Instructeur: Une autre façon de découvrir des fichiers malveillants consiste
à utiliser un bac à sable.
Un bac à sable est, en gros,
un endroit où votre fichier sera exécuté et analysé.
Ils vérifieront si des ports seront ouverts, si cela va
modifier les entrées de registre, si ça va
faire quelque chose de suspect (marmonnements).
Ce n'est pas un programme antivirus.
Votre cheval de Troie peut passer des programmes antivirus comme nous l’avons fait.
Notre cheval de Troie passe tous les programmes antivirus.
Mais les applications de bac à sable ou les environnements de bac à
sable vont l'exécuter dans un endroit, dans un environnement contrôlé, et
essayer de voir si cela fait quelque chose de suspect et
de vous en faire rapport.
Vous pouvez encore Google, sandbox en ligne.
Un exemple en est un site Web appelé hybride-analyse.
Utiliser le site web est très simple.
Tout ce que vous avez à faire est
simplement d'aller à l'URL, sélectionnez votre fichier et téléchargez-le.
Maintenant, je l'ai déjà fait, alors
je vais vous montrer
le rapport, car l'analyse du fichier et la préparation
du rapport peuvent prendre un certain temps.
Une fois que vous obtenez
le rapport, vous verrez quelques informations de base.
Vous verrez qu'il y
en avait, des indicateurs malveillants ont été trouvés.
Maintenant, il vous le cache, et vous devez utiliser la
version complète et payer pour la voir, mais vous n'avez
pas vraiment besoin de la voir.
Si vous lisez le rapport
dans son intégralité, vous saurez que ce fichier est malveillant et
qu’il va faire quelque chose de mal sur votre ordinateur.
Tout d’abord, vous pouvez constater que le
fichier supprime les zones d’erreur.
Il n'affiche pas les cases d'erreur.
Il modifie également le registre.
Vous pouvez voir les paramètres du registre qu'il modifie.
Vous pouvez voir qu'il joue avec les paramètres Internet
et les connexions.
Vous pouvez également constater qu'il utilise le service Windows Socket et tente
donc de créer des connexions.
Vous pouvez également voir que
cela joue avec l'adresse du processus.
En descendant,
vous verrez l'un des indicateurs les plus importants.
Maintenant, évidemment, il y a plus d'informations ici.
Ici même, sur l’emplacement réseau, vous
verrez qu’il essaie de se connecter à cette adresse IP sur le port 8080.
Maintenant, encore une fois, vous pouvez
aller sur cette adresse IP et faire une
recherche inversée de DNS, et voir que cette adresse IP n'est liée à aucun site Web.
De plus, lorsque vous chargez le contenu à cet endroit, il ne sera
jamais exécuté sur votre ordinateur, il sera exécuté
sur son serveur dans un environnement de
type bac à sable.
Maintenant, évidemment, la méthode que je vous ai
montrée, vous devriez toujours le faire
dans une boîte virtuelle lorsque vous l'exécutez ici sur votre Windows.
Toujours le faire sur une
machine virtuelle, ne le faites pas sur votre machine principale.
Ou, vous pouvez utiliser cette
méthode lorsque vous le téléchargez dans un environnement sandbox.
Il sera analysé pour vous et vous
pourrez ensuite lire le rapport.