搜索

[15296] 2020-04-25_使用FakeNet-NG改进动态恶意软件分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-04-25_使用FakeNet-NG改进动态恶意软件分析 使 用 F a k e N e t - N G 改 进 动 态 恶 意 软 件 分 析 A v e n g e r   F r e e B u f   2 0 2 0 - 0 4 - 2 5 实 际 上 实 际 上   F a k e N e t - N G   有 许 多 有 用 的 功 能 ， 但 通 常 很 多 人 都 不 知 道 。 本 文 将 会 展 示 一 些 使 用 有 许 多 有 用 的 功 能 ， 但 通 常 很 多 人 都 不 知 道 。 本 文 将 会 展 示 一 些 使 用   F a k e N e t - N G   的 案 例 ， 使 的 案 例 ， 使 得 得   F a k e N e t - N G   成 为 网 络 分 析 的 好 帮 手 。 成 为 网 络 分 析 的 好 帮 手 。 自 从   2 0 1 6   年 发 布 以 来 ， F a k e N e t - N G   进 行 了 数 次 改 进 ， 新 增 包 括 支 持   L i n u x   平 台 与 基 于 内 容 的 协 议 检 测 等 新 功 能 。 最 近 我 们 又 更 新 了   F a k e N e t - N G ， 包 括   H T T P   和 二 进 制 协 议 的 自 定 义 响 应 。 在 开 始 之 前 提 供 关 于 配 置   F a k e N e t - N G   的 概 览 ： 配 置 文 件 位 于   f a k e n e t c o n f i g s   中 。 可 以 修 改   d e f a u l t . i n i   或 将 其 复 制 到 新 文 件 ， 然 后   F a k e N e t - N G   使 用   - c   参 数 加 载 配 置 文 件 。 如   f a k e n e t . p y   - c   c u s t o m . i n i 默 认 文 件 位 于   f a k e n e t d e f a u l t F i l e s ， 而   L i s t e n e r   的 实 现 位 于   f a k e n e t l i s t e n e r s 文 件   f a k e n e t c o n f i g s d e f a u l t . i n i   中 默 认 配 置 包 含 全 局 配 置 与 自 定 义   L i s t e n e r   配 置 自 定 义 响 应 配 置 文 件 包 括 在 目 录   f a k e n e t c o n f i g s   中 的   C u s t o m P r o v i d e r E x a m p l e . p y 、 s a m p l e c u s t o m r e s p o n s e . i n i   和   s a m p l e r a w r e s p o n s e . t x t F L A R E   V M   中 的   F A R E N e t - N G   安 装 在   C : P y t h o n 2 7 l i b s i t e - p a c k a g e s f a k e n e t 。 该 目 录 下 还 有 名 为   d e f a u l t F i l e s 、 c o n f i g s   和   l i s t e n e r s   的 子 目 录 在   F L A R E   V M   中 ， 桌 面 的   f a k e n e t _ l o g s   文 件 夹 可 以 找 到   F a k e N e t - N G   的 数 据 包 捕 获 原 文 件 与   H T T P   请 求 自 定 义 文 件 响 应 自 定 义 文 件 响 应 F a k e N e t - N G   不 仅 限 于 提 供   H T M L   页 面 。 根 据 请 求 文 件 类 型 的 不 同 ， F a k e N e t - N G   可 以 提 供   P E   文 件 、 E L F   文 件 、 J P G   文 件 、 G I F   文 件 等 。 F a k e N e t - N G   默 认 提 供 几 种 常 见 类 型 的 文 件 ， 也 可 以 配 置 自 定 义 文 件 。 在   d e f a u l t F i l e s   目 录 下 有 多 种 类 型 的 标 准 响 应 文 件 。 如 恶 意 软 件 发 送   F T P   G E T   请 求 拉 取   e v i l . e x e ， F a k e N e t - N G   则 会 将   d e f a u l t F i l e s F a k e N e t M i n i . e x e   作 为 响 应 返 回 。 该 文 件 是 有 效 的 可 执 行 文 件 ， 会 显 示 一 个 提 示 框 。 通 过 提 供 响 应 的   P E   文 件 ， 可 以 在 恶 意 软 件 尝 试 下 载 并 执 行 恶 意 软 件 时 进 行 观 察 。 下 图 显 示 了 一 个   F T P   会 话 以 及 下 载 默 认 文 件 的 后 续 执 行 ：
系 统 可 以 处 理 大 多 数 的 请 求 ， 但 是 恶 意 软 件 有 时 会 请 求 特 定 格 式 的 文 件 ， 例 如 嵌 入   P o w e r S h e l l   代 码 的 图 像 、 带 有 哈 希 值 的 可 执 行 文 件 可 用 于 完 整 性 检 查 。 在 这 种 情 况 下 ， 可 以 使 用 符 合 恶 意 软 件 要 求 的 文 件 替 换 默 认 文 件 即 可 。 每 个 相 关 的   L i s t e n e r 配 置 里 都 有 一 个 选 项 可 以 修 改   d e f a u l t F i l e s   的 路 径 。 这 使 得   F a k e N e t - N G   可 以 在 不 修 改 默 认 文 件 的 情 况 下 提 供 不 同 的 文 件 。 自 定 义 的   F a k e N e t . h t m l   文 件 如 下 所 示 ： 自 定 义 二 进 制 协 议 自 定 义 二 进 制 协 议 许 多 恶 意 软 件 都 实 现 了 需 要 满 足 特 定 字 节 序 列 的 自 定 义 二 进 制 协 议 。 例 如   G H O S T   家 族 的 恶 意 软 件 可 能 要 求 每 个 消 息 内 容 都 以 诸 如   G H O S T   之 类 的 特 定 值 开 头 。 默 认 情 况 下 ， F a k e N e t - N G   的   R a w L i s t e r   使 用 接 收 的 数 据 作 为 响 应 回 显 未 知 请 求 。 通 常 来 说 ， 这 样 就 足 够 了 。 但 是 在 需 要 自 定 义 响 应 的 情 况 下 ， 仍 然 可 以 通 过   F a k e N e t - N G   定 制 恶 意 软 件 想 要 的 数 据 内 容 。 F a k e N e t - N G   现 在 可 以 自 定 义   T C P   和   U D P   响 应 。 假 设 一 个 恶 意 软 件 样 本 将 字 符 串   H e l l o   发 送 到   C & C   服 务 器 ， 并 且 等 待 以   F L A R E   开 头 随 后 是 数 字 指 令 （ 0 - 9 ） 的 响 应 包 。 现 在 ， 我 们 可 以 介 绍 如 何 利 用   F a k e N e t - N G   处 理 这 种 情 况 。 静 态 自 定 义 响 应 静 态 自 定 义 响 应 可 以 自 行 配 置 原 生   T C P / U D P   L i s t e n e r   的 响 应 内 容 。 在 本 例 中 ， 我 们 配 置   F a k e N e t - N G   如 何 响 应 任 何 原 生   T C P   请 求 （ 未 检 测 到 协 议 ） 。 如 下 所 示 ， 取 消 注 释   f a k e n e t / c o n f i g s / d e f a u l t . i n i   文 件 中   R a w T C P L i s t e n e r   部 分 的   C u s t o m   配 置 选 项 。 [ R a w T C P L i s t e n e r ] E n a b l e d :           T r u e P o r t :                 1 3 3 7 P r o t o c o l :         T C P L i s t e n e r :         R a w L i s t e n e r U s e S S L :             N o T i m e o u t :           1 0 H i d d e n :             F a l s e #   T o   r e a d   a b o u t   c u s t o m i z i n g   r e s p o n s e s ,   s e e   d o c s / C u s t o m R e s p o n s e . m d C u s t o m :         s a m p l e _ c u s t o m _ r e s p o n s e . i n i
接 着 在   f a k e n e t c o n f i g s s a m p l e c u s t o m r e s p o n s e . i n i   中   T c p R a w F i l e   部 分 配 置 自 定 义 响 应 。 请 确 保 注 释 掉 或 替 换 默 认 的 R a w T C P L i s t e n e r   实 例 。 在   f a k e n e t c o n f i g s f l a r e _ c o m m a n d . t x t   文 件 内 容 中 添 加   F L A R E 0   即 可 根 据 文 件 内 容 生 成   T C P   响 应 。 动 态 自 定 义 响 应 动 态 自 定 义 响 应 如 果 命 令 也 想 要 动 态 进 行 响 应 ， 而 不 是 只 能 响 应   f a k e n e t c o n f i g s f l a r e c o m m a n d . t x t   中 的 特 定 命 令 也 可 以 实 现 。 如 下 所 示 ， 在 f a k e n e t c o n f i g s f l a r e c o m m a n d . t x t   中 配 置   T c p D y n a m i c   部 分 自 定 义 响 应 。 请 确 保 注 释 掉 或 替 换 默 认 的   R a w T C P L i s t e n e r   实 例 。 可 将 文 件   f a k e n e t c o n f i g s C u s t o m P r o v i d e r E x a m p l e . p y   当 作 动 态 响 应 文 件   f l a r e c o m m a n d . p y   的 模 板 。 修 改   H a n d l e T c p ( )   函 数 并 生 成 新 文 件   f a k e n e t c o n f i g s f l a r e c o m m a n d . p y   如 下 所 示 。 现 在 ， 可 以 在 恶 意 软 件 执 行 时 选 择 不 同 的 命 令 ： 自 定 义 自 定 义   H T T P   响 应 响 应 [ E x a m p l e T C P ] I n s t a n c e N a m e :           R a w T C P L i s t e n e r L i s t e n e r T y p e :           T C P T c p R a w F i l e :               f l a r e _ c o m m a n d . t x t [ E x a m p l e T C P ] I n s t a n c e N a m e :           R a w T C P L i s t e n e r T c p D y n a m i c :               f l a r e _ c o m m a n d . p y i m p o r t   s o c k e t d e f   H a n d l e T c p ( s o c k ) :         w h i l e   T r u e :                 t r y :                         d a t a   =   N o n e                         d a t a   =   s o c k . r e c v ( 1 0 2 4 )                 e x c e p t   s o c k e t . t i m e o u t :                         p a s s                 i f   n o t   d a t a :                         b r e a k                 r e s p   =   r a w _ i n p u t ( ' n E n t e r   a   n u m e r i c   c o m m a n d :   ' )                 c o m m a n d   =   b y t e s ( ' F L A R E '   +   r e s p   +   ' n ' )                 s o c k . s e n d a l l ( c o m m a n d )
恶 意 软 件 经 常 在   H T T P   协 议 上 使 用 自 定 义 的 加 密 方 案 。 例 如 ， 恶 意 软 件 可 能 会 向   / c o m m . p h p ? n o n c e =   发 送   H T T P   的   G E T 请 求 ， 希 望   C & C   服 务 器 响 应   R * *   加 密 的 随 机 值 。 过 程 如 下 所 示 ： 与   T C P   自 定 义 响 应 类 似 ， H T T P L i s t e n e r   也 提 供 名 为   C u s t o m   的 配 置 ， 该 设 置 可 以 启 用 动 态   H T T P   响 应 。 此 设 置 还 允 许 F a k e N e t - N G   选 择 与 特 定 主 机 或   U R I   匹 配 的 响 应 。 使 用 此 功 能 ， 可 以 根 据 恶 意 软 件 样 本 快 速 编 写   P y t h o n   脚 本 来 动 态 处 理 H T T P   流 量 。 取 消 注 释   H T T P L i s t e n e r 8 0   部 分 中 的   C u s t o m   选 项 ， 如 下 所 示 ： 如 下 所 示 ， 在     f a k e n e t c o n f i g s s a m p l e c u s t o m r e s p o n s e . i n i   文 件 中 配 置   H t t p D y n a m i c   响 应 。 请 确 保 注 释 掉 或 替 换 默 认 的 H t t p D y n a m i c   实 例 。 可 以 将 文 件   f a k e n e t c o n f i g s C u s t o m P r o v i d e r E x a m p l e . p y   作 为 动 态 响 应 文 件   h t t p _ e x a m p l e . p y   的 模 板 。 如 下 所 示 ， 修 改 H a n d l e R e q u e s t ( )   函 数 ， F a k e N e t - N G   将 使 用 随 机 数 动 态 加 密 响 应 。 [ H T T P L i s t e n e r 8 0 ] E n a b l e d :           T r u e P o r t :                 8 0 P r o t o c o l :         T C P L i s t e n e r :         H T T P L i s t e n e r U s e S S L :             N o W e b r o o t :           d e f a u l t F i l e s / T i m e o u t :           1 0 # P r o c e s s B l a c k L i s t :   d m c l i e n t . e x e ,   O n e D r i v e . e x e ,   s v c h o s t . e x e ,   b a c k g r o u n d T a s k H o s t . e x e ,   G o o g l e U p d a t e . e x e ,   c h r o m e . e x e D u m p H T T P P o s t s :   Y e s D u m p H T T P P o s t s F i l e P r e f i x :   h t t p H i d d e n :             F a l s e #   T o   r e a d   a b o u t   c u s t o m i z i n g   r e s p o n s e s ,   s e e   d o c s / C u s t o m R e s p o n s e . m d C u s t o m :         s a m p l e _ c u s t o m _ r e s p o n s e . i n i [ E x a m p l e 2 ] L i s t e n e r T y p e :           H T T P H t t p U R I s :                   c o m m . p h p H t t p D y n a m i c :             h t t p _ e x a m p l e . p y i m p o r t   s o c k e t f r o m   a r c 4   i m p o r t   A R * * #   T o   r e a d   a b o u t   c u s t o m i z i n g   H T T P   r e s p o n s e s ,   s e e   d o c s / C u s t o m R e s p o n s e . m d d e f   H a n d l e R e q u e s t ( r e q ,   m e t h o d ,   p o s t _ d a t a = N o n e ) :         " " " S a m p l e   d y n a m i c   H T T P   r e s p o n s e   h a n d l e r .         P a r a m e t e r s         - - - - - - - - - -         r e q   :   B a s e H T T P S e r v e r . B a s e H T T P R e q u e s t H a n d l e r                 T h e   B a s e H T T P R e q u e s t H a n d l e r   t h a t   r e c e v i e d   t h e   r e q u e s t         m e t h o d :   s t r                 T h e   H T T P   m e t h o d ,   e i t h e r   ' H E A D ' ,   ' G E T ' ,   ' P O S T '   a s   o f   t h i s   w r i t i n g         p o s t _ d a t a :   s t r                 T h e   H T T P   p o s t   d a t a   r e c e i v e d   b y   c a l l i n g   ` r f i l e . r e a d ( ) `   a g a i n s t   t h e
手 动 自 定 义 响 应 手 动 自 定 义 响 应 使 用   n e t c a t   代 替   F a k e N e t - N G   的   L i s t e n e r   会 更 加 灵 活 。 比 如 ， 使 用   n e t c a t   充 当   C & C   服 务 器 ， 并 在   8 0   端 口 响 应 命 令 。 在 启 动   F a k e N e t - N G   之 前 启 动   n e t c a t ， 将 响 应 端 口 的 流 量 转 移 到   n e t c a t 。 如 下 所 示 ， 这 样 可 以 使 用   n e t c a t   处 理 响 应 ： 更 多 自 定 义 响 应 的 内 容 可 以 阅 读 相 关 文 档 。 进 程 黑 名 单 进 程 黑 名 单 分 析 人 员 可 能 会 在 单 独 的 系 统 中 调 试 恶 意 软 件 ， 这 样 会 使 用 两 个 主 机 / 系 统 。 这 样 设 置 的 情 况 下 ， F a k e N e t - N G   会 拦 截 两 台 主 机 之 间 的 全 部 网 络 流 量 ， 这 样 便 不 能 进 行 远 程 调 试 了 。 可 以 通 过   F a k e N e t - N G   忽 略 调 试 程 序 进 程 的 流 量 ， 将 调 试 程 序 进 程 列 入 黑 名 单 。 使 用   I D A   P r o   进 行 远 程 调 试 时 ， 3 2   位 程 序 名 为   w i n 3 2 _ r e m o t e . e x e （ 或   W i n D b g   的   d b g s r v . e x e ） 。 如 下 所 示 ， 将 进 程 名 添 加 到   P r o c e s s B l a c k L i s t   配 置 中 。 这 样 调 试 进 程 就 能 与   I D A   P r o   正 常 通 信 ， 而 其 他 流 量 由   F a k e N e t - N G   捕 获 。 将 污 染   F a k e N e t - N G   流 量 的 进 程 列 入 进 程 黑 名 单 也 十 分 有 用 。 包 括   W i n d o w s   系 统 更 新 或 其 他 恶 意 软 件 分 析 的 进 程 。 也 可 以 将 端 口 与 主 机 列 入 黑 名 单 中 ， 关 于 黑 名 单 与 白 名 单 可 以 查 看 文 档 。 连 接 事 件 触 发 命 令 连 接 事 件 触 发 命 令 F a k e N e t - N G   可 以 配 置 在   L i s t e n e r   建 立 连 接 时 执 行 命 令 。 例 如 ， 可 用 于 在 连 接 时 将 调 试 器 挂 载 到 正 在 运 行 的 样 本 。 如 下 所                 T h e   H T T P   p o s t   d a t a   r e c e i v e d   b y   c a l l i n g   ` r f i l e . r e a d ( ) `   a g a i n s t   t h e                 B a s e H T T P R e q u e s t H a n d l e r   t h a t   r e c e i v e d   t h e   r e q u e s t .         " " "         r e s p o n s e   =   ' A h o y r n '         n o n c e   =   r e q . p a t h . s p l i t ( ' = ' ) [ 1 ]         a r c 4   =   A R * * ( n o n c e )         r e s p o n s e   =   a r c 4 . e n c r y p t ( r e s p o n s e )         r e q . s e n d _ r e s p o n s e ( 2 0 0 )         r e q . s e n d _ h e a d e r ( ' C o n t e n t - L e n g t h ' ,   l e n ( r e s p o n s e ) )         r e q . e n d _ h e a d e r s ( )         r e q . w f i l e . w r i t e ( r e s p o n s e ) #   S p e c i f y   p r o c e s s e s   t o   i g n o r e   w h e n   d i v e r t i n g   t r a f f i c .   W i n d o w s   e x a m p l e   u s e d   h e r e . P r o c e s s B l a c k L i s t :   w i n 3 2 _ r e m o t e . e x e ,   d b g s r v . e x e
示 ， 示 例 样 本 使 用   H T T P   协 议 通 过   T C P   的   8 0   端 口 与   C & C   服 务 器 通 信 。 在 样 本 建 立 连 接 后 ， 可 以 将 调 试 器 挂 载 到 样 本 上 。 这 样 可 以 加 快 样 本 的 分 析 速 度 ， 绕 过 脱 壳 和 任 何 可 能 存 在 的 反 调 试 措 施 。 使   F a k e N e t - N G   实 现 上 述 功 能 ， 要 修 改   f a k e n e t c o n f i g s d e f a u l t . i n i   中   [ H T T P L i s t e n e 8 0 ]   部 分 的   E x e c u t e C m d   配 置 。 如 下 所 示 ： 如 上 所 示 ， 在   8 0   端 口 上 配 置   H T T P L i s t e n e r   执 行 调 试 器   x 3 2 d b g . e x e ， 该 调 试 器 挂 载 到 正 在 运 行 的 进 程 上 。 在 H T T P L i s t e n e r   建 立 连 接 时 ， F a k e N e t - N G   会 将   { p i d }   替 换 为 建 立 连 接 的 进 程 。 此 处 支 持 使 用 的 变 量 的 完 整 列 表 ， 可 以 查 看 文 档 。 重 新 启 动   F a k e N e t - N G   并 再 次 运 行 样 本 后 ， 可 以 看 到   x 3 2 d b g   启 动 且 挂 载 到 样 本 文 件 上 。 [ H T T P L i s t e n e r 8 0 ] E n a b l e d :           T r u e P o r t :                 8 0 P r o t o c o l :         T C P L i s t e n e r :         H T T P L i s t e n e r U s e S S L :             N o W e b r o o t :           d e f a u l t F i l e s / T i m e o u t :           1 0 D u m p H T T P P o s t s :   Y e s D u m p H T T P P o s t s F i l e P r e f i x :   h t t p H i d d e n :             F a l s e #   E x e c u t e   x 3 2 d b g   – p   t o   a t t a c h   t o   a   d e b u g g e r .   { p i d }   i s   f i l l e d   i n   a u t o m a t i c a l l y   b y   F a k e n e t - N G E x e c u t e C m d :   x 3 2 d b g . e x e   - p   { p i d }
现 在 即 可 使 用   S c y l l a   或   O l l y D u m p E x   将 可 执 行 文 件 转 存 进 行 静 态 分 析 。 解 密 解 密   S S L   流 量 流 量 恶 意 软 件 使 用   S S L   进 行 网 络 通 信 ， 由 于 对 数 据 包 进 行 了 加 密 就 阻 碍 的 流 量 分 析 。 使 用   F a k e N e t - N G   的   P r o x y L i s t e n e r   可 以 解 密 流 量 。 P r o x y L i s t e n e r   检 测   S S L   协 议 ， 使 用   P y t h o n   的   O p e n S S L   库 成 为 中 间 人 。 然 后 在 恶 意 软 件 以 及   H T T P L i s t e n e r   中 间 保 持 全
双 工 状 态 ， 从 而 使 得   P r o s y L i s t e n e r   与   H T T P L i s t e n e r   之 间 是 明 文 的   H T T P   通 信 。 为 了 使   F a k e N e t - N G   不 变 得 过 于 复 杂 ， F a k e N e t - N G   当 前 默 认 情 况 下 没 有 在   4 4 3   端 口 上 拦 截   H T T P S   通 信 并 提 供 明 文 解 密 。 如 果 要 实 现 该 功 能 ， 如 下 所 示 ， 要 将   H T T P L i s t e n e r 4 4 3   H i d d e n   属 性 设 置 为   T r u e 。 有 关 协 议 检 测 与 代 理 可 以 查 看 其 他 博 客 文 章 。 现 在 可 以 查 看   F a k e N e t - N G   捕 获 的 数 据 包 。 如 下 所 示 ， 可 以 看 见   l o c a l h o s   临 时 端 口 与   8 0   端 口 的 明 文   T C P   流 。 结 论 结 论 F a k e N e t - N G   是 用 于 恶 意 软 件 分 析 中 的 得 力 工 具 ， 无 需 安 装 即 可 运 行 。 F a k e N e t - N G   在 不 断 迭 代 中 提 供 了 许 多 功 能 和 配 置 。 本 文 中 提 供 了 一 些 针 对 不 同 分 析 场 景 下 的 用 法 供 分 析 人 员 参 考 ， 更 为 详 尽 的 描 述 请 参 考   F a k e N e t - N G   项 目 的   G i t H u b 。 * 参 考 来 源 ： 参 考 来 源 ： F i r e E y e ， ， F B   小 编 小 编   A v e n g e r   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M [ H T T P L i s t e n e r 4 4 3 ] E n a b l e d :           T r u e P o r t :                 4 4 3 P r o t o c o l :         T C P L i s t e n e r :         H T T P L i s t e n e r U s e S S L :             Y e s W e b r o o t :           d e f a u l t F i l e s / D u m p H T T P P o s t s :   Y e s D u m p H T T P P o s t s F i l e P r e f i x :   h t t p H i d d e n :             T r u e
精 彩 推 荐 精 彩 推 荐 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理