20145306张文锦《网络对抗》恶意代码分析

20145306张文锦《网络对抗》恶意代码分析

1.schtasks监控系统运行

• 用图形界面配置计划任务。首先为新建任务设置名字；设置触发器为两分钟执行一次；设置操作。
• 过程中遇到了问题，需要用跟高的权限来运行。
• 
• 以最高权限运行计划任务。结果：
• 
• 检测到的应用有微信，IE浏览器，UC浏览器，Apple服务等。

2.使用sysmon工具监控系统运行

•  sysmon使用的配置文件是老师给的配置文件。

• 安装sysmon。
• 
• 在事件查看器中查看日志
• 
• 查看详细信息：

• qq，微信，浏览器，等应用。

3.使用virscan分析恶意代码

• VirScan扫描上次实验的后门程序。
• 
• 恶意代码行为分析

    

    

 

4.使用PE EXPLORER分析恶意软件

     可以查看文件的编译时间，链接器版本等信息。

 

5.PEID分析恶意软件

 

6.使用systracer工具分析恶意软件

使用工具建立四个快照：主机内没有恶意代码时，主机内有恶意代码时，恶意代码回连时，恶意代码输入screenshot命令。

 对比第一次和第三次，开放了新的端口 5306.

 

        注册表的信息发生了变化。