搜索

[18824] 2021-07-03_应急响应之工具使用

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2021-07-03_应急响应之工具使用 应 急 响 应 之 工 具 使 用 原 创   花 十 一 一   h u a s e c   2 0 2 1 - 0 7 - 0 3 收 录 于 话 题   # 应 急 响 应   , 2 6 个 0 1 — p r o c m o n 当 启 动 p r o c m o n 的 时 候 就 会 立 即 开 始 捕 获 事 件 ， 界 面 展 示 的 相 关 信 息 如 下 ： 由 于 p r o c m o n 捕 获 的 事 件 数 据 量 很 大 ， 直 接 分 析 比 较 困 难 ， 因 此 需 要 使 用 过 滤 语 法 筛 选 出 有 用 的 信 息 ， 在 对 恶 意 软 件 进 行 分 析 时 ， 一 般 关 注 恶 意 软 件 正 在 创 建 、 删 除 和 修 改 哪 些 文 件 、 注 册 表 项 ， 存 在 哪 些 网 络 连 接 以 及 正 在 加 载 哪 些   D L L 等 等 。 基 于 上 述 经 验 ， 在 应 急 响 应 时 ， 可 以 使 用 p r o c m o n 监 控 触 发 以 上 事 件 的 进 程 。 T i m e   o f   D a y :   事 件 发 生 时 间 P r o c e s s   N a m e :   进 程 名 称 P I D :   进 程 i d O p e r a t i o n :   进 程 的 操 作 P a t h :   进 程 操 作 的 路 径 ， 可 以 是 注 册 表 、 文 件 、 网 络 通 信 等 等 R e s u l t :   操 作 结 果 D e t a i l :   关 于 操 作 的 具 体 描 述 C r e a t e F i l e :   创 建 文 件 W r i t e F i l e :   将 数 据 写 入 文 件 S e t R e n a m e I n f o r m a t i o n F i l e :   对 文 件 重 命 名 S e t D i s p o s i t i o n I n f o r m a t i o n F i l e :   删 除 文 件 R e g C r e a t e K e y :   创 建 注 册 表 R e g S e t V a l u e :   设 置 注 册 表 键 值 R e g D e l e t e K e y :       删 除 注 册 表 键 R e g D e l e t e V a l u e :   删 除 注 册 表 值 T C P   C o n n e c t ,   T C P   R e c e i v e ,   U D P   S e n d ,   U D P   R e c e i v e :   T C P / U D P 连 接 L o a d   I m a g e :   加 载 d l l 或 者 可 执 行 文 件 P r o c e s s   C r e a t e :   创 建 进 程 C r e a t e P i p e :   创 建 管 道
选 择 菜 单 栏   - >   F i l t e r   - >   f i l t e r 或 按 “ C t r l + L ” 使 用 过 滤 功 能 。 例 如 ， 监 控 进 程 创 建 文 件 ， 进 行 如 下 配 置 0 2 — A u t o r u n s             A u t o r u n s 主 要 是 展 示 操 作 系 统 中 自 启 项 目 的 位 置 ， 利 用 a u t o r u n s 识 别 恶 意 软 件 主 要 有 以 下 几 点 思 路 。 C r e a t e P i p e :   创 建 管 道
数 字 签 名 验 证 数 字 签 名 验 证 通 过 配 置 O p t i o n s   -   S c a n   O p t i o n s   来 验 证 可 执 行 文 件 是 否 使 用 有 效 的 数 字 签 名 。 如 下 图 ， 粉 色 粉 色 ： 表 示 该 项 对 应 的 文 件 没 有 数 字 签 名 或 者 签 名 不 匹 配 。 与 与 V T 联 动 联 动 A u t o r u n s 默 认 集 成 了 V T 。 它 可 以 发 送 哈 希 值 或 者 可 执 行 文 件 联 动 V T 进 行 扫 描 ， 识 别 主 机 上 恶 意 文 件 。 如 下 所 示 ， 其 中 一 个 文 件 V T 有 4 9 个 引 擎 报 毒 ， 大 概 率 就 是 恶 意 软 件 。 隐 藏 微 软 官 方 程 序 隐 藏 微 软 官 方 程 序 选 择 隐 藏 微 软 官 方 程 序 ， 可 以 从 清 除 大 量 的 无 用 启 动 项 以 便 于 我 们 筛 选 出 真 正 的 恶 意 程 序 。 不 建 议 使 用 隐 藏 V T 无 毒 程 序 ， 因 为 免 杀 的 恶 意 软 件 在 V T 可 能 不 会 检 出 ， 而 事 实 上 该 文 件 是 恶 意 的 。 特 定 用 户 的 启 动 项 特 定 用 户 的 启 动 项 默 认 情 况 下 A u t o r u n s 仅 搜 索 运 行 该 工 具 的 用 户 的 启 动 项 。 因 此 需 要 切 换 用 户 检 查 其 他 用 户 的 启 动 项 。
0 3 — r e g _ h u n t e r             r e g _ h u n t e r 是 一 款 注 册 表 搜 索 、 取 证 工 具 。 工 具 内 置 了 一 些 恶 意 软 件 的 检 测 规 则 ， 例 如 ， 检 测 注 册 表 键 值 对 中 存 在 调 用 c m d 、 p o w e r s h e l l 。 使 用 方 法 例 如 ： 注 册 表 内 容 ： - a :   检 测 所 有 注 册 表 项 - x :   检 测 常 用 的 注 册 表 项 - k :   检 测 指 定 的 注 册 表 项 目 注 册 表 h u n t i n g : - b :   搜 索 R E G _ B I N A R Y 值 中 可 能 存 在 的 M Z 头 文 件 - c :   搜 索 键 值 对 中 包 含 c m d . e x e 、 p o w e r s h e l l . e x e - e :   搜 索 存 在 加 密 键 值 对 - f :   搜 索 引 用 文 件 的 键 值 对 - i :   搜 索 包 含 I P 的 键 值 对 - y :   搜 索 可 疑 字 符 - z :   调 用 所 有 h u n t i n g 规 则 注 册 表 时 间 检 索 - - s t a r t :     开 始 时 间   - - e n d ； 结 束 时 间
当 然 还 有 其 他 搜 索 姿 势 ， 利 用 不 同 的 搜 索 语 法 可 以 帮 助 我 们 分 析 注 册 表 是 否 存 在 恶 意 键 值 对 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / t h e f l a k e s / r e g _ h u n t e r # 搜 索 包 含 I P 的 键 值 对 ， 结 果 中 有 条 目 不 是 真 正 的 I P 地 址 。 r e g _ h u n t e r _ x 6 4 . e x e   - a   - i # 搜 索 包 含 c m d . e x e 键 值 对 r e g _ h u n t e r _ x 6 4 . e x e   - a   - c   c m d . e x e # 基 于 时 间 搜 索 , 搜 索 2 0 2 1 年 7 月 3 至 7 月 4 日 创 建 的 包 含 I P 的 键 值 对 r e g _ h u n t e r _ x 6 4 . e x e   - a   - i   - - s t a r t   2 0 2 1 - 0 7 - 0 3 T 0 0 : 0 0 : 0 0   - - e n d   2 0 2 1 - 0 7 - 0 4 T 0 0 : 0 0 : 0 0
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理