搜索

[16224] 2020-12-19_Docker化自动采集&模拟恶意软件环境

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2020-12-19_Docker化自动采集&模拟恶意软件环境 D o c k e r 化 自 动 采 集 & 模 拟 恶 意 软 件 环 境 深 信 服 安 全 团 队   F r e e B u f   2 0 2 0 - 1 2 - 1 9 概 述 概 述 一 个 真 实 的 L i n u x 恶 意 软 件 入 侵 环 境 ， 往 往 包 含 有 病 毒 文 件 、 病 毒 进 程 、 恶 意 启 动 项 、 网 络 通 信 流 量 等 病 毒 项 ， 若 我 们 只 获 得 单 一 的 病 毒 文 件 ， 很 难 还 原 出 恶 意 软 件 的 整 个 攻 击 环 境 ， 从 而 不 便 于 对 攻 击 链 进 行 全 面 的 研 究 分 析 ， 以 及 产 品 安 全 能 力 测 试 。 下 面 ， 介 绍 一 种 基 于 D o c k e r 的 方 法 ， 可 以 自 动 化 地 采 集 及 还 原 恶 意 软 件 的 整 个 攻 击 场 景 ， 以 最 大 程 度 地 模 拟 主 机 中 毒 的 环 境 ， 方 便 后 续 对 恶 意 软 件 进 行 研 究 与 分 析 。 该 方 法 的 原 理 是 ， 使 用 b a s h 脚 本 自 动 化 收 集 中 毒 主 机 上 的 病 毒 项 ， 然 后 打 包 成 容 器 环 境 ， 最 后 通 过 D o c k e r 在 本 地 模 拟 运 行 ， 这 时 生 成 的 D o c k e r 容 器 就 包 含 了 完 整 的 恶 意 软 件 环 境 。 详 细 步 骤 详 细 步 骤 如 下 ， 以 S t a r t M i n e r （ 8 2 2 0 挖 矿 家 族 ） 的 中 毒 环 境 作 为 演 示 ， 通 过 命 令 可 以 看 到 主 机 中 包 含 有 恶 意 定 时 任 务 、 病 毒 文 件 、 病 毒 进 程 等 信 息 。
采 集 脚 本 具 体 的 代 码 如 下 ， 主 要 采 集 以 下 目 录 的 文 件 ： / t m p / 、 / r o o t / 、 / o p t /   病 毒 文 件 常 见 目 录 定 时 任 务 文 件 s s h 缓 存 文 件 s y s l o g 和 a u d i t 安 全 日 志 进 程 信 息 网 络 信 息
然 后 自 动 化 生 产 d o c k e r - c o m p o s e . y m l 文 件 ， 用 于 一 键 创 建 d o c k e r 容 器 。
m a l b o x . s h 脚 本 运 行 数 秒 后 ， 即 可 打 包 好 所 有 病 毒 项 ， 生 成 文 件 m a l b o x . t a r . g z 。 将 m a l b o x . t a r . g z 在 本 地 解 压 缩 ， m a l b o x 目 录 便 包 含 D o c k e r 环 境 的 所 需 的 文 件 系 统 和 配 置 文 件 ， d o c k e r - c o m p o s e . y m l 的 功 能 为 映 射 关 键 目 录 ， 及 模 拟 执 行 恶 意 命 令 。 在 运 行 之 前 需 要 自 定 义 下 d o c k e r - c o m p o s e . y m l 的 信 息 ， 填 上 病 毒 家 族 名 ， 以 及 启 动 时 要 运 行 的 命 令 （ 可 以 参 考 p s . t x t 及 n e t s t a t . t x t 填 上 需 要 模 拟 的 病 毒 进 程 命 令 ） 。
修 改 完 后 ， 使 用 命 令 d o c k e r - c o m p o s e   u p   - d 即 可 一 键 部 署 容 器 ， 查 看 容 器 列 表 ， 若 出 现 了 s t a r t m i e n r _ 2 0 1 0 便 说 明 容 器 运 行 成 功 了 。 恶 意 软 件 容 器 所 使 用 的 基 础 镜 像 为 m a l b o x ， 该 镜 像 在 u b u n t u 镜 像 基 础 上 新 增 了 恶 意 软 件 常 用 到 的 一 些 命 令 及 服 务 （ w g e t 、 c u r l 、 s s h 、 c r o n t a b 等 ） ， 以 达 到 更 好 的 模 拟 效 果 。
使 用 d o c k e r   e x e c   - i t   s t a r t m i n e r _ 2 0 1 0   / b i n / b a s h 命 令 ， 就 能 进 入 到 容 器 ， 此 时 的 环 境 就 跟 中 毒 主 机 的 环 境 几 乎 一 样 了 ， 可 以 在 该 环 境 中 进 行 排 查 分 析 。 查 看 进 程 ， 也 能 清 晰 地 看 到 恶 意 的 下 载 进 程 ， 以 及 C P U 占 用 率 极 高 的 挖 矿 进 程 。
容 器 中 的 s y s l o g 日 志 和 a u d i t . l o g 日 志 ， 也 有 助 于 研 究 员 对 整 个 恶 意 软 件 的 攻 击 链 进 行 溯 源 。 a u d i t 可 以 使 用 自 定 义 规 则 进 行 监 控 ， 将 可 疑 行 为 按 照 A T T & C K 矩 阵 进 行 分 类 。 总 结 总 结 模 拟 出 来 的 恶 意 软 件 容 器 ， 方 便 搭 建 及 部 署 ， 若 有 蜜 网 或 E D R 环 境 ， 还 可 以 将 容 器 接 入 到 其 中 以 更 好 地 检 测 收 集 恶 意
软 件 的 恶 意 流 量 、 恶 意 行 为 。 参 考 链 接 参 考 链 接 h t t p s : / / g i t h u b . c o m / v u l h u b / v u l h u b / 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理