2018-2019-2 20165325 网络对抗技术 Exp4 恶意代码分析

实验内容（概要）

一、系统（联网）运行监控

1. 使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，逐步排查并且进行深入分析。

（1）检查程序运行的合理性（他应不应该这时候运行）；

（2）检查程序占用资源的合理性（有没有不合理地、非法地占用资源）；

（3）综合分析结果，然后可以有目的地进行进行抓包。

2. 安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。

二、恶意软件分析

1. 特征捕捉

捕捉恶意软件联网情况、回连情况、进程迁移操作、修改注册表、修改文件的情况。

2. 特征分析

分析、以及基于特征的防范。

实验步骤

一、系统（联网）运行监控

1. 使用如计划任务，每隔一分钟记录自己的电脑有哪些程序在联网，逐步排查并且进行深入分析。

这里主要用到的是schtasks命令，在网上有很多教程。在这里，为了先进行联网进程的监控，在命令行试运行如下：

schtasks /create /TN 5325netstat /sc MINUTE /MO 1 /TR "cmd /c netstat -bn > c:
etstatlog.txt"

参数分析：/create创建定时任务；/TN设置taskname；/sc设置运行间隔；/MO设置周期；/TR设置runtask的命令；

任务计划创建成功，但是不一定能运行成功。因为可能c盘是保护盘，可能你需要权限才能创建文件balabala，所以在任务计划里面找到ta（看不见就在旁边刷新一下），设置为最高权限运行，看见c盘有生成的txt就可以了。

一次执行程序只能捕获此刻的联网情况。如果想在一段时间内持续监控，最好做一个bat文件。

date /t >> c:
etstatlog.txt
time /t >> c:
etstatlog.txt
netstat -bn >> c:
etstatlog.txt

以上是bat文件的内容（创建方法：新建txt —> 修改后缀名字）。

然后修改前面在cmd创建的任务计划参数，执行的程序不再是cmd，让任务计划指向这个文件。

当执行的时候电脑上会弹一个小黑窗，然后去c盘检查txt文件，能看见每一条日志有时间信息：

（可能一开始几条是cmd的任务计划生成的所以没有时间信息，查看的时候往下多拉一些）

运行大概有30分钟以后停止。如果需要更全面的监控，可以根据情况调整时间。

参考教程：https://www.cnblogs.com/zjy1997/p/8824717.html 。将数据导入Excel做成图表。

可以看见几个主要的联网进程分别是：

chrome.exe浏览器，暂时看不出来什么问题。
dlna_player.exe通过文件夹搜索发现是酷狗的程序。

经过上网查询发现这个是DLAN服务（手机投放功能）：“可以在家庭局域网中将手机、平板、电脑、电视或者音响及其他音视频设备联通起来，互相之间可以访问其中的音乐、照片和视频。”

nvcontainer.exe看起来像是NVIDIA的东西，全部是本机连本机的，查找资料如下：

[Nvcontainer.exe]对于Windows不是必需的，并且经常会导致问题。Nvcontainer.exe通常是存放在C:Program FilesNVIDIA CorporationNvContainer）。它是服务“NvContainerLocalSystem”：NVIDIA根功能的容器服务。这是Verisign签名的文件。Nvcontainer.exe不是Windows系统文件。该程序没有可见的窗口。该文件具有数字签名。该过程使用端口连接到LAN或Internet。Nvcontainer.exe能够监控应用程序。nvcontainer.exe也可能是恶意软件所伪装，或造成的一些恶意软件。因此，您应该检查PC上的nvcontainer.exe进程，看它是否是威胁。

QQ.exe大腾讯的qq，暂时看不出什么问题。
svchost.exe查找资料：LocalSystemNetworkRestricted。可能长时间读写可能引起电脑卡顿。参考：https://www.cnblogs.com/highend/p/win10_disk_100_percent.html
ruby.exe脚本语言，联网原因未知，查看链接地址全部是本机连本机的，应该问题不大。
WpnService网上说是一个系统服务，为什么连到这里？？？？？

有点小慌。。。。。想办法把他禁用了：

2. 安装配置sysinternals里的sysmon工具，设置合理的配置文件，监控自己主机的重点事可疑行为。

下载官方exe，安装：C:Users24771DesktopSysmon>Sysmon.exe -i C:sysmon5325.xml

文件sysmon5325.xml如下：

<Sysmon schemaversion="4.20">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <DriverLoad onmatch="exclude">
      <Signature condition="contains">microsoft</Signature>
      <Signature condition="contains">windows</Signature>
    </DriverLoad>
    
    <NetworkConnect onmatch="exclude">
      <Image condition="end with">chrome.exe</Image>
      <Image condition="end with">iexplorer.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>

成功。

右键win，打开事件查看器，左侧的应用程序和服务日志中，通过Microsoft->Windows->Sysmon->Operational找到配置文件所记录的全部信息。

每一个事件id对应着不同的事件类型：

1   :  进程建立 
2   :  进程更改了文件创建时间 
3   :  网络连接 
4   :  Sysmon服务状态已变更 
5   :  进程已终止 
6   :  已载入驱动程式 
7   :  已载入影像 
8   :  创建远程线程 
9   :  RawAccessRead 
10  :  进程访问 
11  :  文件创建 
12  :  注册事件(创建和删除对象) 
13  :  注册事件(值集) 
14  :  注册事件(键和值重命名) 
15  :  文件创建流哈希 
255 :  错误

这里的事件实在是太多了，不利于分析。建议修改xml的值，对后门程序进行定向分析。

<Sysmon schemaversion="4.20">
  <!-- Capture all hashes -->
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->
    <!-- contains Microsoft or Windows -->
    <DriverLoad onmatch="exclude">
      <Signature condition="contains">microsoft</Signature>
      <Signature condition="contains">windows</Signature>
    </DriverLoad>
    
    <NetworkConnect onmatch="exclude">
      <Image condition="end with">iexplorer.exe</Image>
      <SourcePort condition="is">137</SourcePort>
      <SourceIp condition="is">127.0.0.1</SourceIp>
    </NetworkConnect>

    <NetworkConnect onmatch="include"> 
      <DestinationPort condition="is">5325</DestinationPort>     
    </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
    </CreateRemoteThread>
  </EventFiltering>
</Sysmon>

Sysmon.exe -c C:sysmon5325.xml重新进行配置。