搜索

[15331] 2020-05-04_病毒事件取证之如何确认中了病毒

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-05-04_病毒事件取证之如何确认中了病毒 病 毒 事 件 取 证 之 如 何 确 认 中 了 病 毒 b b b b b b i g   F r e e B u f   2 0 2 0 - 0 5 - 0 4 第 一 章 、 背 景 介 绍 第 一 章 、 背 景 介 绍 目 前 安 全 行 业 发 展 红 火 ， 感 知 平 台 的 推 出 ， 让 内 网 安 全 一 目 了 然 ， 网 络 管 理 人 员 可 使 用 感 知 平 台 实 时 了 解 失 陷 目 前 安 全 行 业 发 展 红 火 ， 感 知 平 台 的 推 出 ， 让 内 网 安 全 一 目 了 然 ， 网 络 管 理 人 员 可 使 用 感 知 平 台 实 时 了 解 失 陷 终 端 、 失 陷 业 务 、 网 络 攻 击 、 业 务 外 联 情 况 、 业 务 连 接 情 况 等 信 息 ， 对 网 络 的 安 全 情 况 更 加 了 解 ， 对 网 络 问 题 终 端 、 失 陷 业 务 、 网 络 攻 击 、 业 务 外 联 情 况 、 业 务 连 接 情 况 等 信 息 ， 对 网 络 的 安 全 情 况 更 加 了 解 ， 对 网 络 问 题 的 处 理 更 具 有 主 动 性 。 的 处 理 更 具 有 主 动 性 。 但 掌 握 网 络 的 情 况 后 ， 有 的 网 络 管 理 人 员 却 会 对 失 陷 主 机 情 况 进 行 质 疑 — — 认 为 终 端 没 有 问 题 ， 有 使 用 过 杀 软 进 行 查 杀 ， 并 没 有 发 现 问 题 。 当 遇 到 这 样 的 问 题 时 ， 一 方 面 要 找 出 让 网 络 管 理 人 员 信 服 的 证 据 ； 另 一 方 面 要 组 织 自 己 的 话 术 ， 以 最 严 谨 的 话 术 同 管 理 人 员 沟 通 ， 这 样 才 能 更 好 的 解 决 问 题 。 否 则 等 待 的 则 是 被 投 诉 … … 第 二 章 、 取 证 分 析 之 如 何 证 明 中 了 病 毒 第 二 章 、 取 证 分 析 之 如 何 证 明 中 了 病 毒 说 到 取 证 分 析 ， 通 常 给 人 的 感 觉 是 很 简 单 ， 只 要 找 到 病 毒 程 序 ， 病 毒 文 件 、 和 服 务 等 即 可 ； 大 多 数 情 况 下 这 种 思 路 是 可 行 的 ， 假 如 遇 到 特 例 会 怎 么 办 呢 ？ 这 我 将 取 证 分 析 分 为 两 个 方 向 ： 完 整 结 构 的 病 毒 取 证 和 非 完 整 结 构 的 病 毒 取 证 ， 此 次 主 要 分 享 非 完 整 结 构 的 病 毒 取 证 。 注 释 ： 这 里 的 取 证 分 析 只 针 对 病 毒 类 似 和 病 毒 的 特 征 ， 也 只 不 会 探 寻 病 毒 带 来 的 危 害 ； 取 证 之 大 ， 非 我 所 能 贯 通 ， 仅 说 我 之 能 。 另 外 也 不 会 探 讨 设 备 是 如 何 遭 受 病 毒 入 侵 。 首 先 我 解 释 一 下 什 么 是 完 整 结 构 的 病 毒 取 证 和 非 完 整 结 构 的 病 毒 取 证 ： 完 整 结 构 的 病 毒 取 证 ： 指 该 病 毒 是 完 整 的 ， 结 构 和 功 能 是 完 整 的 ， 未 遭 受 人 工 和 杀 软 的 清 理 ； 非 完 整 结 构 的 病 毒 取 证 ： 指 遭 受 人 工 清 理 或 杀 软 查 杀 ， 但 由 于 未 清 理 干 净 ， 导 致 具 有 病 毒 的 部 分 特 征 ， 杀 软 无 法 发 现 。 2 . 1 完 整 结 构 的 病 毒 取 证 完 整 结 构 的 病 毒 取 证 完 整 结 构 的 病 毒 取 证 这 里 我 列 举 的 病 毒 为 W a n n a M i n e 挖 矿 病 毒 ， 该 病 毒 的 特 征 表 现 强 ， 很 容 易 识 别 。 特 征 如 下 ： 特 征 1 ： 出 现 以 下 文 件 及 目 录 特 征 2 ： 出 现 两 个 s p o o l s v . e x e 进 程 特 征 3 ： 出 现 大 量 4 4 5 端 口 连 接 请 求
特 征 4 ： 遭 受 攻 击 的 设 备 在 重 复 蓝 屏 重 启 过 程 这 是 完 整 结 构 的 病 毒 取 证 ， 通 过 以 上 信 息 ， 我 们 可 以 确 认 该 病 毒 是 w a n n a m i n e 2 . 0 挖 矿 病 毒 ， 当 然 除 了 这 些 特 征 以 外 ， 还 有 其 他 的 特 征 可 以 说 明 他 是 w a n n a m i n e 2 . 0 病 毒 ， 如 通 过 排 查 服 务 信 息 、 注 册 表 等 。 因 此 完 整 结 构 的 病 毒 取 证 很 容 易 ， 通 过 病 毒 特 征 、 文 件 、 进 程 、 服 务 等 可 以 判 断 该 病 毒 信 息 ， 确 认 病 毒 后 处 理 也 较 为 容 易 ， 可 手 工 、 可 杀 软 ， 看 个 人 爱 好 。 2 . 2 非 完 整 结 构 的 病 毒 取 证 非 完 整 结 构 的 病 毒 取 证 非 完 整 结 构 的 病 毒 取 证 较 为 困 难 ， 困 难 点 在 于 无 法 通 过 病 毒 特 征 ， 文 件 进 程 、 服 务 等 进 行 判 定 ， 因 为 病 毒 结 构 已 不 完 整 。 因 此 我 根 工 作 中 遇 到 的 进 行 列 举 ， 这 里 我 将 非 完 整 结 构 的 病 毒 取 证 分 为 两 类 ： 创 造 文 件 反 举 取 证 和 注 册 表 信 息 结 合 病 毒 特 征 取 证 。 这 两 种 情 况 均 结 合 感 知 平 台 进 行 。 类 型 一 ： 创 造 文 件 反 举 取 证 （ 类 型 一 ： 创 造 文 件 反 举 取 证 （ R a m n i t 病 毒 病 毒   ） ） 这 种 病 毒 取 证 的 难 点 在 于 系 统 上 有 安 装 杀 毒 软 件 ， 并 且 杀 毒 软 件 会 将 病 毒 文 件 和 进 程 杀 掉 ， 病 毒 文 件 也 会 被 清 理 ， 但
是 被 感 染 的 文 件 却 无 法 清 理 ， 因 此 在 感 知 平 台 上 会 存 在 访 问 恶 意 域 名 信 息 ， 但 是 通 过 常 规 杀 软 却 无 法 清 理 掉 。 这 里 我 介 绍 一 下 背 景 及 病 毒 取 证 的 过 程 。 首 先 介 绍 背 景 ， 在 感 知 平 台 中 发 现 了 某 终 端 感 染 了 r a m n i t 病 毒 的 失 陷 终 端 ， 并 产 生 了 访 问 的 恶 意 域 名 的 行 为 ， 但 在 终 端 上 却 未 发 现 病 毒 文 件 ， 使 用 杀 毒 软 件 查 杀 却 没 发 现 问 题 。 取 证 过 程 ， 对 系 统 进 程 多 次 分 析 后 未 发 现 异 常 进 程 和 服 务 项 ， 也 使 用 过 系 统 上 安 装 的 杀 软 进 行 病 毒 查 杀 ， 但 均 未 发 现 问 题 ， 但 感 知 平 台 却 有 记 录 ， 心 理 很 急 ， 可 是 却 又 无 从 下 手 。 找 不 到 异 常 进 程 和 服 务 项 ， 也 没 有 病 毒 文 件 。 每 当 这 种 时 候 就 很 难 受 ， 没 有 思 路 ， 但 也 不 能 放 弃 ， 只 能 做 的 是 再 次 深 入 研 究 R a m n i t 病 毒 ， 查 找 和 该 病 毒 有 关 的 资 料 ， 包 含 ： 病 毒 分 析 资 料 、 病 毒 传 播 资 料 等 ， 然 后 对 这 些 信 息 进 行 整 合 ， 这 个 过 程 是 极 其 消 耗 时 间 的 ， 但 也 是 唯 一 能 做 的 。 在 对 该 病 毒 的 深 入 研 究 中 ， 发 现 被 该 病 毒 感 染 的 E X E 程 序 都 会 自 动 创 建 1 个 5 5 k b 的 " 程 序 名   +   S r v " . e x e 的 程 序 ， 当 找 到 这 个 信 息 后 便 对 该 信 息 进 行 验 证 ， 发 现 系 统 洪 确 实 存 在 该 文 件 。 如 下 ： 当 分 析 到 这 里 的 时 候 ， 可 以 得 出 该 系 统 感 染 过 这 种 病 毒 ， 但 为 什 么 找 不 到 病 毒 文 件 、 进 程 和 服 务 呢 ？ 想 到 这 里 ， 唯 一 的 可 能 就 是 有 人 使 用 杀 软 查 杀 过 该 病 毒 ， 但 杀 软 未 查 杀 干 净 ， 导 致 感 染 的 文 件 会 继 续 访 问 恶 意 连 接 ， 因 此 感 知 平 台 会 记 录 该 信 息 。 想 到 这 里 我 便 对 杀 软 查 杀 日 志 进 行 浏 览 ， 发 现 存 在 查 杀 过 程 ， 同 时 也 验 证 了 自 己 的 猜 想 ， 如 下 ： 到 这 里 整 个 取 证 过 程 基 本 完 成 ， 一 方 面 验 证 了 感 知 平 台 中 的 数 据 ， 另 一 方 面 也 让 客 户 信 服 ， 那 么 剩 下 的 事 便 是 使 用 r a m n i t 的 专 杀 对 感 染 文 件 进 行 查 杀 ， 取 证 结 束 。 类 型 二 ： 注 册 表 信 息 结 合 病 毒 特 征 取 证 （ 异 鬼 木 马 ） 类 型 二 ： 注 册 表 信 息 结 合 病 毒 特 征 取 证 （ 异 鬼 木 马 ） 注 册 表 信 息 结 合 病 毒 特 征 取 证 和 创 建 文 件 反 举 取 证 有 类 似 处 ， 这 里 我 列 举 的 病 毒 为 “ 异 鬼 木 马 ” 。 背 景 原 因 ： 该 病 毒 被 客 户 使 用 杀 软 进 行 查 杀 ， 但 由 于 该 病 毒 较 为 难 缠 ， 杀 软 未 将 病 毒 查 杀 干 净 ， 导 致 被 感 知 平 台 监 测 ， 标 记 为 失 陷 终 端 ， 使 用 杀 毒 软 件 查 杀 ， 却 发 现 不 了 问 题 。 因 此 客 户 就 很 迷 惑 是 我 的 系 统 真 的 有 问 题 ， 还 是 感 知 平 台 误 报 ？ 为 了 解 决 客 户 的 疑 问 ， 同 时 证 明 不 是 感 知 平 台 误 报 ， 而 是 系 统 真 实 存 在 问 题 ， 于 是 便 有 一 下 分 析 。 首 先 结 合 感 知 平 台 ， 了 解 系 统 是 中 了 什 么 病 毒 ， 其 次 对 病 毒 进 行 学 习 ， 了 解 病 毒 行 为 ， 最 后 验 证 。 由 于 杀 软 无 法 找 到
对 应 问 题 ， 因 此 研 究 异 鬼 木 马 病 毒 行 为 ， 通 过 对 病 毒 行 为 进 行 研 究 发 现 ： “ 异 鬼 ” 木 马 先 于 系 统 启 动 ， 获 得 执 行 权 限 后 ， 向 系 统 进 程 s e r v i c e s . e x e 、 e x p l o r e r . e x e 注 入 恶 意 代 码 ， 被 注 入 的 恶 意 代 码 会 从 云 端 下 载 流 氓 软 件 安 装 到 用 户 电 脑 上 。 由 于 该 电 脑 被 处 理 过 一 次 ， 系 统 中 异 鬼 病 毒 文 件 已 被 处 理 一 部 分 ， 因 此 此 次 仅 针 对 系 统 中 还 存 在 的 异 常 文 件 进 行 分 析 记 录 。 创 建 H K E Y L O C A L M A C H I N E S o f t w a r e C l a s s e s C L S I D { F C 7 0 E F D D - 2 7 4 1 - 4 9 5 C - 9 A 9 3 - 4 2 4 0 8 F 6 8 7 8 D 9 } u n （ 母 体 创 建 ） 注 册 表 键 值 ； 创 建 H K E Y L O C A L M A C H I N E S o f t w a r e C l a s s e s C L S I D { F C 7 0 E F D D - 2 7 4 1 - 4 9 5 C - 9 A 9 3 - 4 2 4 0 8 F 6 8 7 8 D 9 } e x 键 值 （ 感 染 后 会 设 置 ， 防 止 重 复 感 染 ） ； 下 载 . w a v 文 件 ， 将 其 解 压 ， 然 后 运 行 ， 从 数 据 中 解 压 出 一 个 应 用 层 d l l ， 将 其 保 存 到 C : W i n d o w s s y s t e m 3 2 u s b s a p i . d l l ：
u s b a p i . d l l 注 入 到 s p o o l s v . e x e ， 注 入 的 方 式 是 在 目 标 进 程 的 导 入 表 中 添 加 u s b a p i . d l l 为 新 的 导 入 项 且 s p o o l s v . e x e 存 在 U D P 高 端 口 被 使 用 ： 连 接 C & C ， 往 i q p . s j i m e . c o m 的 U D P   8 0 0 0 端 口 发 送 包 含 当 前 进 程 信 息 的 数 据 ， 接 收 并 解 密 服 务 器 返 回 的 数 据 ， 从 数 据 中 解 密 提 取 要 下 载 的 u r l 地 址 ， 从 相 关 u r l 地 址 下 载 w a v 文 件 到 指 定 目 录 。 下 载 成 功 的 w a v 文 件 会 保 存 到 以 下 目 录 ： 到 此 整 个 病 毒 取 证 过 程 便 结 束 。 第 三 章 、 总 结 第 三 章 、 总 结 当 在 对 病 毒 的 取 证 过 程 中 没 有 思 路 时 ， 可 以 重 头 开 始 ， 先 研 究 病 毒 特 征 ， 再 进 行 取 证 。 取 证 是 一 个 极 其 枯 燥 的 一 个 过 程 ， 需 要 耐 心 和 精 力 ， 如 逆 水 行 舟 。 * 本 文 作 者 ： 本 文 作 者 ： b b b b b b i g ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理