Instruktor: Innym sposobem na wykrycie szkodliwych
plików jest użycie piaskownicy.
Piaskownica jest w zasadzie miejscem,
w którym plik zostanie wykonany i przeanalizowany.
Sprawdzą, czy jakieś porty zostaną otwarte,
czy zmodyfikuje wpisy rejestru, czy
podejmie jakieś podejrzane (bełkocze).
To nie jest program antywirusowy.
Twój trojan może przenosić programy antywirusowe tak jak my.
Nasz trojan przechodzi wszystkie programy antywirusowe.
Ale aplikacje piaskownicy lub środowiska piaskownicy uruchomią to
w miejscu, w kontrolowanym środowisku i spróbują
sprawdzić, czy robi coś podejrzanego, i przekażą
ci raport.
Możesz Google ponownie piaskownicą online.
Przykładem tego jest strona internetowa o nazwie analiza hybrydowa.
Korzystanie ze strony internetowej jest bardzo proste.
Wszystko, co musisz zrobić, to przejść
do adresu URL, wybrać plik i przesłać go.
Teraz już to zrobiłem,
więc pokażę
raport, ponieważ analiza pliku i wykonanie
raportu może zająć trochę czasu.
Po otrzymaniu
raportu zobaczysz podstawowe informacje.
Zobaczysz, że
tak, znaleziono szkodliwe wskaźniki.
Teraz ukrywa to przed tobą i musisz użyć
pełnej wersji i zapłacić za to, aby je zobaczyć, ale
tak naprawdę nie musisz ich widzieć.
Jeśli przeczytasz cały
raport, będziesz wiedział, że ten plik jest złośliwy
i może zrobić coś złego na twoim komputerze.
Przede wszystkim widać, że plik
pomija pola błędów.
Nie wyświetla pól błędów.
Zmienia również rejestr.
Możesz zobaczyć parametry rejestru, które modyfikuje.
Widać, że gra z ustawieniami internetowymi
i połączeniami.
Możesz również zobaczyć, że używa usługi Windows Socket, więc
próbuje utworzyć połączenia.
Możesz także zobaczyć,
że gra z adresem procesu.
Przewijając w
dół zobaczysz jeden z najważniejszych wskaźników.
Teraz oczywiście jest tutaj więcej informacji.
Tutaj, w miejscu sieci, zobaczysz,
że próbuje połączyć się z tym adresem IP na porcie 8080.
Teraz znowu możesz przejść do
tego adresu IP i wykonać odwrotne wyszukiwanie
DNS i zobaczyć, że ten adres IP nie jest powiązany z żadną witryną.
Ponadto, kiedy załadujesz ładunek do tego miejsca, nigdy nie zostanie
ono wykonane na twoim komputerze, zostanie
wykonane na ich serwerze w
środowisku piaskownicy.
Teraz, oczywiście, metoda, którą ci pokazałem,
zawsze powinieneś robić to w
wirtualnym pudełku, kiedy wykonujesz go tutaj w systemie Windows.
Zawsze rób to na
maszynie wirtualnej, nie rób tego na głównej maszynie.
Możesz także użyć tej
metody, jeśli załadujesz ją do środowiska piaskownicy.
Zostanie przeanalizowany dla Ciebie, a
następnie możesz przeczytać raport.