[原创]钓鱼文件应急溯源：方法篇-软件逆向-看雪-安全社区|安全招聘|kanxue.com

[原创]钓鱼文件应急溯源：方法篇

发表于: 2023-9-25 13:22 10065

[原创]钓鱼文件应急溯源：方法篇

梦幻的彼岸

2023-9-25 13:22

10065

首发：1ccK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2K6k6h3y4Q4x3X3c8A6L8W2)9J5k6h3y4G2L8b7`.`.

作者：梦幻的彼岸

如今，恶意软件分析已是信息安全领域的一个整体产业：

发布保护产品的反病毒引擎实验室，高度专业化的专家小组，甚至恶意软件编写者本身也参与其中，他们争夺一个潜在的客户--"受害者"。

静态恶意软件分析在不主动运行恶意软件代码的情况下查找可能损害系统的文件，使其成为暴露恶意库或打包文件的安全工具。静态恶意软件分析可以发现有关恶意软件性质的线索，例如文件名、哈希、IP 地址、域和文件头数据。可以使用各种工具（例如网络分析器）观察恶意软件。

动态恶意软件分析使用沙盒，沙盒是一个安全、隔离的虚拟环境，您可以在其中运行可疑的危险代码。安全专业人员可以密切监视沙箱中的恶意软件，而不必担心感染系统或网络的其余部分，从而使他们能够收集有关恶意软件的更多信息。

混合恶意软件分析结合了静态和动态技术。例如，如果恶意代码对计算机的内存进行更改，则动态分析可以检测到该活动。然后，静态分析可以准确确定进行了哪些更改。

官网：963K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2F1k6i4c8D9K9h3#2A6N6r3g2J5i4K6u0W2j5$3!0E0i4K6u0r3

可通过此工具监测程序的网络通讯信息，以方便进一步分析

官网：7efK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2F1K9i4u0K6L8$3k6@1i4K6u0W2L8X3g2@1i4K6u0r3N6i4c8A6L8s2y4Q4x3V1k6U0M7r3!0J5N6s2y4Q4x3X3g2Z5N6r3#2D9

可通过此工具显示本地计算机上所有当前打开的TCP/IP和UDP端口的列表。对于列表中的每个端口，还显示打开该端口的进程的信息，包括进程名称、进程的完整路径、进程的版本信息（产品名称、文件描述等）、进程的创建时间以及创建该进程的用户。此外，CurrPorts允许你关闭不需要的TCP连接，杀死打开端口的进程，并将TCP/UDP端口信息保存到HTML文件、XML文件或以制表符分隔的文本文件中。

可通过此工具监测目标系统的DNS解析，可有效应用于对APT远控木马的检测。

官网：35fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2Z5N6s2c8H3k6r3g2T1N6h3N6Y4k6i4u0Q4x3X3g2U0L8$3#2Q4x3V1j5`.

可通过此攻击http与https数据

官网：082K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2S2k6r3I4A6j5$3g2Q4x3X3g2U0L8$3#2Q4x3V1k6V1K9h3k6X3N6X3W2W2N6#2)9J5c8R3`.`.

可通过此工具追踪一个程序在你系统上所做的修改或一些操作进行监控

官网：55fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2Z5N6h3!0J5L8$3&6Y4i4K6u0W2j5$3&6Q4x3V1j5`.

可通过此工具在如下图所展示的角度分析程序运行后做了什么，以分析是否为恶意程序以及进行辅助分析工作

可通过此工具的HIPS与防火墙功能监测程序运行后做了什么，以进行分析

198K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2U0L8$3#2G2k6r3!0Q4x3X3g2U0L8$3#2Q4x3V1k6Z5L8$3#2W2i4K6u0r3K9h3&6@1k6i4u0F1k6i4c8Q4x3X3c8K6k6h3y4#2M7X3W2@1P5g2)9J5c8X3k6J5k6h3g2Q4x3X3c8A6L8Y4c8W2M7X3&6W2N6q4)9J5k6s2y4W2j5%4g2J5K9i4c8&6i4K6u0W2M7r3S2H3

b2aK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8Y4N6%4N6#2)9J5k6h3N6V1j5g2)9J5k6i4N6A6K9$3W2Q4x3@1p5&6x3o6V1H3i4K6u0r3

d4dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6X3M7X3W2V1j5g2)9J5k6i4u0W2i4K6u0r3

通过GDA与Frida来分析APK是否存在恶意行为

bd6K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6^5y4U0c8V1j5X3N6Q4x3X3g2U0L8$3#2Q4x3V1j5`.

可通过此工具深入分析程序的执行情况以及运行原理

一个恶意软件分析思路图展示，如下图展示了三个编码级别

恶意软件作者：使用高级语言编写恶意程序

计算机：CPU识别代码进行执行

恶意软件分析人员：通过反编译手段进行分析

针对软件的网络信息常针对底层运行原理，通过拦截发布函数进行分析

WSPSend函数在一个连接的套接字上发送数据。

WSPSendTo函数使用重叠的I/O将数据发送到一个特定的目的地。

WSPRecv函数在一个套接字上接收数据。

WSPRecvFrom函数接收一个数据报并存储源地址。

打开Word 发现有下载连接

模拟恶意行为打开了计算器

该漏洞存在于MSHTML，即Internet Explorer的引擎。虽然现在很少有人使用IE（甚至微软也强烈建议改用其较新的浏览器Edge），但这个旧的浏览器仍然是现代操作系统的一个组成部分，而且其他一些程序也使用其引擎来处理网络内容。特别是，微软的Office应用程序，如Word和PowerPoint，都依赖它。

钓鱼邮件示例

自该漏洞发布以来，安全研究人员在Twitter上警告说，尽管微软Office的 “保护视图 ”功能会阻止该漏洞，但这是多么危险。当Office打开一个文档时，它会检查它是否被标记为 “网络标记”（MoTW），这意味着它来自于互联网。如果这个标签存在，微软将以只读模式打开文档，有效地阻止了该漏洞，除非用户点击 “启用编辑 ”按钮。

但历史表明，许多用户忽略了这一警告，还是点击了 "启用编辑 "按钮。

但还有有许多方法可以使文件不收到MoTW标志，从而有效地否定了这种防御。

发起程序-

WINWORD.EXE *64位
请求地址-

63dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5&6x3W2)9J5k6e0p5$3z5q4)9J5k6e0R3$3i4K6u0W2x3e0b7@1i4K6u0r3
c83K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5&6x3W2)9J5k6e0p5$3z5q4)9J5k6e0R3$3i4K6u0W2x3e0b7@1i4K6u0r3N6$3!0J5k6q4)9J5k6h3y4S2j5R3`.`.

解析：cab是windows的压缩格式