1. Toy模板网首页
  2. > Toy博客

什么是恶意代码分析中的动态分析基础技术？

9月前 作者：Day-3 分类：Toy博客 阅读(59) 违法举报

这篇具有很好参考价值的文章主要介绍了什么是恶意代码分析中的动态分析基础技术？。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

2.1 Lab3-1

使用动态分析基础技术来分析在Lab03-01.exe文件中发现的恶意代码。
问题

  1. 找出这个恶意代码的导入函数与字符串列表。

C:\Documents and Settings\Administrator>strings Lab03-01.exe
ExitProcess
kernel32.dll
ws2_32
cks=u
advapi32
ntdll
user32
StubPath
SOFTWARE\Classes\http\shell\open\commandV
Software\Microsoft\Active Setup\Installed Components
www.practicalmalwareanalysis.com
admin
WinVMX32-
vmx32to64.exe
SOFTWARE\Microsoft\Windows\CurrentVersion\Run
SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
AppData

网址是需要注意的，注册表的这个目录也需要注意，CurrentVersion经常用于恶意软件的自启动。
拖入PEiD，查看一下是否有壳。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
由于加了壳，只能看到一个函数表。

  1. 这个恶意代码在主机上的感染迹象特征是什么。

首先启动wireshark，点击开始，然后打开Process Monitor，设置过滤器，最后打开，Process Explorer。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
包含ws2_32.dll，可能是存在联网操作。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
还创建了一个互斥量，创建互斥量的主要作用是是的某一时刻某程序能单独占用某个操作。
Process Monitor设置过滤的时候要设置为Process Name。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
内容过多，不利于我们观看，所以再设置一下过滤器。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
发现出现了写入文件的操作，和修改注册表的操作。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
可能出现了随机数的操作。
vmware_LclTZfxHtE.png
可能出现了将自身复制到该路径的操作，找到该文件，将它和Lab03-01.exe进行比对，发现确实是同一个文件。
vmware_JeYmRrFHIW.png
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
到注册表的这个位置进行查看。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
这个自启动的地址设置为了该文件复制到的哪个文件目录。
到这里我们知道了，这个恶意文件创建了一个名为WinVM32的互斥量，并复制自身到一个目录下，并安装自己到系统自启动项中，通过创建注册表键值HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\VideoDrive ，并将其设置为复制副本的位置。

  1. 这个恶意代码是否存在一些有用的网络特征码？如果存在，它们是什么？

配置网络：
稀里糊涂的弄了个差不多，我是网络白痴，555。
参照如下两个教程：
https://www.jianshu.com/p/3d809e679653
https://www.cnblogs.com/hyq20135317/p/5515675.html
最后这个样子貌似是成功了，但是ApateDNS我没有成功下载安装。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
使用wireshark进行监听，双击DNS查看。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
存在网络特征，像是进行一个网址的请求。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
每一次的SSL连接都是乱码，加上他存在随机数的行为，可能是随机发送乱码。恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
恶意代码在进行网址的域名解析后，持续地广播大小为256字节的数据包，其中包含看似随机的二进制数据。

2.1 Lab3-2

  1. 你怎样才能让这个恶意代码自行安装？

查看导出表：
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
查看导入表：
程序会创建进程和线程。CreateProcessA和CreateThread。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
程序还会创建服务，操控服务，操作注册表。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
程序对网络进行操作。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
查看其中的字符串信息：
注册表目录：
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
程序目录。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
运行程序。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
网址链接。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
我们看到了installA函数，我们可以使用这样一行命令来安转。

rundll32.exe Lab03-02.dll, installA

  1. 安装之后如何让恶意代码运行起来？

  2. 怎么可以找到这个恶意代码在哪个进程下运行的？

查找失效了，手动查找的，尬。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
PID是1012.

  1. 你可以在procmon中设置什么样的过滤器，才能收集到这个恶意代码的信息？

直接设置1012的PID即可。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe

  1. 这个恶意代码在主机上的感染迹象特征是什么？

使用Regshot来查看主机上的变化。

Regshot 1.9.0 x86 ANSI
Comments:
Datetime: 2022/10/3 08:36:17 , 2022/10/3 08:36:23
Computer: UOT9TWO1JSBICVH , UOT9TWO1JSBICVH
Username: Administrator , Administrator

Keys added: 6

HKLM\SYSTEM\ControlSet001\Services*IPRIP*
HKLM\SYSTEM\ControlSet001\Services\IPRIP\Parameters
HKLM\SYSTEM\ControlSet001\Services\IPRIP\Security
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\Parameters
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\Security

Values added: 20

HKLM\SYSTEM\ControlSet001\Services\IPRIP\Type: 0x00000020
HKLM\SYSTEM\ControlSet001\Services\IPRIP\Start: 0x00000002
HKLM\SYSTEM\ControlSet001\Services\IPRIP\ErrorControl: 0x00000001
HKLM\SYSTEM\ControlSet001\Services\IPRIP\ImagePath: “%SystemRoot%\System32\svchost.exe -k netsvcs”
HKLM\SYSTEM\ControlSet001\Services\IPRIP\DisplayName: “Intranet Network Awareness (INA+)”
HKLM\SYSTEM\ControlSet001\Services\IPRIP\ObjectName: “LocalSystem”
HKLM\SYSTEM\ControlSet001\Services\IPRIP\Description: “Depends INA+, Collects and stores network configuration and location information, and notifies applications when this information changes.”
HKLM\SYSTEM\ControlSet001\Services\IPRIP\DependOnService: 52 70 63 53 73 00 00
HKLM\SYSTEM\ControlSet001\Services\IPRIP\Parameters\ServiceDll: “C:\Documents and Settings\Administrator\Lab03-02.dll”
HKLM\SYSTEM\ControlSet001\Services\IPRIP\Security\Security: 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 00 00 14 00 8D 01 02 00 01 01 00 00 00 00 00 05 0B 00 00 00 00 00 18 00 FD 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 01 01 00 00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\Type: 0x00000020
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\Start: 0x00000002
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\ErrorControl: 0x00000001
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\ImagePath: “%SystemRoot%\System32\svchost.exe -k netsvcs”
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\DisplayName: “Intranet Network Awareness (INA+)”
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\ObjectName: “LocalSystem”
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\Description: “Depends INA+, Collects and stores network configuration and location information, and notifies applications when this information changes.”
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\DependOnService: 52 70 63 53 73 00 00
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\Parameters\ServiceDll: “C:\Documents and Settings\Administrator\Lab03-02.dll”
HKLM\SYSTEM\CurrentControlSet\Services\IPRIP\Security\Security: 01 00 14 80 90 00 00 00 9C 00 00 00 14 00 00 00 30 00 00 00 02 00 1C 00 01 00 00 00 02 80 14 00 FF 01 0F 00 01 01 00 00 00 00 00 01 00 00 00 00 02 00 60 00 04 00 00 00 00 00 14 00 FD 01 02 00 01 01 00 00 00 00 00 05 12 00 00 00 00 00 18 00 FF 01 0F 00 01 02 00 00 00 00 00 05 20 00 00 00 20 02 00 00 00 00 14 00 8D 01 02 00 01 01 00 00 00 00 00 05 0B 00 00 00 00 00 18 00 FD 01 02 00 01 02 00 00 00 00 00 05 20 00 00 00 23 02 00 00 01 01 00 00 00 00 00 05 12 00 00 00 01 01 00 00 00 00 00 05 12 00 00 00

Values modified: 1

HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed: 43 C7 CF 31 CE B0 E5 64 8F B2 28 06 2B E6 C3 A4 51 71 BD F5 CF 95 E7 6A 6A 55 D1 CE BC 52 80 15 1A 8E A1 7E FF 29 15 9B 60 EB 8E A5 78 EA 48 B7 B0 69 E4 62 DD 74 7F DA 4D 02 85 E5 99 07 EB 65 3C C3 7A B8 E5 AD FB 31 8B 7B D5 49 92 D0 C8 A4
HKLM\SOFTWARE\Microsoft\Cryptography\RNG\Seed: 0E 4F 49 D0 CC 39 12 16 73 3C E7 84 7B 52 5F EB 89 55 2D BC 12 5C CA 42 C3 F8 22 D1 C1 95 5E 05 C1 77 43 D7 61 31 7D 5C D3 16 CE C3 07 0E CB 60 C5 D0 9B 5E AE E3 5E C0 75 73 8B 97 B2 91 F0 F7 6B EF F3 89 95 A2 74 28 F5 6D FF 0E BB 4C C9 7E

Total changes: 27

感染迹象就是会有创建一个服务叫IPRIP。

  1. 此恶意代码是否存在一些有用的网络特征码？

使用WireShark查看，
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
请求报文都出来了，当然存在有用的网络特征码。

2.3 Lab 3-3

问题

  1. 当你使用Process Explorer工具进行监视的时候，你注意到了什么？

启动Process Explorer，运行程序Lab03-03.exe
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
可以看到Lab03-03.exe一闪而过，创建了一个子类进程svchost.exe然后迅速将自身删除。

  1. 你可以找到任何的内存修改的行为吗？

内存比映像中多了一些奇怪的东西，像是记录了键盘一样。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
还有一个奇怪的日志。
哇，这日志直接给我写下来了。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe

  1. 这个恶意代码在主机上的感染迹象特征是什么？

打开那个日志文件一看。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
妥妥的记录键盘。
打开Process Monitor一看，频繁的创建写入文件，必然有鬼。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe

  1. 这个恶意代码的目的是什么？

这个程序在svchhost.exe进程上执行了进程替换，来启动一个击键记录器。

2.4 Lab 3-4

查壳，发现程序并没有加壳，导入表中的dll，可以判断出程序有网络操作
可以看到导入表中具有复制文件、读写文件功能。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
还有创造文件、创建进程等功能。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
还有个getSystemDirectoryA函数用来获取系统目录。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
关于注册表的操作、创建服务、删除服务等等。
在查看字符串的时候，还发现了一个网址。

  1. 当你运行这个文件时，会发生什么呢？

双击运行之后，这个程序没了。
使用Process Monitor进行监控。
恶意代码分析,动态分析,Lab03-01.exe,Lab03-02.dll,Lab03-03.exe,Lab03-04.exe
“C:\WINDOWS\system32\cmd.exe” /c del C:\DOCUME1\ADMINI1\Lab03-04.exe >> NULL"
这一行命令可能就是删除文件的命令。

  1. 是什么原因造成动态分析无法有效实施？

我们怀疑可能需要提供一个命令行参数，或者这个程序的某个部件缺失了。

  1. 是否有其它方式来运行这个程序？

我们尝试使用在字符串列表中显示的一些命令行参数，比如-in，但这样做却没有得到有效的结果，需要更深入的分析。文章来源地址https://www.toymoban.com/news/detail-456051.html

到了这里，关于什么是恶意代码分析中的动态分析基础技术？的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处： 如若内容造成侵权/违法违规/事实不符，请点击违法举报进行投诉反馈，一经查实，立即删除！

分享到：
领支付宝红包 赞助服务器费用

相关文章

  • 安全防御之恶意代码与防护技术

    恶意代码是指没有作用却会带来危险的代码。通常把未经授权便干扰或破坏计算机系统、网络功能的程序或代码（一组指令）称之为恶意程序。恶意程序包括计算机病毒、木马、蠕虫等。详见《网络安全之恶意代码》 恶意代码的防范，不是单靠一种或几种技术就能解决的，而

    2024年02月01日
    浏览(38)
  • 恶意代码分析实战 6 OllyDbg

    恶意代码分析实战 6 OllyDbg

    程序分析 首先，进行静态分析，使用strings。 CreateFileA RegQueryValueExA RegOpenKeyExA RegSetValueExA RegCreateKeyExA RegDeleteValueA WideCharToMultiByte GetModuleHandleA GetEnvironmentVariableA SetEnvironmentVariableA SOFTWAREMicrosoft XPS HTTP/1.0 GET SLEEP cmd.exe NUL http://www.practicalmalwareanalysis.com %SYSTEMROOT%system32 这里有

    2024年02月07日
    浏览(51)
  • [网络安全提高篇] 一二〇.恶意软件动态分析经典沙箱Cape批量提取动态API特征

    [网络安全提高篇] 一二〇.恶意软件动态分析经典沙箱Cape批量提取动态API特征

    终于忙完初稿，开心地写一篇博客。 “网络安全提高班”新的100篇文章即将开启，包括Web渗透、内网渗透、靶场搭建、CVE复现、攻击溯源、实战及CTF总结，它将更加聚焦，更加深入，也是作者的慢慢成长史。换专业确实挺难的，Web渗透也是块硬骨头，但我也试试，看看自己未

    2023年04月11日
    浏览(44)
  • 恶意代码分析实战 3 IDA Pro

    恶意代码分析实战 3 IDA Pro

    利用IDA PRO分析Lab05-01.dll 实验目的 利用IDA Pro分析Lab05-01.dll中发现的恶意代码，回答以下问题： DLLMain的地址是什么？ 可以空格转入反汇编查看DLLMain地址，或者 DLLMain的地址是.text:0x1000D02E。 使用Imports窗口并浏览到gethostbyname，导入函数定位到什么地址？ 这样的三步来寻找地址

    2024年02月12日
    浏览(52)
  • 数据分析15——office中的Excel基础技术汇总

    数据分析15——office中的Excel基础技术汇总

    这部分总结就是总结每个基础技术的定义，在了解基础技术名称和定义后，方便对相关技术进行检索学习。笔记不会详细到所有操作都说明，但会把基础操作的名称及作用说明，可自行检索。 本文对于大部分读者有以下作用 1、可以检索一些excel中常用的操作名称 2、获取of

    2024年02月12日
    浏览(51)

  • AI技术在网络攻击中的滥用与对抗 - 人工智能恶意攻击

    随着人工智能技术的迅猛发展，我们享受到了许多便利，但同时也面临着新的安全威胁。本文将探讨人工智能技术在网络攻击中的滥用，并提出一些防御机制。 人工智能技术的先进性和灵活性使其成为恶意攻击者的有力工具。以下是一些常见的人工智能滥用案例： 欺骗和钓

    2024年02月12日
    浏览(43)
  • 【第14章】恶意代码防范技术原理@信息安全工程师 软考笔记

    【第14章】恶意代码防范技术原理@信息安全工程师 软考笔记

    第14章 恶意代码防范技术原理 14.1 恶意代码概述 14.1.1 恶意代码定义与分类 恶意代码的英文是 Malicious Code,它是一种违背目标系统安全策略的程序代码，会造成目标系统信息泄露、资源滥用，破坏系统的完整性及可用性。它能够经过存储介质或网络进行传播，从一 台计算机系

    2023年04月08日
    浏览(42)
  • 网络安全|渗透测试入门学习，从零基础入门到精通—动态分析技术工具OllyDbg界面介绍

    网络安全|渗透测试入门学习，从零基础入门到精通—动态分析技术工具OllyDbg界面介绍

    目录 动态分析技术调试器 什么是OllyDbg OllyDbg能干什么 OllyDbg窗口介绍 1、反汇编面板窗口 2、信息面板窗口 3、数据面板窗口 4、寄存器面板窗口 5、栈面板窗口 动态分析技术中最重要的工具是调试器，分为用户模式和内核模式两种类型。用户模式调试器是指用来调试用户模式

    2024年02月11日
    浏览(50)
  • [网络安全提高篇] 一二一.恶意软件动态分析Cape沙箱Report报告的API序列批量提取详解

    [网络安全提高篇] 一二一.恶意软件动态分析Cape沙箱Report报告的API序列批量提取详解

    终于忙完初稿，开心地写一篇博客。 “网络安全提高班”新的100篇文章即将开启，包括Web渗透、内网渗透、靶场搭建、CVE复现、攻击溯源、实战及CTF总结，它将更加聚焦，更加深入，也是作者的慢慢成长史。换专业确实挺难的，Web渗透也是块硬骨头，但我也试试，看看自己未

    2024年02月13日
    浏览(45)
  • 恶意代码分析实战--IDA pro的使用及课后练习l

    恶意代码分析实战--IDA pro的使用及课后练习l

    函数窗口 Functions window  位于左半部分 列举可执行文件中的所有函数，可以在众多函数中过滤出想要的函数。这个窗口也对每一个函数关联了一些标志（F L S等），这其中最有用的是L，指明是库函数。 字符串窗口 Strings window （Shift + F12） 显示所有的字符串，可以右键Setup来修

    2024年02月05日
    浏览(43)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包，优惠每天领

二维码1

领取红包

二维码2

领红包