Istruttore: Un altro modo per scoprire file
dannosi è usare un sandbox.
Una sandbox è fondamentalmente un luogo in
cui il tuo file verrà eseguito e analizzato.
Controlleranno se eventuali porte verranno aperte, se
modificheranno le voci di registro,
se farà sospetti (borbottii).
Non è un programma antivirus.
Il tuo Trojan potrebbe passare programmi antivirus come abbiamo fatto noi.
Il nostro Trojan passa tutti i programmi antivirus.
Ma le applicazioni sandbox o gli ambienti sandbox eseguiranno questo in
un posto, in un ambiente controllato, e proveranno a
vedere se fa qualcosa di sospetto e ti
daranno un rapporto.
Puoi Google, ancora una volta, sandbox online.
Un esempio è un sito web chiamato analisi ibrida.
L'uso del sito Web è molto semplice.
Tutto quello che devi fare è semplicemente
andare all'URL, selezionare il tuo file e caricarlo.
Ora, l'ho già fatto, quindi
ti mostrerò il
rapporto perché l'analisi del file e l'esecuzione
del rapporto potrebbero richiedere del tempo.
Una volta ricevuto
il rapporto, vedrai alcune informazioni di base.
Vedrai che
sono stati rilevati indicatori dannosi.
Ora, lo sta nascondendo da te, e devi
usare la versione completa e pagarla per vederli, ma
non hai davvero bisogno di vederli.
Se leggi l'intero rapporto,
sarai in grado di sapere che questo file è dannoso
e farà qualcosa di male sul tuo computer.
Prima di tutto, puoi vedere che il
file elimina le caselle di errore.
Non visualizza caselle di errore.
Modifica anche il registro.
Puoi vedere i parametri del registro che sta modificando.
Puoi vedere che sta giocando con le impostazioni di Internet e
con le connessioni.
Puoi anche vedere che sta usando il servizio Windows Socket, quindi
sta cercando di creare connessioni.
Puoi anche vedere che
sta giocando con l'indirizzo del processo.
Scorrendo verso
il basso, vedrai uno degli indicatori più importanti.
Ora, ovviamente, ci sono più informazioni qui.
Proprio qui sul posto di
rete, vedrai che tenta di connettersi a questo IP sulla porta 8080.
Ora, di nuovo, puoi andare
su questo IP e fare una ricerca
DNS inversa, e vedere che questo IP non è correlato a nessun sito web.
Inoltre, quando carichi il payload in questo posto, non verrà
mai eseguito sul tuo computer, verrà
eseguito sul loro server in un
ambiente sandbox.
Ora, ovviamente, il metodo che ti ho
mostrato, dovresti sempre farlo in
una scatola virtuale quando lo esegui qui sul tuo Windows.
Fallo sempre in una
macchina virtuale, non farlo sulla tua macchina principale.
In alternativa, puoi utilizzare
questo metodo per caricarlo in un ambiente sandbox.
Verrà analizzato per te, quindi
potrai leggere il rapporto.