175210 Exp4恶意代码分析

一、实践内容

1、使用schtasks指令监控系统

1、将内容写入脚本文件 netstat5210.bat

date /t >> d:
etstat5210.txt
time/t >> d:
etstat5210.txt
netstat -bn >> d:
etstat5210.txt

解释一下

-b 表示显示在 创建每个连接或侦听端口时涉及的可执行程序
-n 表示 以数字形式显示地址和端口号

2、使用命令 schtasks /create /tn netstat5210 /sc MINUTE /mo 1 /tr "cmd /c d: etstat5210.bat"

解释一下参数

TN是TaskName的缩写，我们创建的计划任务名是netstat5210
sc表示计时方式，我们以分钟计时填MINUTE
TR是Task Run，运行脚本netstat5210.bat

以管理员身份打开 windows terminal

然后发现管理员模式能执行上述的每条指令，但创建的计划任务没有这权限……

3、所以 schtasks /create /TN netstat5210 /sc MINUTE /MO 1 创建任务

要勾选 使用最高权限运行

4、过一段时间就可以观察数据了,先要结束这个计划任务

schtasks /delete /tn netstat5210

可以看到运行的有 code.exe （visual code）, psql.exe （postgresql）, mysql.exe（mysql）, vmware.exe（虚拟机）等

2、使用sysmon工具监控系统

1、下载 Sysinternals 套件，Sysmon是该套件中的一个工具，可以监控几乎所有的重要操作。

2、创建 5211config.xml 确定要监控的目标，对信任的程序设置白名单。

<Sysmon schemaversion="10.42">
  <HashAlgorithms>*</HashAlgorithms>
  <EventFiltering>
    <!-- Log all drivers except if the signature -->

    <!-- contains Microsoft or Windows -->

    <DriverLoad onmatch="exclude">
      <Signature condition="contains">Microsoft</Signature>
      <Signature condition="contains">Windows</Signature>
    </DriverLoad>

    <ProcessTerminate onmatch="include" >
      <Image condition="end with">MsMpEng.exe</Image>
    </ProcessTerminate>


    <FileCreateTime onmatch="exclude" >
      <Image condition="end with">chrome.exe</Image>
    </FileCreateTime>

    <ImageLoad onmatch="include">
      <Signed condition="is">false</Signed>
    </ImageLoad>

    <ProcessAccess onmatch="include">
      <TargetImage condition="end with">lsass.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
    </ProcessAccess>
	
	  <ProcessAccess onmatch="exclude">
		  <SourceImage condition="contains">vmware</SourceImage>
	  </ProcessAccess>

    <NetworkConnect onmatch="exclude">      
		  <Image condition="end with">chrome.exe</Image>
		  <Image condition="end with">svchost.exe</Image>
		  <Image condition="contains">vmware</Image>
          <Image condition="end with">psql.exe</Image>
          <Image condition="end with">postgres.exe</Image>
          <Image condition="end with">msedge.exe</Image>
          <Image condition="end with">svchost.exe</Image>
          <Image condition="contains">clash</Image>
          <Image condition="end with">Code.exe</Image>
          <Image condition="contains">mysqld</Image>
	  </NetworkConnect>

    <CreateRemoteThread onmatch="include">
      <TargetImage condition="end with">explorer.exe</TargetImage>
      <TargetImage condition="end with">svchost.exe</TargetImage>
      <TargetImage condition="end with">winlogon.exe</TargetImage>
      <SourceImage condition="end with">powershell.exe</SourceImage>
	    <SourceImage condition="end with">cmd.exe</SourceImage>
    </CreateRemoteThread>

  </EventFiltering>

</Sysmon>

过滤了很多东西，数据库，clash，vmware，IDE 都加入了白名单

3、使用命令 Sysmon.exe -i ..5210config.xml 安装