Kursleiter: Eine andere Möglichkeit, schädliche Dateien zu erkennen,
ist die Verwendung einer Sandbox.
Eine Sandbox ist im Grunde ein Ort,
an dem Ihre Datei ausgeführt und analysiert wird.
Sie prüfen, ob Ports geöffnet werden, ob
Registrierungseinträge geändert werden oder ob verdächtige
Aktionen ausgeführt werden (Murmeln).
Es ist kein Antivirenprogramm.
Ihr Trojaner besteht möglicherweise Antivirenprogramme wie wir.
Unser Trojaner übergibt alle Antivirenprogramme.
Aber die Sandbox-Anwendungen oder die Sandbox-Umgebungen führen dies an einen
Ort, in eine kontrollierte Umgebung, und versuchen, festzustellen,
ob dies verdächtig ist, und geben Ihnen
einen Bericht darüber.
Sie können Sandbox wieder online googeln.
Ein Beispiel dafür ist eine Website namens Hybrid-Analyse.
Die Nutzung der Website ist sehr einfach.
Alles, was Sie tun müssen, ist, zur
URL zu gehen, Ihre Datei auszuwählen und sie hochzuladen.
Jetzt habe ich das schon getan, also
zeige ich Ihnen nur
den Bericht, da das Analysieren der Datei und das Erstellen
des Berichts einige Zeit in Anspruch nehmen kann.
Sobald Sie den Bericht
erhalten haben, werden einige grundlegende Informationen angezeigt.
Sie werden
feststellen, dass böswillige Anzeichen gefunden wurden.
Jetzt versteckt es es vor dir und du musst die
Vollversion benutzen und dafür bezahlen, um sie zu sehen, aber
du musst sie nicht wirklich sehen.
Wenn Sie den gesamten
Bericht lesen, können Sie feststellen, dass diese Datei bösartig ist
und auf Ihrem Computer einen Schaden anrichten kann.
Zunächst sehen Sie, dass die
Datei Fehlerfelder unterdrückt.
Es werden keine Fehlerfelder angezeigt.
Es ändert auch die Registrierung.
Sie können die Registrierungsparameter sehen, die geändert werden.
Sie können sehen, dass es mit den Interneteinstellungen und mit
den Verbindungen spielt.
Sie können auch sehen, dass der Windows Socket-Dienst verwendet wird
und versucht, Verbindungen herzustellen.
Sie können auch sehen, dass
es mit der Adresse des Prozesses spielt.
Wenn Sie nach
unten scrollen, sehen Sie eine der wichtigsten Anzeigen.
Jetzt gibt es hier natürlich mehr Informationen.
Genau hier im Netzwerk werden Sie
sehen, dass es versucht, eine Verbindung zu dieser IP auf Port 8080 herzustellen.
Jetzt können Sie diese IP
erneut aufrufen und eine umgekehrte DNS-Suche
durchführen und feststellen, dass diese IP mit keiner Website in Verbindung steht.
Wenn Sie die Nutzlast an diesen Ort hochladen, wird
sie niemals auf Ihrem Computer ausgeführt,
sondern auf ihrem Server in
einer Sandbox-Umgebung.
Nun, natürlich, die Methode, die ich Ihnen gezeigt
habe, sollten Sie es immer in einer
virtuellen Box tun, wenn Sie es hier auf Ihrem Windows ausführen.
Tun Sie dies immer
in einer virtuellen Maschine, nicht auf Ihrer Hauptmaschine.
Sie können diese Methode
auch verwenden, um sie in eine Sandbox-Umgebung hochzuladen.
Es wird für Sie analysiert, und dann
können Sie den Bericht lesen.