到。

參考資料

• Practical Malware Analysis (Chapter 3)
• https://www.jaiminton.com/Tutorials/PracticalMalwareAnalysis/Chapter3/#

本日貓味