搜索

[11686] 2017-08-20_如何确定恶意软件是否在自己的电脑中执行过？

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-08-20_如何确定恶意软件是否在自己的电脑中执行过？ 如 何 确 定 恶 意 软 件 是 否 在 自 己 的 电 脑 中 执 行 过 ？ A l p h a _ h 4 c k   F r e e B u f   2 0 1 7 - 0 8 - 2 0 很 不 幸 ， 你 在 自 己 的 电 脑 里 发 现 了 一 个 恶 意 的 可 执 行 程 序 ！ 那 么 问 题 来 了 ： 这 个 文 件 到 底 有 没 有 执 行 过 很 不 幸 ， 你 在 自 己 的 电 脑 里 发 现 了 一 个 恶 意 的 可 执 行 程 序 ！ 那 么 问 题 来 了 ： 这 个 文 件 到 底 有 没 有 执 行 过 ? 在 这 篇 文 章 中 ， 我 们 会 将 注 意 力 放 在 W i n d o w s 操 作 系 统 的 静 态 取 证 分 析 之 上 ， 并 跟 大 家 讨 论 一 些 能 够 帮 助 你 回 答 上 面 那 个 问 题 的 方 法 以 及 证 据 源 ， 其 中 涉 及 到 的 四 大 主 要 的 证 据 源 包 括 W i n d o w s   P r e f e t c h 、 注 册 表 、 日 志 文 件 以 及 文 件 信 息 。 W i n d o w s   P r e f e t c h W i n d o w s   P r e f e t c h （ W i n d o w s   预 读 取 ） 是 一 个 查 找 文 件 执 行 证 据 的 好 地 方 。 根 据 微 软 的 设 计 方 案 ， W i n d o w s   P r e f e t c h 的 功 能 就 是 允 许 那 些 经 常 需 要 使 用 到 的 程 序 打 开 得 更 加 快 。 默 认 设 置 下 ， 它 会 在 预 读 取 文 件 （ 存 储 路 径 为 ” C : W i n d o w s P r e f e t c h ” ） 中 存 储 最 近 执 行 的 1 2 8 个 文 件 的 信 息 。 一 个 预 读 取 文 件 的 命 名 规 则 为 ” 可 执 行 文 件 名 + 文 件 路 径 的 哈 希 + 后 缀 名 . p f ” ， 预 读 取 文 件 中 会 保 存 文 件 的 第 一 次 和 最 后 一 次 运 行 日 期 、 文 件 路 径 和 执 行 次 数 等 信 息 。 所 以 说 ， 如 果 你 的 恶 意 软 件 文 件 名 或 路 径 哈 希 出 现 在 了 一 个 预 读 取 文 件 （ 例 如 ”   D A B E A R S . E X E - 1 2 F 3 B 5 2 A . p f ” ） 之 中 ， 那 就 说 明 这 个 恶 意 文 件 曾 在 你 的 电 脑 中 执 行 过 了 。 注 ： W i n d o w s   S e r v e r 默 认 禁 用 了 预 读 取 功 能 。 注 册 表 注 册 表 没 错 ， W i n d o w s 注 册 表 可 是 一 个 巨 大 的 “ 宝 藏 ” ， 注 册 表 可 以 算 是 W i n d o w s 系 统 能 够 正 常 运 行 的 基 石 了 。 虽 然 注 册 表 非 常 “ 庞 大 ” ， 但 是 我 们 接 下 来 给 出 的 表 单 却 并 没 有 那 么 复 杂 。 因 为 如 果 要 确 定 一 个 文 件 是 否 执 行 过 ， 我 们 只 需 要 检 查 几 个 重 要 的 注 册 表 键 即 可 ： 1 .             S h i m C a c h e 微 软 使 用 了 S h i m C a c h e 或 “ A p p C o m p a t C a c h e ” 来 识 别 应 用 程 序 的 兼 容 性 问 题 。 缓 存 数 据 能 够 追 踪 文 件 路 径 、 大 小 、 最 后 修 改 时 间 和 最 后 一 次 运 行 的 时 间 。 如 果 一 个 文 件 以 W i n d o w s 进 程 的 形 式 执 行 过 ， 那 么 它 的 信 息 将 会 被 记 录 到 S h i m C a c h e 中 ， 但 是 S h i m C a c h e 中 记 录 的 文 件 信 息 并 不 能 1 0 0 % 证 明 一 个 文 件 执 行 过 ， 因 为 它 只 能 证 明 W i n d o w s 曾 与 该 文 件 交 互 过 。 下 面 这 个 注 册 表 键 中 包 含 了 S h i m C a c h e 数 据 ： H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e s s i o n M a n a g e r A p p C o m p a t i b i l i t y A p p C o m p a t C a c h e ( f o r   X P )   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l S e s s i o n M a n a g e r A p p C o m p a t C a c h e A p p C o m p a t C a c h e ( f o r   N o n - X P ) 更 多 关 于 S h i m C a c h e 的 内 容 ， 请 参 考 A n d r e w   D a v i s 的 【 这 篇 文 章 】 以 及 M a n d i a n t s 的 【 会 议 报 告 】 。 2 .             M U I C a c h e
当 一 个 文 件 通 过 W i n d o w s   E x p l o r e r （ 资 源 管 理 器 ） 运 行 ， 程 序 S h e l l 会 在 M U I C a c h e 中 创 建 一 个 入 口 。 W i n d o w s 使 用 M U I C a c h e 来 存 储 应 用 程 序 名 以 及 其 他 相 关 信 息 ， 获 取 来 的 信 息 主 要 存 储 在 下 面 的 注 册 表 键 中 ： H K C U S o f t w a r e M i c r o s o f t W i n d o w s S h e l l N o R o a m M U I C a c h e ( f o r   X P ,   2 0 0 0 ,   2 0 0 3 ) H K C U S o f t w a r e C l a s s e s L o c a l   S e t t i n g s S o f t w a r e M i c r o s o f t W i n d o w s S h e l l M u i C a c h e ( f o r   V i s t a ,   7 ,   2 0 0 8 ) 关 于 M U I C a c h e 的 更 多 内 容 ， 请 参 考 w i n d o w s i r 的 【 这 篇 文 章 】 。 3 .             U s e r A s s i s t U s e r A s s i s t 可 以 追 踪 可 执 行 程 序 以 及 资 源 管 理 器 中 打 开 的 链 接 ， U s e r A s s i s t 键 能 够 追 踪 文 件 的 最 后 一 次 执 行 时 间 以 及 执 行 次 数 ， 并 将 信 息 存 储 在 下 面 这 个 注 册 表 键 中 ： H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r U s e r A s s i s t U s e r A s s i s t 键 的 值 对 应 了 可 执 行 程 序 的 名 称 以 及 文 件 路 径 ， 并 使 用 了 R O T 1 3 加 密 。 因 此 ， 如 果 你 想 直 接 通 过 搜 索 关 键 字 来 查 找 文 件 执 行 的 证 据 的 话 ， 在 不 解 码 的 情 况 下 是 无 法 做 到 的 。 目 前 也 有 很 多 工 具 可 以 解 密 这 个 注 册 表 键 ， 例 如 R e g R i p p e r   u s e r a s s i s t . p l 插 件 【 点 我 获 取 】 。 日 志 文 件 日 志 文 件 为 了 确 定 一 个 文 件 是 否 执 行 过 ， 我 们 还 可 以 根 据 日 志 文 件 的 分 析 结 果 来 判 断 。 首 先 我 们 来 看 一 看 W i n d o w s   S y s t e m   E v e n t   L o g （ 系 统 事 件 日 志 ） ， 因 为 这 个 日 志 文 件 记 录 了 服 务 的 启 动 信 息 。 下 图 显 示 的 事 件 （ E v e n t   I D = ” 7 0 3 5 ″ ） 信 息 表 明 ， 一 个 管 理 员 （ S I D = ” - 5 0 0 ″ ） 运 行 了 P S E X E C S V C 远 程 执 行 服 务 ： 当 一 个 服 务 启 动 时 ， 它 通 常 会 执 行 I m a g e P a t h 中 定 义 的 文 件 或 一 个 已 加 载 的 服 务 D L L 。 比 如 说 ， ” N e t m a n ” 服 务 在 执 行 时 使 用 了 一 个 合 法 文 件 ” n e t m a n . d l l ” 。 但 是 ， 如 果 注 册 表 中 的 S e r v i c e D l l （ 例 如 ” t a b c t e n g . d l l ” ） 包 含 一 条 指 向 后 门 的 路 径 ， 那 么 ” N e t m a n ” 服 务 将 会 执 行 ” t a b c t e n g . d l l ” 。 所 以 ， 你 可 以 通 过 分 析 I m a g e P a t h 和 S e r v i c e D l l 的 有 效 性 来 判 断 是 否 有 恶 意 服 务 启 动 过 。 如 果 W i n d o w s   E v e n t   L o g （ 事 件 日 志 ） 的 审 计 设 置 开 启 了 A u d i t   P r o c e s s   T r a c k i n g （ 审 计 进 程 追 踪 ） 功 能 ， 那 么 W i n d o w s   S e c u r i t y   E v e n t L o g （ 安 全 事 件 日 志 ） 中 将 会 记 录 大 量 关 于 进 程 的 信 息 ， 而 这 些 信 息 绝 对 能 够 证 明 一 个 文 件 是 否 执 行 过 。 下 面 这 两 张 图 片 显 示 了 恶 意 文 件 、 相 关 进 程 I D 、 父 进 程 I D 和 用 户 名 ， 这 些 信 息 可 以 帮 助 我 们 进 行 进 一 步 分 析 ： X P   E v e n t I D   5 9 2   –   进 程 创 建 ： W i n d o w s   V i s t a + 记 录 下 了 类 似 的 进 程 创 建 事 件 ， E v e n t I D 为 4 6 8 8 ：
在 更 新 版 本 的 W i n d o w s 中 ， 审 计 功 能 所 能 记 录 的 信 息 将 更 加 精 确 化 ， 并 且 微 软 从 W i n d o w s   S e r v e r   2 0 0 8   R 2 以 及 W i n d o w s   7 中 将 这 个 功 能 整 合 到 了 G r o u p   P o l i c y （ 组 策 略 ） 中 。 关 于 审 计 策 略 设 置 的 更 多 信 息 请 参 考 微 软 给 出 的 【 这 份 文 档 】 。 除 此 之 外 ， 基 于 主 机 的 I P S 或 反 病 毒 产 品 日 志 同 样 可 以 表 明 一 个 文 件 是 否 执 行 过 ， 或 者 曾 经 尝 试 执 行 过 。 下 图 给 出 的 是 M c A f e e A c c e s s   P r o t e c t i o n 日 志 中 记 录 下 的 一 次 访 问 事 件 样 本 ： W i n d o w s   S c h e d u l e d   T a s k   L o g （ 计 划 任 务 日 志 ） 可 以 帮 助 我 们 判 断 攻 击 者 是 否 使 用 了 W i n d o w s 的 计 划 任 务 功 能 来 运 行 恶 意 软 件 。 计 划 任 务 的 信 息 会 被 记 录 在 一 个 名 叫 ” S c h e d L g U . t x t ” 的 日 志 文 件 中 ： 在 W i n d o w s   V i s t a + 平 台 中 ， 计 划 任 务 的 执 行 信 息 还 会 记 录 在 ” M i c r o s o f t - W i n d o w s - T a s k S c h e d u l e r / O p e r a t i o n a l ” 日 志 中 ： 最 后 ， 如 果 一 个 程 序 崩 溃 了 ， 那 么 D r . W a t s o n 日 志 可 以 记 录 下 恶 意 任 务 的 运 行 信 息 ： 文 件 功 能 文 件 功 能 另 一 种 判 断 文 件 是 否 运 行 过 的 方 法 就 是 寻 找 可 疑 的 输 出 文 件 。 当 你 在 分 析 一 个 恶 意 文 件 时 ， 它 是 否 会 创 建 任 何 的 数 据 呢 ？ 比 如 说 ， 如 果 你 发 现 的 这 个 恶 意 文 件 是 一 个 键 盘 记 录 器 ， 然 后 你 又 在 系 统 中 发 现 了 键 盘 记 录 文 件 ， 则 说 明 攻 击 者 已 经 执 行 过 这 个 k e y l o g g e r 了 。 如 果 恶 意 软 件 能 够 与 特 定 的 域 名 进 行 链 接 ， 那 么 浏 览 器 的 历 史 记 录 中 肯 定 也 会 记 录 下 相 关 域 名 。 下 表 中 显 示 的 是 我 们 在 浏 览 器 历 史 纪 录 中 捕 捉 到 的 样 本 ， 这 个 后 门 样 本 使 用 了 两 种 通 讯 机 制 ：
想 要 判 断 恶 意 文 件 是 否 执 行 过 ， 我 们 可 以 分 析 文 件 的 功 能 并 在 磁 盘 中 寻 找 相 应 功 能 的 运 行 结 果 / 证 据 。 分 析 恶 意 软 件 的 功 能 不 仅 可 以 帮 助 我 们 了 解 攻 击 者 的 动 机 和 最 终 目 标 ， 而 且 还 有 可 能 帮 我 们 找 出 其 他 相 关 的 恶 意 文 件 。 注 ： 如 果 你 在 自 己 的 系 统 中 发 现 了 恶 意 的 可 执 行 文 件 ， 别 忘 了 先 将 当 前 系 统 内 存 中 的 数 据 导 出 ， 你 可 以 使 用 M a n d i a n t R e d l i n e 服 务 捕 捉 并 分 析 内 存 数 据 。 *   参 考 来 源 ： 参 考 来 源 ： f i r e e y e ， ，   F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理