Người hướng dẫn: Một cách khác để phát hiện các
tệp độc hại là sử dụng hộp cát.
Về cơ bản, hộp cát là một nơi mà tệp
của bạn sẽ được thực thi và phân tích.
Họ sẽ kiểm tra xem có cổng nào sẽ được mở hay không,
nếu nó sẽ sửa đổi các mục đăng ký, nếu nó
có bất kỳ điều gì đáng ngờ (lầm bầm).
Nó không phải là một chương trình chống vi-rút.
Trojan của bạn có thể vượt qua các chương trình chống vi-rút giống như chúng tôi đã làm.
Trojan của chúng tôi vượt qua tất cả các chương trình chống vi-rút.
Nhưng các ứng dụng hộp cát hoặc môi trường hộp cát sẽ chạy điều này vào
một nơi, vào một môi trường được kiểm soát và thử xem liệu nó
có gây bất kỳ điều gì đáng ngờ hay không và cung cấp cho bạn
một báo cáo về điều đó.
Bạn có thể Google, một lần nữa, hộp cát trực tuyến.
Một ví dụ về nó là một trang web có tên là hybrid-analysis.
Sử dụng trang web rất đơn giản.
Tất cả những gì bạn phải làm chỉ là truy
cập URL, chọn tệp của bạn và tải tệp lên.
Bây giờ, tôi đã làm việc này rồi, vì
vậy tôi sẽ chỉ cho bạn xem
báo cáo vì việc phân tích tệp và thực hiện báo
cáo có thể mất một chút thời gian.
Sau khi nhận được báo cáo,
bạn sẽ thấy một số thông tin cơ bản.
Bạn sẽ thấy rằng đã có,
các chỉ báo độc hại đã được tìm thấy.
Bây giờ, nó đang ẩn nó với bạn, và bạn phải sử dụng
phiên bản đầy đủ và trả tiền để xem chúng, nhưng bạn
không thực sự cần phải xem chúng.
Nếu bạn đọc toàn bộ báo cáo,
bạn sẽ có thể biết rằng tệp này là độc hại và nó sẽ làm
điều gì đó xấu trên máy tính của bạn.
Trước hết, bạn có thể thấy rằng
tệp này loại bỏ các hộp lỗi.
Nó không hiển thị hộp lỗi.
Nó cũng sửa đổi sổ đăng ký.
Bạn có thể thấy các thông số đăng ký mà nó đang sửa đổi.
Bạn có thể thấy rằng nó đang phát với cài đặt internet và
với các kết nối.
Bạn cũng có thể thấy rằng nó đang sử dụng dịch vụ Windows Socket, vì
vậy nó đang cố gắng tạo kết nối.
Bạn cũng có thể thấy rằng nó đang
phát với địa chỉ của tiến trình.
Cuộn xuống, bạn sẽ thấy
một trong những chỉ báo quan trọng nhất.
Bây giờ, rõ ràng, có nhiều thông tin hơn ở đây.
Ngay tại vị trí mạng, bạn
sẽ thấy nó cố gắng kết nối với IP này trên cổng 8080.
Bây giờ, một lần nữa, bạn có thể truy
cập IP này và thực hiện tra cứu DNS ngược
và thấy rằng IP này không liên quan đến bất kỳ trang web nào.
Ngoài ra, điều này, khi bạn tải trọng tải lên nơi này, nó sẽ không bao giờ
được thực thi trên máy tính của bạn, nó sẽ
được thực thi trên máy chủ của họ trong môi
trường hộp cát.
Rõ ràng, phương pháp mà tôi đã chỉ cho bạn,
bạn nên thực hiện nó trong một hộp ảo khi
bạn đang thực thi nó ở đây trên Windows của mình.
Luôn luôn làm điều đó trong một máy
ảo, không làm điều đó trên máy chính của bạn.
Hoặc, bạn có thể sử dụng phương
pháp này khi tải nó lên môi trường hộp cát.
Nó sẽ được phân tích cho bạn và sau
đó bạn có thể đọc báo cáo.