Instructeur: Een andere manier om schadelijke bestanden te
ontdekken is het gebruik van een sandbox.
Een sandbox is in feite een plaats waar uw
bestand wordt uitgevoerd en geanalyseerd.
Ze controleren of er poorten worden geopend, of er registervermeldingen
worden gewijzigd, of er verdachte dingen
worden gedaan.
Het is geen antivirusprogramma.
Uw Trojan kan langs antivirusprogramma's komen, zoals wij.
Onze Trojan passeert alle antivirus programma's.
Maar de zandbakapplicaties of de zandbakomgevingen zullen dit op
een plaats, in een gecontroleerde omgeving, uitvoeren
en proberen te zien of het iets verdachts doet en u daarvan
een rapport geven.
Je kunt Google, opnieuw, sandbox online.
Een voorbeeld daarvan is een website genaamd hybride-analyse.
Het gebruik van de website is zeer eenvoudig.
U hoeft alleen maar naar de URL te gaan, uw
bestand te selecteren en het te uploaden.
Ik heb dit al gedaan, dus ik laat je alleen
het rapport zien, want het
analyseren van het bestand en het maken van het
rapport kan wat tijd kosten.
Zodra u het rapport krijgt,
ziet u wat basisinformatie.
Je zult zien dat er, kwaadaardige
indicatoren zijn gevonden.
Nu verbergt het die voor je, en je moet de volledige
versie gebruiken en ervoor betalen om ze te zien, maar
je hoeft ze eigenlijk niet te zien.
Als je het hele rapport
leest, kun je weten dat dit bestand kwaadaardig
is en iets slechts gaat doen op je computer.
Allereerst zie je dat het bestand
foutvakken onderdrukt.
Het toont geen foutvakken.
Het wijzigt ook het register.
Je kunt de register parameters zien die het aanpast.
Je kunt zien dat het speelt met de internet instellingen, en met
de verbindingen.
Je kunt ook zien dat het Windows Socket service gebruikt, dus het probeert
verbindingen te maken.
Je kunt ook zien dat het speelt
met het adres van het proces.
Als u naar beneden scrolt,
ziet u een van de belangrijkste indicatoren.
Nu, er is duidelijk meer informatie hier.
Hier op de netwerkplaats zie je
dat het probeert verbinding te maken met dit IP op poort 8080.
Ook nu kun je op dit IP een reverse
DNS lookup doen, en zien dat
dit IP niet gerelateerd is aan enige website.
Als je de payload uploadt naar deze plek, wordt hij
nooit uitgevoerd op jouw computer,
maar op hun server in een sandbox-omgeving.
De methode die ik je liet zien, moet je
natuurlijk altijd in een virtuele
box doen als je het hier op je Windows uitvoert.
Doe het altijd in een virtuele
machine, niet op je hoofdmachine.
Of u kunt deze methode gebruiken,
waarbij u het in een zandbakomgeving uploadt.
Het wordt voor je geanalyseerd, en dan
kun je het rapport lezen.