搜索

[21129] 2020-07-10_恶意流量分析训练六

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-07-10_恶意流量分析训练六 恶 意 流 量 分 析 训 练 六 L e m o n S e c   2 0 2 0 - 0 7 - 1 0 通 过 该 实 验 了 解 恶 意 流 量 分 析 训 练 的 基 本 技 能 ， 本 次 实 验 主 要 涉 及 包 括 ： s s d p 协 议 、 主 机 指 纹 、 k e r b e r o s 、 C & C 服 务 器 、 在 线 分 析 引 擎 h y b r i d   a n a l y s i s ， 钓 鱼 网 页 等 。 本 次 流 量 分 析 ， 需 要 回 答 以 下 问 题 ： a .   活 动 发 送 的 时 间 ， 日 期 b .   哪 台 主 机 发 生 了 什 么 c .   i n d i c a t i r s ( 指 标 ) ， 包 括 （ i p , 域 名 等 ） 首 先 还 是 过 滤 出 h t t p 请 求 的 流 量 看 看 能 不 能 找 到 什 么 蛛 丝 马 迹 。 直 接 使 用 h t t p . r e q u e s t 过 滤 会 发 现 还 有 大 量 的 s s d p 。 什 么 是 s s d p ？ 简 单 服 务 发 现 协 议 （ S S D P ， S i m p l e   S e r v i c e   D i s c o v e r y   P r o t o c o l ） 是 一 种 应 用 层 协 议 ， 是 构 成 通 用 即 插 即 用 ( U P n P ) 技 术 的 核 心 协 议 之 一 。 简 单 服 务 发 现 协 议 提 供 了 在 局 部 网 络 里 面 发 现 设 备 的 机 制 。 控 制 点 （ 也 就 是 接 受 服 务 的 客 户 端 ） 可 以 通 过 使 用 简 单 服 务 发 现 协 议 ， 根 据 自 己 的 需 要 查 询 在 自 己 所 在 的 局 部 网 络 里 面 提 供 特 定 服 务 的 设 备 。 设 备 （ 也 就 是 提 供 服 务 的 服 务 器 端 ） 也 可 以 通 过 使 用 简 单 服 务 发 现 协 议 ， 向 自 己 所 在 的 局 部 网 络 里 面 的 控 制 点 宣 告 它 的 存 在 。 从 上 面 的 描 述 中 我 们 知 道 ， s s d p 对 我 们 这 次 实 验 没 什 么 作 用 ， 反 而 会 干 扰 我 们 的 分 析 ， 所 以 我 们 加 上 条 件 把 s s d p 过 滤 掉 。 可 以 看 到 前 面 的 流 量 都 是 指 向 w w w . s t m r t b a h r a i n . c o m 的 h t t p   g e t   请 求 ， 选 中 一 条 跟 踪 t c p 流 。 可 以 看 到 u s e r   a g e n t ， 将 其 复 制 到 这 个 专 门 根 据 u s e r - a g e n t 指 纹 判 断 主 机 的 网 址 （ h t t p s : / / d e v e l o p e r s . w h a t i s m y b r o w s e r . c o m / u s e r a g e n t s / e x p l o r e / ） ， 点 击 a n a l y s e 分 析 。 在 结 果 中 可 以 看 到 这 是 w i n 7 的 c h r o m e   6 7 的 指 纹 。 接 下 来 我 们 要 找 到 h o s t n a m e 和 u s e r   a c c o u n t   n a m e 。 我 们 知 道 h o s t n a m e 的 方 法 有 很 多 ， d h c p , n b n s 等 我 们 前 面 都 有 用 过 ， 不 过 这 个 数 据 包 里 面 没 有 d h c p 流 量 ， 而 n b n s 的 流 量 中 没 有 可 以 涉 及 可 以 获 取 到 h o s t n a m e 的 类 型 。 所 以 我 们 尝 试 使 用 s m b 流 量
可 以 看 到 ， h o s t n a m e , i p , m a c 地 址 全 部 都 拿 到 了 。 至 于 u s e r   a c c o u n t   n a m e 还 是 使 用 k e r b e r o s 。 如 上 图 依 次 展 开 对 应 的 标 签 选 中 C N a m e S t r i n g ， 右 键 将 其 应 用 为 列   此 时 窗 口 中 就 多 了 C N a m e S t r i n g 一 列 有 没 有 注 意 到 不 同 的 比 方 ， 有 些 末 尾 带 有 $ ， 有 些 没 有 。 末 尾 带 有 $ 的 是 h o s t n a m e ， 末 尾 不 带 有 $ 的 是 w i n d o w s   a c c o u n t   n a m e ， 也 就 是 u s e r   a c c o u n t   n a m e 。 从 上 图 中 可 以 看 出 1 7 2 . 1 6 8 . 2 . 1 6 9 的 h o s t n a m e 为 c o n s e r v a t o r - p c , 1 7 2 . 1 6 8 . 2 . 1 6 9 的 w i n d o w s   a c c o u n t   n a m e 为 l l o o y d . m a x w e l l 。 从 下 图 可 以 看 到 数 据 包 是 从 2 0 1 8 - 6 - 3 0 的 2 0 ： 2 7 开 始 记 录 的
结 合 告 警 日 志 看 看 。 第 一 条 告 警 日 志 的 目 的 端 口 是 4 9 1 9 9 我 们 以 此 为 条 件 进 行 过 滤 所 以 可 以 知 道 可 疑 的 活 动 是 从 2 0 ： 2 7 开 始 的 。 接 下 来 我 们 着 重 关 注 报 警 日 志 中 的 C N C , C U R R E N T S _ E V E N T S , T R O J A N 。 C N C 指 的 之 C N C 服 务 器 ， 一 般 恶 意 软 件 都 会 与 远 程 攻 击 者 进 行 通 信 ， 包 括 命 令 和 控 制 ， 即 c o m m a n d   a n d   c o n t r o l ； C U R R E N T _ E V E N T S 指 一 些 值 得 注 意 的 正 在 发 生 的 事 情 ； T R O J A N 指 木 马 病 毒 等 。 先 看 T R O J A N 和 c u r r e n t _ e v e n t s 的
根 据 对 应 的 端 口 特 征 使 用 w i r e s h a r k 将 其 流 量 过 滤 出 来 。 再 看 C N C 的 。 同 样 过 滤 出 来 。 我 们 注 意 到 告 警 日 志 中 还 有 目 的 地 址 为 9 3 . 9 5 . 1 0 0 . 1 3 8 的 8 0 端 口 的 流 量 将 其 过 滤 出 来 。 注 意 到 结 果 中 的 h o s t 比 较 奇 怪 ， 可 以 去 查 一 下 它 的 顶 级 域 名 k i m b r e l e l e c t r i c . c o m
点 击 第 一 条 看 看 h y b r i d   a n a l y s i s （ 这 个 网 站 也 是 一 个 在 线 分 析 恶 意 软 件 的 引 擎 ） 分 析
可 以 看 到 这 个 顶 级 域 与 一 个 恶 意 的 f l a s h p l a y e r 的 j s 文 件 有 关 。   J S . S o c G l h l i s h 表 示 着 基 于 J S 的 社 会 工 程 学 攻 击 , 名 称 为 “ G h o l i s h “ 。 还 有 其 他 线 索 吗 ？ 注 意 到 流 量 中 指 向 l w 2 e . s i n e a d h o l l y w o o r d n u t t . c o m 的 h t t p   g e t 请 求 ， u r l 中 含 有 “ c h r o m e f i l e s ” 。 我 们 选 中 第 一 条 追 踪 h t t p 流 。
在 其 代 码 中 我 们 看 到 t i t l e 显 示 为 c h r o m e 更 新 但 是 我 们 知 道 c h r o m e 更 新 都 是 从 谷 歌 注 册 的 域 名 处 更 新 的 ， 而 这 里 不 是 ， 所 以 我 们 有 理 由 怀 疑 这 是 钓 鱼 页 面 ， 我 们 可 以 将 其 导 出   f i l e - > e x p o r t   o b j e c t s - > h t t p
选 中 后 点 击 s a v e ， 然 后 使 用 火 狐 打 开 。 可 以 看 到 确 实 是 一 个 模 仿 c h r o m e 更 新 的 页 面 我 们 可 以 推 测 ： 当 受 害 者 点 击 u p d a t e   c h r o m e 的 按 钮 之 后 就 会 下 载 恶 意 文 件 ， 如 果 发 生 下 载 行 为 ， 那 么 源 码 中 一 定 有 之 处 源 u r l 我 们 找 到 了 关 键 代 码 。 但 是 这 是 混 淆 的 ， 还 是 无 法 判 断 那 么 换 一 种 思 路 ， 我 们 查 找 在 第 一 条 l w 2 e . s i n e a d h o l l u w o o d n u t t . c o m 之 后 的 流 量 ， 如 果 有 可 疑 的 ， 那 么 就 跟 着 分 析 ； 这 里 要 注 意 ， 可 能 是 走 h t t p 也 可 能 是 h t t p s ， 而 且 可 能 会 涉 及 到 d n s 协 议 用 于 解 析 域 名 所 以 过 滤 的 命 令 如 下 所 示 。 注 意 到 有 f a c e b o o k , g o o g l e ， 这 些 都 是 正 常 的 ， 不 过 随 后 我 们 发 现 了 d r o p b o x 的 。
在 很 多 攻 击 行 为 中 ， 攻 击 者 会 选 择 d r o p b o x 来 分 发 恶 意 软 件 ， 而 且 在 这 个 数 据 包 里 ， 访 问 l w 2 e . s i n e a d h o l l u w o o d n u t t . c o m 之 后 马 上 就 是 访 问 d r o p b o x ， 联 想 到 钓 鱼 页 面 ， 这 样 我 们 不 难 推 测 出 这 个 场 景 下 d r o p b o x 就 是 用 于 分 发 恶 意 软 件 的 。 但 是 如 下 所 示 ， 由 于 走 的 是 h t t p s ， 所 以 我 们 无 法 确 定 究 竟 哪 一 条 数 据 下 载 了 恶 意 文 件 。 在 告 警 日 志 中 我 们 注 意 到 ， 通 过 d r o p b o x 下 载 恶 意 文 件 后 ， 很 快 就 告 警 c n c 了 。 搜 索 关 键 字 f e o d o   t r a c e r 。
看 看 分 析 出 的 特 征 注 意 到 端 口 为 4 1 4 3 在 w i r e s h a r k 中 我 们 过 滤 出 1 0 7 . 1 7 0 . 2 3 1 . 1 1 8 。 可 以 看 到 大 量 连 向 1 0 7 . 1 7 0 . 2 3 1 . 1 1 8 的 t c p   4 1 4 3 端 口 的 流 量 ， 与 之 前 的 搜 索 结 果 吻 合 所 以 我 们 可 以 退 出 1 0 7 . 1 7 0 . 2 3 1 . 1 1 8 : 4 1 4 3 就 是 C & C 的 通 道 但 是 我 们 还 注 意 到 一 个 细 节 ， 过 滤 出 的 流 量 中 没 有 一 次 是 完 整 的 t c p 三 次 握 手 ， 这 可 能 是 因 为 对 应 的 主 机 已 经 下 线 了 。 其 实 在 专 门 分 析 f e o d o t r a c e r 的 网 址 有 已 经 记 录 下 我 们 分 析 出 的 这 个 恶 意 目 标 i p 了 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理