सैंडबॉक्स का उपयोग करते हुए फ़ाइल मैलवेयर का आकलन: भाग 1। ऑनलाइन सेवाएं

संभावित दुर्भावनापूर्ण कार्यक्षमता के साथ निष्पादन योग्य फ़ाइलों का अध्ययन करने के अभ्यास में, डिबगर्स के साथ गतिशील विश्लेषण के लिए डिस्सैम्ड के साथ स्थैतिक विश्लेषण से - उपकरणों का एक समृद्ध शस्त्रागार है। इस समीक्षा में, मैं सभी संभावित ट्रिक्स पर जानकारी देने की कोशिश नहीं करूँगा, क्योंकि उन्हें कुछ विशिष्ट ज्ञान की आवश्यकता होती है, लेकिन मैं एक अनुभवहीन उपयोगकर्ता को ट्रिक्स के एक सेट से लैस करना चाहूंगा जो आपको एक अज्ञात फ़ाइल को जल्दी से विश्लेषण करने की अनुमति देता है।

इसलिए, स्थिति: हमारे पास मैलवेयर के संदेह के साथ एक अजीब फाइल है, जबकि मौजूदा मल्टीस्कैनर जैसे कि वायरसटोटल कोई जानकारी नहीं देते हैं। क्या करें?

ऑनलाइन सैंड्स

नेटवर्क में कई सूचना सुरक्षा परियोजनाएं हैं जो कोड को निष्पादित करने के लिए अलग से काम कर रहे वर्चुअलाइज्ड सिस्टम के रूप में उनके समाधान को लागू करती हैं, इसके बाद किए गए परिवर्तनों का विश्लेषण करती हैं। एक नियम के रूप में, इन परियोजनाओं में मुफ्त उपयोग के साथ ऐसी प्रणालियों के ऑनलाइन संस्करण हैं। आप एक संदिग्ध फ़ाइल को सुरक्षित रूप से डाउनलोड कर सकते हैं और थोड़ी देर बाद पूरी जानकारी प्राप्त कर सकते हैं कि यह सिस्टम पर क्या चल रहा है।

ThreatExpert
ThreatExpert सिस्टम लॉन्च से पहले और बाद में सिस्टम स्नैपशॉट की तुलना करता है, साथ ही कोड निष्पादन के दौरान कुछ एपीआई को इंटरसेप्ट करता है। परिणामस्वरूप, आपको निम्न जानकारी के साथ एक रिपोर्ट प्राप्त होती है:

• कोड निष्पादन के दौरान कौन सी नई प्रक्रिया, फाइलें, रजिस्ट्री कुंजी और म्यूटेक्स बनाए गए थे।
• कौन से मेजबानों और आईपी से जुड़ा हुआ था, हेक्साडेसिमल और एक्सचेंज डेटा के एएससीआईआई डंप भी दिए गए हैं।
• क्या निष्पादन के दौरान बनाई गई फ़ाइल और फ़ाइलों पर लोकप्रिय एंटीवायरस का पता लगाना है।
• भाषा संसाधनों और कोड में पाए गए अन्य निशानों के आधार पर कोड की उत्पत्ति का संभावित देश क्या है।
• संभावित खतरे की श्रेणी (कीगलर, पिछले दरवाजे, आदि) और उसके स्तर।
• नई विंडो के स्क्रीनशॉट, यदि कोई हो, रनटाइम पर प्रदर्शित किए गए थे।

साइट पर पंजीकरण संभव है, जिस स्थिति में आपके सभी विश्लेषणों का इतिहास सहेजा जाएगा, और आप इसे किसी भी समय कॉल कर सकते हैं। सबमिशन एप्लेट प्रोग्राम को स्थापित करना और एक्सप्लोरर संदर्भ मेनू से विश्लेषण के लिए फ़ाइलों को स्वचालित रूप से भेजना संभव है।

CWSandbox मैनहेम विश्वविद्यालय द्वारा एक विकास है जो इस प्रणाली को बेचता है। हालांकि, विश्लेषण मुफ्त में ऑनलाइन किया जा सकता है।
इस सैंडबॉक्स की एक विशेषता यह है कि विश्लेषण सैंडबॉक्स लाइब्रेरी को निष्पादन योग्य कोड में इंजेक्ट करके और सभी एपीआई कॉल को इंटरसेप्ट करके किया जाता है। यह स्पष्ट है कि यदि आप मूल एपीआई को कॉल करते हैं या कर्नेल मोड में काम करते हैं, तो सैंडबॉक्स काम नहीं करता है। हालाँकि, वास्तव में काम करने वाली फ़ाइल के विश्लेषण के कारण, CWSandbox कभी-कभी अन्य सभी की तुलना में अधिक जानकारी प्रदान करता है।

नि: शुल्क ऑनलाइन संस्करण की व्यावसायिक सीमा की तुलना में कई सीमाएँ हैं:

• पीई फाइलों का केवल विश्लेषण संभव है। भुगतान किया गया संस्करण आपको BHO, ज़िप अभिलेखागार, Microsoft Office दस्तावेज़ों का विश्लेषण करने की अनुमति देता है।
• नि: शुल्क संस्करण में, केवल वेब इंटरफेस के माध्यम से डाउनलोड संभव है। भुगतान में हनीपोट, आदि के माध्यम से, विश्लेषण के लिए फाइलों पर टिप्पणी करना संभव है।
• भुगतान किए गए संस्करण में, आप आभासी वातावरण में या वास्तविक प्रणाली पर विश्लेषण करने का विकल्प चुन सकते हैं।
• वाणिज्यिक संस्करण में कोड निष्पादन के दौरान डाउनलोड की गई फ़ाइलों का विश्लेषण, सिस्टम फ़ोल्डर्स में निर्मित या अन्य प्रक्रियाओं में इंजेक्शन शामिल हैं।

Anubis
Anubis सबसे आम सैंडबॉक्स विकल्पों में से एक है, जिसे इसकी व्यापक रिपोर्ट सामग्री और प्रतिक्रिया की गति से लोकप्रिय बनाया गया है। इस प्रणाली की कुछ विशेषताएं:

• दुर्भावनापूर्ण फ़ाइल के बजाय एक URL निर्दिष्ट करने की क्षमता। इस स्थिति में, सिस्टम निर्दिष्ट URL को Internet Explorer में लोड करेगा और सिस्टम के व्यवहार का विश्लेषण करेगा।
• एक साथ परीक्षण फ़ाइल के साथ, आप अतिरिक्त पुस्तकालयों को डाउनलोड कर सकते हैं (ज़िप संग्रह में पासवर्ड के बिना या पासवर्ड "संक्रमित")। दुर्भावनापूर्ण गतिशील पुस्तकालयों के विश्लेषण के लिए यह तकनीक बहुत सुविधाजनक है (यदि यह उतना ही दिलचस्प है, तो कृपया टिप्पणियों में सदस्यता समाप्त करें, एक अलग लेख समर्पित करना संभव होगा)।
• रिपोर्ट विभिन्न स्वरूपों में प्रदान की जाती है - एचटीएमएल, एक्सएमएल, सादा पाठ, पीडीएफ, विश्लेषण के दौरान प्राप्त पूर्ण नेटवर्क डंप को डाउनलोड करना भी संभव है।
• फाइलें एसएसबी के माध्यम से एनूबिस पर अपलोड की जा सकती हैं (सुविधाजनक यदि एंटीवायरस आपको प्रॉक्सी पर ब्लॉक करता है)।

Joebox
और अंत में, वह जोबॉक्स, ग्रेट और भयानक। स्टीफन Buhlmann के काम के परिणामस्वरूप, मेरी राय में जोबॉक्स विश्लेषण के लिए सबसे शक्तिशाली प्रणाली है। इस प्रणाली की एक विशेषता यह है कि यह एकमात्र है जो फ़ाइल विश्लेषण के दौरान SSDT और EAT गुठली को स्वीकार करता है। एक ओर, यह शीर्ष-स्तरीय कॉल की थोड़ी मात्रा की जानकारी के नुकसान की ओर जाता है (उदाहरण के लिए, शेलएक्सक्यूट या विन्सेक का उपयोग करके नई प्रक्रियाएं बनाना), लेकिन दूसरी ओर, यह आपको दुर्भावनापूर्ण फ़ाइलों का अध्ययन करने की अनुमति देता है जो देशी एपीआई या कर्नेल मोड में काम करती हैं। इसके अलावा, जोबॉक्स निम्नलिखित विश्लेषण क्षमता प्रदान करता है:

• Joebox निष्पादन योग्य फ़ाइलों, DLL, कर्नेल ड्राइवरों, Microsoft Word दस्तावेज़ों, पीडीएफ फाइलों आदि के व्यवहार को डाउनलोड करने और अध्ययन करने का समर्थन करता है।
• आप एक रनटाइम वातावरण का चयन कर सकते हैं: विंडोज एक्सपी, विंडोज विस्टा या विंडोज 7।
• आप वर्चुअल वातावरण में या वास्तविक सिस्टम पर कोड निष्पादित करना चुन सकते हैं (बाद वाले मामले में, FOG- आधारित समाधान लागू किया जाता है)
• विश्लेषण के दौरान संचित नेटवर्क ट्रैफ़िक का एक पूरा डंप प्राप्त करना संभव है।
• जोबॉक्स के लिए नए सैंडबॉक्स नमूने को स्वचालित रूप से डाउनलोड करने के लिए लोकप्रिय अमून और नेप्सेश सैंडबॉक्स मॉड्यूल का समर्थन है।
• जोबॉक्स में दुर्भावनापूर्ण फ़ाइलों के लिए एक नियंत्रित निष्पादन वातावरण को व्यवस्थित करने के लिए AutoIT19 लिपियों का समर्थन है।

विशेष रूप से, मेरी राय में, स्क्रिप्टिंग भाषा का समर्थन है। परियोजना वेबसाइट में संभावित कार्यों और उनकी व्याख्या का विवरण शामिल है, मैं केवल सबसे लोकप्रिय लोगों को इंगित करूंगा।

1. मान लीजिए कि एक दुर्भावनापूर्ण कोड उस पथ की जांच करता है जो फ़ाइल स्थित है, और केवल तभी निष्पादित किया जाता है यदि यह पाया जाता है कि यह कहाँ होना चाहिए। यह एक सरल स्क्रिप्ट द्वारा हल किया गया है:
Script
_JBSetSystem(“xp”)
; Windows XP
_JBStartAnalysis()
;
_JBStartSniffer()
;
$NewFile = @SystemDir & “/” & “malware.exe”
FileCopy(“c:\malware.exe”, $NewFile, 1)
;
FileDelete(“c:\malware.exe”)
;
Run($NewFile, @TempDir, @SW_HIDE)
;
Sleep(120)
; 120
_JBStopSniffer()
;
_JBStopAnalysis()
;
EndScript

2. यदि आपको दुर्भावनापूर्ण लाइब्रेरी का सरल विश्लेषण करने की आवश्यकता है, तो आप निम्न स्क्रिप्ट का उपयोग कर सकते हैं (इस मामले में, नई इंटरनेट एक्सप्लोरर प्रक्रिया में एक इंजेक्शन का उपयोग किया जाता है):
Script
#include <IE.au3>
; IE
_JBSetSystem(“xp”)
_JBStartAnalysis()
_JBStartSniffer()
$NewFile = @SystemDir & “/” & “malware.dll”
FileCopy(“c:\malware.dll”, $NewFile, 1)
RegWrite(
“HKLM\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows”,
“AppInit_DLLs”, “REG_SZ”, “malware.dll”)
; AppInit_DLLs
$oIE = _IECreate(“http://www.sbrf.ru”)
;
Sleep(120)
; done with IE now
_IEQuit ($oIE)
_JBStopSniffer()
_JBStopAnalysis()
EndScript

उसी तरह, आप बीएचओ का विश्लेषण कर सकते हैं - बस रजिस्ट्री में आवश्यक कुंजी दर्ज करें। हालांकि, एक समस्या अक्सर उत्पन्न होती है: AppInit_DLLs केवल नई बनाई गई प्रक्रियाओं के लिए मान्य है, अगर इंजेक्शन explorer.exe में करने की आवश्यकता है तो क्या होगा? निम्नलिखित स्क्रिप्ट इसके लिए उपयुक्त है:
Script
Func KillProcess($process)
Local $hproc
Local $pid = ProcessExists($process)
If $pid = 0 Then
Return
EndIf
$hproc = DllCall(
“kernel32.dll”, “hwnd”, “OpenProcess”,
“dword”, BitOR(0x0400,0x0004,0x0001),
“int”, 0, “dword”, $pid)
If UBound($hproc) > 0 Then
If $hproc[0] = 0 Then Return
Else
Return
EndIf
$hproc = $hproc[0]
Local $code = DllStructCreate(“dword”)
$ret = DllCall(
“kernel32.dll”, “int”, “TerminateProcess”,
“hwnd”, $hproc, “uint”, DllStructGetData($code,1))
Return
EndFunc
_JBSetSystem(“xp”)
_JBStartAnalysis()
_JBStartSniffer()
$NewFile = @SystemDir & “/” & “malware.dll”
FileCopy(“c:\malware.dll”, $NewFile, 1)
RegWrite(
“HKLM\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Windows”,
“AppInit_DLLs”, “REG_SZ”, “malware.dll”)
KillProcess(“explorer.exe”)
; , winlogon.exe
Sleep(10000)
_JBStopSniffer()
_JBStopAnalysis()
EndScript

3. यदि आपको किसी विशिष्ट देश से नेटवर्क का उपयोग करने की आवश्यकता है, तो आप चल रहे जोकोब के वातावरण में प्रॉक्सी को कॉन्फ़िगर कर सकते हैं:
Script
_JBSetSystem(“xp”)
_JBStartAnalysis()
_JBStartSniffer()
$ProxyServer = “1.2.3.4:8080”
;
RegWrite(
“HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings”,
“ProxyServer”, “REG_SZ”, $ProxyServer)
RegWrite(
“HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings”,
“ProxyEnable”, “REG_DWORD”, 1)
;
_JBLoadProvidedBin()
Sleep(10000)
_JBStopSniffer()
_JBStopAnalysis()

बेशक, इस तरह के लचीलेपन की उपलब्धता और अवसरों का खजाना जोएबॉक्स को सबसे लोकप्रिय सैंडबॉक्स में से एक बनाता है - और यह इसका सबसे खराब पक्ष है। मुझे कभी-कभी विश्लेषण के परिणाम आने तक कई दिनों तक इंतजार करना पड़ता था। खैर, लेखक इस अद्भुत सैंडबॉक्स की अपनी प्रति खरीदने की पेशकश करते हैं, लेकिन काफी महंगा है। किसी विशेष कीमत पर फ़ाइलों के विश्लेषण के लिए अपनी खुद की प्रणाली का निर्माण कैसे करें - इस पर अगले लेख में चर्चा की जाएगी, अगर, निश्चित रूप से, हेब्रस्टोवो इस ओपस को मंजूरी देता है और मेरा कर्म पूरी तरह से पिघल नहीं करता है;)

अन्य ऑनलाइन सैंडबॉक्स के PS उदाहरण:

* बिटब्लज़
* कोमोडो इंस्टेंट मालवेयर एनालिसिस
* यूरेका
* नॉर्मन सैंडबॉक्स

धन्यवाद अनुस्मारक के लिए ahtox74 ।

UPD: Joebox ने अनिवार्य पंजीकरण शुरू किया: यदि आप मुफ्त में इस ऑनलाइन सैंडबॉक्स की सेवाओं का उपयोग करना चाहते हैं, तो info@joebox.org पर एक ईमेल भेजें, जिसमें निम्नलिखित जानकारी अंग्रेजी में दी गई है:
1. आपका नाम
2. पंजीकरण का उद्देश्य और जोबॉक्स पर आपको जो भी पता चलेगा उसका संक्षिप्त विवरण
3. अनुसंधान रिपोर्ट भेजने के लिए ई-मेल (यह आपके अनुरोध के पहले क्षेत्र में इंगित किया जाएगा)।

आवेदन जमा करने के बाद, वे वादा करते हैं कि वे निर्दिष्ट बॉक्स के लिए पहुंच खोल देंगे।

UPD-UPD: लेख का दूसरा भाग यहाँ है ।