搜索

[10127] 2016-05-23_使用VOLATILITY发现高级恶意软件

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2016-05-23_使用VOLATILITY发现高级恶意软件 使 用 V O L A T I L I T Y 发 现 高 级 恶 意 软 件 F r e e B u f   2 0 1 6 - 0 5 - 2 3 当 一 个 公 司 被 高 级 恶 意 软 件 感 染 ， 一 个 正 确 的 应 急 响 应 应 该 是 去 识 别 恶 意 软 件 和 修 复 系 统 ， 建 立 更 好 的 安 全 控 制 体 当 一 个 公 司 被 高 级 恶 意 软 件 感 染 ， 一 个 正 确 的 应 急 响 应 应 该 是 去 识 别 恶 意 软 件 和 修 复 系 统 ， 建 立 更 好 的 安 全 控 制 体 系 来 防 止 未 来 此 类 系 来 防 止 未 来 此 类   事 故 的 发 生 。 在 这 篇 文 章 中 会 介 绍 使 用 事 故 的 发 生 。 在 这 篇 文 章 中 会 介 绍 使 用 “ 内 存 取 证 内 存 取 证 ” 技 术 来 检 测 高 级 的 恶 意 软 件 感 染 ， 并 且 学 会 如 技 术 来 检 测 高 级 的 恶 意 软 件 感 染 ， 并 且 学 会 如 何 使 用 内 存 取 证 工 具 比 如 何 使 用 内 存 取 证 工 具 比 如 V o l a t i l i t y 在 真 实 的 环 境 中 检 测 恶 意 软 件 。 在 真 实 的 环 境 中 检 测 恶 意 软 件 。 内 存 技 术 是 指 从 运 行 的 电 脑 中 取 出 内 存 镜 像 来 进 行 分 析 的 技 术 ， 其 在 应 急 响 应 和 调 查 中 扮 演 一 个 很 重 要 的 角 色 。 它 能 够 从 计 算 机 内 存 中 提 取 取 证 线 索 ， 比 如 运 行 的 进 程 ， 网 络 连 接 ， 加 载 的 模 块 等 等   ， 同 时 他 能 够 帮 助 脱 壳 ， R o o t k i t 检 测 和 逆 向 工 程 。 内 存 取 证 步 骤 内 存 取 证 步 骤 下 面 是 内 存 取 证 相 关 的 一 些 步 骤 a ）   获 得 内 存 — — 这 个 步 骤 是 从 目 标 机 器 中 导 出 内 存 。 你 可 以 在 物 理 机 上 使 用 工 具 比 如 W i n 3 2 d d / W i n 6 4 d d ,   M e m o r y z e ,   D u m p I t ,   F a s t D u m p   。 然 而 在 虚 拟 机 上 ， 获 取 内 存 是 很 容 易 的 ， 你 可 以 暂 停 V M 并 取 出 “ . v m e m ” 文 件 。 b ）   内 存 分 析 — — 取 出 内 存 镜 像 之 后 ， 下 一 步 就 是 从 获 取 的 内 存 中 分 析 取 证 线 索 ， 可 以 使 用 V o l a t i l i t y   或 者 M e m o r y z e   V o l a t i l i t y 快 速 上 手 快 速 上 手 V o l a t i l i t y 是 用 p y t h o n 写 的 高 级 内 存 取 证 框 架 。 它 可 以 用 来 对 获 取 的 内 存 进 行 取 证 。 V o l a t i l i t y 可 以 安 装 在 多 个 系 统 上 （ W i n d o w s ,   L i n u x ,   M a c   O S   X ） 演 示 演 示 为 了 理 解 内 存 取 证 和 相 关 步 骤 。 让 我 们 来 看 一 个 案 例 ， 我 们 的 分 析 基 于 下 面 的 例 子 。 案 例 案 例 你 的 安 全 设 备 发 出 报 警 ， 提 示 恶 意 的 h t t p 连 接 到 域 名 “ w e b 3 i n s t . c o m ” ， 对 应 的 i p 是   1 9 2 . 1 6 8 . 1 . 2 ， 通 信 是 从 1 9 2 . 1 6 8 . 1 . 1 0 0 的 源 i p 地 址 检 测 到 的 （ 如 下 面 的 截 图 所 示 ） 。 你 可 以 在 1 9 2 . 1 6 8 . 1 .   1 0 0 机 器 上 找 到 内 存 取 证 信 息 。
内 存 获 取 内 存 获 取 从 1 9 2 . 1 6 8 . 1 . 1 0 0 获 取 内 存 镜 像 ， 使 用 内 存 获 取 工 具 。 为 了 演 示 ， 内 存 导 出 文 件 命 名 为 “ i n f e c t e d . v m e m “ 。 分 析 分 析 现 在 我 们 获 取 了 “ i n f e c t e d . v m e m “ ， 让 我 们 开 始 使 用 V o l a t i l i t y   高 级 内 存 分 析 框 架 。 步 骤 步 骤 1 ： 从 你 知 道 的 开 始 ： 从 你 知 道 的 开 始 我 们 从 安 全 设 备 知 道 主 机 向 w e b 3 i n s t . c o m   ( 1 9 2 . 1 6 8 . 1 . 2 ) 发 起 了 h t t p 连 接 。 所 以 让 我 们 看 一 下 网 络 连 接 。 V o l a t i l i t y ’ s   c o n n 扫 描 模 块 ， 显 示 进 程 （ p i d   8 8 8 ） 连 接 了 恶 意 i p .   步 骤 步 骤 2 ： ： w e b 3 i n s t . c o m 的 信 息 的 信 息 G o o g l e 搜 索 证 明 这 个 域 名 跟 恶 意 软 件 是 相 关 的 ， 可 能 是 “ R u s t o c k   或   T D S S   R o o t k i t ” 。 这 表 明 i p 1 9 2 . 1 6 8 . 1 . 1 0 0 可 能 已 经 被 这 些 恶 意 软 件 感 染 了 ， 我 们 需 要 通 过 特 征 分 析 来 确 认 。 步 骤 步 骤 3 ： ： p i d   8 8 8   是 什 么 ？ 是 什 么 ？
由 于 网 络 连 接 到 i p   1 9 2 . 1 6 8 . 1 . 2   是 p i d   8 8 8 发 起 的 ， 我 们 需 要 确 定 p i d   8 8 8 相 关 的 进 程 是 什 么 ， “ p s s c a n ” 显 示 p i d   8 8 8 属 于 s v c h o s t . e x e 。   步 骤 步 骤 4 ： ： Y A R A 扫 描 扫 描 通 过 Y A R A 对 导 出 的 内 存 进 行 扫 描 ， 发 现 连 接 到 这 个 域 名 的 的 进 程 属 于 s v c h o s t . e x e （ p i d   8 8 8 ） . 这 确 定 s v c h o s t . e x e   向 域 名 “ w e b 3 i n s t . c o m ” 发 起 连 接 。 步 骤 步 骤 5 ： ： s v c h o s t . e x e 中 可 疑 的 互 斥 量 中 可 疑 的 互 斥 量 现 在 我 们 知 道 s v c h o s t . e x e 进 程 （ p i d   8 8 8 ） 向 域 名 “ w e b 3 i n s t . c o m ” 发 起 连 接 。 检 查 发 现   s v c h o s t . e x e 创 建 了 一 个 可 疑 的 互 斥 量 “ T d l S t a r t M u t e x ” 。   步 骤 步 骤 6 ： 互 斥 量 的 信 息 ： 互 斥 量 的 信 息 谷 歌 搜 索 显 示 这 个 可 以 的 互 斥 量 跟 T D S S   r o o t k i t 相 关 ， 这 指 出 互 斥 量 “ T d l S t a r t M u t e x ” 是 可 疑 的 。  
步 骤 步 骤 7 ： ： s v c h o s t . e x e   的 文 件 句 柄 的 文 件 句 柄 S v c h o s t . e x e 的 文 件 句 柄 跟 两 个 可 疑 的 文 件 有 关 （ D L L 和 驱 动 文 件 ） 。 如 下 图 所 示 下 面 的 截 图 显 示 这 两 个 都 是 “ T D S S ” 启 动 的 文 件 。   步 骤 步 骤 8 ： 检 测 隐 藏 的 ： 检 测 隐 藏 的 D L L V o l a t i l i t y 的 d l l 列 表 模 块 无 法 找 到 “ T D S S ” 启 动 的 D L L ， 但 是 l d r 模 块 插 件 能 找 到 。 这 证 明 D L L （   T D S S o i q h . d l l ） 是 隐 藏 的 。 恶 意 软 件 隐 藏 了 D L L 通 过 分 离 3 个 P E B 列 表 （ 操 作 系 统 保 持 了 对 这 个 D L L 列 表 的 追 踪 ） 。   步 骤 步 骤 9 ： 导 出 隐 藏 的 ： 导 出 隐 藏 的 D L L 在 前 面 的 步 骤 隐 藏 的 D L L 已 经 被 检 测 到 了 。 这 个 隐 藏 的 D L L 可 以 通 过 V o l a t i l i t y 的   d l l d u m p 模 块 从 内 存 导 出 到 硬 盘 ， 如 下 所 示 ： 步 骤 步 骤 1 0 ： 将 导 出 的 ： 将 导 出 的 D L L 传 到 传 到 V i r u s T o t a l 把 导 出 的 D L L 上 传 到 V i r u s T o t a l ， 确 认 这 是 个 恶 意 软 件
  步 骤 步 骤 1 1 ： 查 找 其 他 恶 意 软 件 ： 查 找 其 他 恶 意 软 件 D L L 查 看 T D S S 启 动 的 所 有 模 块 显 示 m s i e x e c . e x e 进 程 （ p i d   1 2 3 6   ） 跟 临 时 文 件 有 关 （ T D S S 启 动 的 ） ， 这 些 文 件 是 可 疑 的 。 步 骤 步 骤 1 2 ： ： m s i e x e c 加 载 的 可 疑 加 载 的 可 疑 D L L 用 d l l l i s t 模 块 检 查 m s i e x e c   进 程 ( p i d   1 2 3 6 )   加 载 的 D L L ， 发 现 如 下 m s i e x e c 进 程 加 载 的 可 疑 d l l （ d l l . d l l ） 。   步 骤 步 骤 1 3 ： 导 出 ： 导 出 D L L 上 传 到 上 传 到 V T 导 出 D L L 上 传 到 V i r u s T o t a l   确 认 这 个 D L L 跟 T D S S   r o o t k i t 有 关 。
步 骤 步 骤 1 4 ： 隐 藏 内 核 驱 动 ： 隐 藏 内 核 驱 动 在 步 骤 7 我 看 到 了 相 关 的 驱 动 文 件 （ T D S S 启 动 的 ） 。 V o l a t i l i t y 模 块 找 不 到 那 个 驱 动   V o l a t i l i t y 的 d r i v e r s c a n   插 件 可 以 找 到 。 这 说 明 内 核 驱 动 （ T D S S s e r v . s y s ） 被 隐 藏 了 。 下 面 的 截 图 显 示 驱 动 的 基 地 址 是 “   0 x b 8 3 8 b 0 0 0 ” ， 大 小 是 “ 0 x 1 1 0 0 0 ” 。 步 骤 步 骤 1 5 ： 内 核 回 调 ： 内 核 回 调 检 查 回 调 发 现 回 调 （ 起 始 地 址 0 x b 3 8 ） 时 被 未 知 的 驱 动 设 置 的 步 骤 步 骤 1 6 ： 检 查 未 知 的 驱 动 ： 检 查 未 知 的 驱 动 下 面 的 截 图 显 示 未 知 驱 动 的 地 址 在 T D S S s e r v . s y s 地 址 范 围 内 。 这 说 明 未 知 的 驱 动 是 “ T D S S s e r v . s y s ”
步 骤 步 骤 1 7 ： 内 核 ： 内 核 a p i   钩 子 钩 子 恶 意 软 件 对 内 核 A P I 下 钩 子 ， 并 且 钩 到 T D S S s e r v . s y s 的 地 址 上 （ 如 下 图 所 示 ） 步 骤 步 骤 1 8 ： 导 出 内 核 驱 动 ： 导 出 内 核 驱 动 将 内 核 驱 动 导 出 ， 然 后 上 传 到 V i r u s T o t a l   ， 确 认 这 是 T D S S   r o o t k i t 。 结 论 结 论 内 存 取 证 时 一 项 非 常 强 大 的 调 查 技 术 ， 而 V o l a t i l i t y 能 够 发 现 高 级 的 恶 意 软 件 ， 从 内 存 里 找 到 的 线 索 有 助 于 事 件 响 应 ， 恶 意 软
件 分 析 和 逆 向 工 程 。 也 正 如 你 所 见 ， 通 过 一 点 线 索 ， 我 们 就 能 检 测 到 高 级 的 恶 意 软 件 和 相 关 的 组 件 。   * 参 考 来 源 ： e f o r e n s i c s m a g   ， F B 小 编 老 王 隔 壁 的 白 帽 子 翻 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理