搜索

[21122] 2020-07-07_恶意流量分析训练三

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-07_恶意流量分析训练三 恶 意 流 量 分 析 训 练 三 L e m o n S e c   2 0 2 0 - 0 7 - 0 7 了 解 使 用 w i r e s h a r k 进 行 恶 意 流 量 分 析 ， 培 养 流 量 分 析 的 思 维 和 能 力 ， 本 次 实 验 涉 及 知 识 包 括 善 用 搜 索 引 擎 、 技 术 分 析 文 章 整 合 、 s n o r t 日 志 分 析 、 以 及 关 于 L o c k y   r a n s o m w a r e 和 A n g l e r   E K 部 分 攻 击 流 量 特 征 。 试 根 据 给 出 的 数 据 包 等 文 件 ， 分 析 解 答 如 下 问 题 Q 1 : 用 户 的 姓 名 ？ Q 2 : 用 户 w i n d o w s 机 器 的 主 机 名 ？ Q 3 : 用 户 w i n d o w s 主 机 的 i p 地 址 ？ Q 4 : 用 户 电 脑 的 m a c 地 址 ？ Q 5 : 用 户 被 感 染 了 哪 些 恶 意 文 件 ？ 打 开 w i r e s h a r k 上 方 的 菜 单 ， 统 计 - > i p v 4   s t a t i c s - > a l l   a d d r e s s , 如 图 所 示 可 以 看 到 通 信 流 量 基 本 全 部 是 由 1 0 . 0 . 2 1 . 1 3 6 发 起 的 ， 所 以 用 户 主 机 的 i p 地 址 是 1 0 . 0 . 2 1 . 1 3 6 那 么 主 机 名 该 如 何 找 到 呢 ？ 我 们 先 来 看 看 数 据 包 都 有 哪 些 协 议 。 我 们 知 道 N e t B I O S 是 N e t w o r k   B a s i c   I n p u t / O u t p u t   S y s t e m 的 简 称 ， 一 般 指 用 于 局 域 网 通 信 的 一 套 A P I ， 它 在 基 于   N e t B I O S   名 称 访 问 的 网 络 上 提 供 主 机 名 和 地 址 映 射 方 法 。 所 以 通 过 N B N S 协 议 我 们 可 以 找 到 主 机 名 。 所 以 选 中 一 条 n b n s 的 数 据 。
红 框 定 位 的 就 是 m a c 地 址 及 主 机 名 那 么 使 用 者 的 姓 名 呢 ？ 在 电 脑 自 带 的 通 信 过 程 中 ， 一 般 人 是 不 会 设 置 完 整 的 姓 名 的 ， 题 目 既 然 这 么 问 说 明 要 从 其 他 地 方 入 手 ， 比 如 用 户 在 网 站 注 册 ， 或 者 他 的 邮 件 的 名 字 ， 都 有 可 能 是 姓 名 ， 所 以 我 们 尝 试 过 滤 出 h t t p 请 求 数 据 。 过 滤 后 的 数 据 也 不 多 ， 往 下 翻 就 可 以 看 到 。 出 现 了 s i g n u p 的 关 键 字 我 们 跟 踪 其 t c p 流 可 以 看 到 p o s t 的 最 后 一 行 发 现 了 姓 名 。 接 下 来 我 们 分 析 下 用 户 感 染 了 哪 些 恶 意 软 件 ， 以 及 如 何 被 感 染 的 。 可 以 看 到 在 用 户 注 册 之 后 ， 紧 接 着 是 g o o g l e   a n a l y t i c s , 这 是 G o o g l e 开 发 的 网 站 流 量 跟 踪 工 具 。 然 后 后 面 就 出 现 了 一 些 奇 怪 的 h t t p   g e t   和   p o s t 请 求 针 对 第 一 条 g e t
将 f u l l   r e q u e s t   u r i 右 键 - 》 复 制 - 》 值 ， 然 后 再 搜 索 引 擎 中 查 询 。 可 以 看 到 这 是 恶 意 软 件 而 这 条 链 接 分 析 博 客 的 分 析 是 恶 意 脚 本 下 载 的 源 链 接 ， 其 模 式 与 博 客 给 出 的 其 他 链 接 相 同 。 最 后 指 出 这 是 L o c k y   M a l w a r e 后 面 的 p o s t 请 求 是 用 户 被 感 染 之 后 访 问 其 他 网 页 产 生 的 流 量 。 那 么 只 有 感 染 这 一 个 恶 意 软 件 吗 ？ 我 们 再 继 续 分 析 ， 往 下 翻
看 到 了 . t o p 域 名 ， 这 就 要 非 常 敏 感 了 ， 很 多 恶 意 软 件 都 会 去 注 册 使 用 . t o p 选 中 第 一 条 g e t ， 跟 踪 t c p 流 可 以 看 到 r e f e r e r 信 息 ， r e f e r e r 表 示 是 从 该 页 面 链 接 过 来 的 ， 所 以 此 处 的 话 表 明 用 户 访 问 正 常 的 网 页 h t t p : / / w w w . e m i d i o l e i t e . c o m . . . . . . . . 然 后 被 定 向 访 问 到 了 . t o p 。 接 下 来 结 合 s n o r t 日 志 分 析 ， 根 据 目 的 i p 去 日 志 中 检 索 。 可 以 看 到 s n o r t 检 测 到 是 属 于 A n g l e r   e x p l o i t - k i t 发 起 的 攻 击 ， 后 面 还 提 示 是 l a n d i n g   p a g e ， 那 么 一 定 会 传 递 载 荷 我 们 进 一 步 分 析 其 他 的 t c p 流
可 以 看 到 传 递 了 大 约 4 4 3 k 的 载 荷 文 件 我 们 通 过 搜 索 引 擎 检 索 到 第 一 篇 捕 捉 到 该 攻 击 的 推 文 所 以 就 可 以 推 测 这 4 4 3 k 的 文 件 就 是 伪 装 成 s w f 格 式 的 f l a s h 文 件 。   继 续 往 下 看 看 剩 余 有 没 有 可 疑 的 流 量 。 在 最 后 的 一 系 列 p o s t   u s e r i n f o . p h p 这 种 用 户 正 常 访 问 的 额 流 量 之 前 我 们 有 看 到 了 奇 怪 的 流 量 。
跟 踪 t c p 流 ， 可 以 看 到 这 个 r e f e r e r ， 说 明 也 是 从 其 他 网 页 链 接 过 来 的 。 去 s n o r t 日 志 了 按 照 目 的 i p 检 索 。 可 以 看 到 也 是 A n g l e r   E x p l o i t - K i t 不 过 这 次 的 攻 击 手 法 是 什 么 呢 ？ 我 们 取 消 过 滤 条 件 ， 看 看 。 接 下 来 我 们 要 有 侧 重 点 ， 因 为 实 际 攻 击 中 i p 是 可 能 动 态 变 化 的 ， 而 一 般 端 口 是 不 会 变 得 ， 所 以 我 们 的 办 法 就 是 在 s o u r c e i p 为 1 0 . 0 . 2 1 . 1 3 6 时 ， 看 看 目 的 端 口 有 哪 些 。
可 以 看 到 主 要 是 8 0 和 4 4 3 接 下 来 结 合 关 键 字 A g n l e r   e x p l o i t - k i t 一 起 去 搜 索 引 擎 搜 索 。 点 击 查 看 ， 关 键 信 息 如 下 。 可 以 看 到 与 4 4 3 , 8 0 有 关 的 通 信 是 由 于 C r y p t   r a n s o m w a r e 。 从 文 章 的 分 析 思 路 中 可 以 看 到 C r y p t   r a n s o m w a r e 是 由 A n g l e r   E K 派 生 的 。
所 以 我 们 就 可 以 得 出 结 论 了 ： 用 户 受 到 了 三 次 感 染 ， 第 一 次 是 来 自 m a l w a r e   s p a m 的 L o c k y   r a n s o m w a r e , 第 二 次 是 A n g l e r   E K 的 文 件 （ 由 分 析 文 章 推 知 是 伪 装 的 s w f 文 件 ） ， 第 三 次 是 A n g l e r   E K 的 C r y p t X X X   r a n s o m w a r e 。 . n e t 如 果 觉 得 文 章 对 你 有 帮 助 ， 请 点 击 右 下 角 “ 在 看 ” 版 权 声 明 ： 本 文 为 C S D N 博 主 「 N e i l - Y a l e 」 的 原 创 文 章 ， 遵 循 C C   4 . 0   B Y - S A 版 权 协 议 ， 转 载 请 附 上 原 文 出 处 链 接 及 本 声 明 。 原 文 链 接 ： h t t p s : / / b l o g . c s d n . n e t / y a l e c a l t e c h / a r t i c l e / d e t a i l s / 1 0 4 1 7 8 8 4 7
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理