搜索

[13132] 2018-09-01_主机应急响应与电子取证的经验分享

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2018-09-01_主机应急响应与电子取证的经验分享 主 机 应 急 响 应 与 电 子 取 证 的 经 验 分 享 s i 1 e n c e   F r e e B u f   2 0 1 8 - 0 9 - 0 1 0 x 0   背 景 背 景 随 着 主 机 安 全 的 问 题 日 渐 突 显 ， 挖 矿 勒 索 后 门 等 病 毒 隐 蔽 手 法 越 来 越 多 种 多 样 ， 仅 仅 依 靠 传 统 的 安 全 工 具 不 能 随 着 主 机 安 全 的 问 题 日 渐 突 显 ， 挖 矿 勒 索 后 门 等 病 毒 隐 蔽 手 法 越 来 越 多 种 多 样 ， 仅 仅 依 靠 传 统 的 安 全 工 具 不 能 完 全 查 杀 出 相 关 恶 意 程 序 。 安 全 事 件 具 有 突 发 性 ， 复 杂 性 与 专 业 性 ， 基 于 完 全 查 杀 出 相 关 恶 意 程 序 。 安 全 事 件 具 有 突 发 性 ， 复 杂 性 与 专 业 性 ， 基 于 w i n d o w s 的 一 些 运 行 机 制 人 工 排 查 安 的 一 些 运 行 机 制 人 工 排 查 安 全 事 件 需 要 从 多 个 方 面 去 检 查 与 清 除 ， 抛 砖 引 玉 提 出 以 下 思 路 供 参 考 。 全 事 件 需 要 从 多 个 方 面 去 检 查 与 清 除 ， 抛 砖 引 玉 提 出 以 下 思 路 供 参 考 。 0 x 1   检 查 思 路 检 查 思 路 恶 意 程 序 本 身 有 网 络 行 为 ， 内 存 必 然 有 其 二 进 制 代 码 ， 它 要 么 是 进 程 的   D L L   / 如 此 模 块 ， 通 常 为 了 保 活 ， 它 极 可 能 还 有 自 己 的 启 动 项 ， 网 络 心 跳 包 。 总 之 ， 可 以 归 结 为 如 下   4   点 要 素 ： 流 量 ， 内 存 ， 进 程 ， 启 动 项 再 加 上 外 部 信 息 ， 如 威 胁 情 报 ， 就 可 以 形 成 比 较 完 整 的 证 据 链 。 0 X 2   病 毒 查 杀 病 毒 查 杀 定 位 到 可 能 存 在 恶 意 软 件 的 主 机 后 ， 首 先 先 使 用 杀 毒 软 件 或 者   E D R   工 具 进 行 全 盘 扫 描 查 杀 一 些 简 单 常 见 热 门 的 病 毒 一 般 都 被 收 录 在 热 门 的 特 征 库 里 面 ， 扫 描 出 来 就 可 以 以 最 小 的 时 间 成 本 识 别 与 解 决 恶 意 文 件 。 根 据 一 些 杀 毒 软 件 的 报 警 就 可 以 标 识 出 恶 意 软 件 的 类 型 与 名 字 ， 如 下 图 为 此 一 个 兰 塞 姆 （ 勒 索 ） 类 型 的 W a n n a c r y （ 想 哭 ） 家 族 的 病 毒 样 本 ， 对 于 此 类 情 况 往 往 可 以 直 接 一 键 处 理 较 为 简 单 。
0 x 3   流 量 流 量 无 论 是 挖 矿 病 毒 ， 僵 尸 网 络 ， 肉 鸡 ，   C C   服 务 器 ， 内 网 传 播 等 恶 意 行 为 都 需 要 与 其 他 主 机 进 行 通 信 ， 则 本 地 必 须 调 用 相 应 的 网 站 链 接 。 包 括 本 地 地 址 ， 本 地 端 口 ， 远 程 地 址 ， 远 程 端 口 等 操 作 。 如 果 远 程 地 址 为 一 个 恶 意 网 站 ， 便 可 以 轻 易 获 取 到 系 统 的 中 毒 进 程 ， 方 便 快 捷 的 定 位 问 题 。 检 查 系 统 的 连 接 情 况 使 用   n e t s t a t   命 令 或 者 借 助 一 些 成 熟 的 工 具 如 P C h u n t e r   ， T C P V i e w e r   有 利 于 更 加 直 观 的 查 看 进 程 情 况 。 通 过 此 图 可 以 发 现   m s s e c s v c . e x e   对 大 量 随 机 的 外 网 I P   的 4 4 5   端 口 进 行 S Y N   包 的 探 测 ， 这 是 W a n n a c r y   病 毒 的 传 播 过 程 。 对 于 一 些 其 他 的 通 信 过 程 流 量 ， 我 们 往 往 需 要 通 过 其 他 方 式 来 识 别 ， 这 里 推 荐 的 W i r e s h a r k   的 抓 包 工 具 进 行 抓 包 识 别 恶 意 流 量 ， 以 下 为 N m a p 的 的 端 口 扫 描 的 数 据 包 。
0 x 4   进 程 进 程 病 毒 文 件 在 系 统 中 运 行 必 定 依 赖 于 e x e 可 执 行 程 序 ， w i n d o w s 当 中 简 单 的 将 程 序 分 成 三 大 类 ： 1 .   W i n d o w s 核 心 进 程   / /   如 2 . 系 统 进 程 / /   s v c h o s t . e x e ( W i n d o w s 服 务 主 进 程 )   、 l s m . e x e ( 本 地 回 话 管 理 器 ) 3 . 用 户 进 程   / /   q q . e x e ( 腾 讯 Q Q 主 程 序 )   、 c h r o m . e x e ( G o o g l e 浏 览 器 ） 主 要 有 三 种 模 式 在 系 统 中 运 行 ： 1 . 病 毒 自 己 的 e x e 程 序 1 .   注 入 到 系 统 程 序 2 .   其 他 方 式 这 里 可 以 使 用 P C h u n t e r 工 具 对 进 程 进 行 查 看 识 别 ， 如 下 的 这 个 W m i p v r s e . e x e 无 厂 商 签 名 且 名 字 有 点 诡 异 。 常 规 方 式 可 以 通 过 百 度 查 看 一 下 ， 或 者 计 算 一 下 程 序 的 M d 5 数 值 之 后 上 V i r u s t o t a l 进 行 进 一 步 确 认 ， 通 过 一 些 网 友 的 评 论 与 一 些 威 胁 情 况 往 往 可 以 判 断 出 一 些 可 疑 的 文 件 。
使 用 工 具 计 算 一 下 文 件 的 h a s h 数 值 ， 建 议 提 取 M d 5 格 式 如 下 ： D 2 A 4 D 1 2 4 7 7 5 2 F B 1 8 6 8 4 1 F F 4 C 2 9 8 5 3 4 1 B 然 后 上 v i r u s t o t a l 进 行 查 看 网 址 如 下 ： 平 台 能 够 准 备 识 别 ， 并 提 示 类 型 M i s c . R i s k w a r e . B i t C o i n M i n e r ( 比 特 币 挖 矿 机 ) ， 英 语 不 好 可 百 度 之 。
还 有 一 些 其 他 类 似 于 还 有 一 些 其 他 类 似 于 d l l 注 入 、 注 入 、 P E 文 件 注 入 、 无 文 件 攻 击 、 驱 动 注 入 、 文 件 注 入 、 无 文 件 攻 击 、 驱 动 注 入 、 M B R 感 染 等 其 他 方 式 这 里 不 多 做 讨 论 ， 感 染 等 其 他 方 式 这 里 不 多 做 讨 论 ， 特 殊 情 景 需 要 特 殊 处 理 。 特 殊 情 景 需 要 特 殊 处 理 。 0 x 5   自 启 动 项 自 启 动 项 病 毒 为 了 实 现 保 活 ， 不 可 避 免 会 添 加 或 修 改 启 动 项 、 服 务 项 ， 因 此 启 动 项 也 是 非 常 重 要 的 入 手 调 查 点 。 黑 客 为 了 保 持 病 毒 能 够 开 机 启 动 、 登 录 启 动 或 者 定 时 启 动 ， 通 常 会 有 相 应 的 启 动 项 。 这 里 可 以 通 过 借 助 工 具 a u t o r u n s 进 行 查 看 ， 主 要 检 查 点 为 开 机 自 启 动 与 计 划 任 务 以 及 一 些 系 统 服 务 。 比 如 这 个 注 册 表 H K L M S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s E x p l o r e r R u n 处 的 有 一 个 伪 装 成 C h r o m e 的 C : W i n d o w s s e r v i c e c r s s s r . v b s 的 启 动 项 ， 就 是 病 毒 的 自 己 添 加 的 ， 定 位 到 路 径 后 直 接 删 除 。
0 x 6   内 存 内 存 恶 意 程 序 运 行 在 w i n d o w s 系 统 当 中 必 然 会 加 载 到 系 统 内 存 当 中 ， 程 序 可 以 通 过 获 取 到 系 统 进 程 与 用 户 进 程 的 P I D 之 后 ， 需 要 根 据 系 统 的 P i d 导 入 系 统 当 中 的 P E 文 件 进 行 确 认 ， 这 里 使 用 p d 进 行 d u m p 文 件 。 下 载 连 接 如 下 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / p r o c d u m p 这 里 输 入 p d 6 4 . e x e   - p i d   可 疑 进 程 可 疑 进 程 p i d   - o   输 出 路 径 ： 输 出 路 径 ： 后 续 可 以 进 一 步 使 用 I D A （ 交 互 式 反 汇 编 器 专 业 版 人 们 常 称 其 为 I D A   P r o ， 或 简 称 为 I D A ） 或 者 o l l y d b g ( o d 反 汇 编 工 具 ) 对 P E 进 行 分 析 导 出 的 文 件 列 表 如 下 ：
0 x 7   总 结 总 结 1 . 选 择 合 适 的 工 具 可 以 减 少 大 量 的 成 本 ， 君 子 生 非 异 也   善 假 于 物 也 。 2 . 心 上 学 ， 事 上 练 、 知 行 合 一 、 少 度 娘 、 多 谷 歌 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： s i 1 e n c e ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理