सैंडबॉक्स का उपयोग करके फ़ाइलों की हानिकारकता का आकलन: भाग 2. विश्लेषण ऑफ़लाइन

इसलिए, पहले हमने फाइल विश्लेषण के लिए नेटवर्क पर उपलब्ध मुख्य संसाधनों के साथ मुलाकात की ।

हालांकि, व्यवहार में, ऐसे कुछ मामले हैं जहां ऑनलाइन सैंडबॉक्स का उपयोग समस्या को हल करने की अनुमति नहीं देता है। यह कई कारकों के कारण हो सकता है, उदाहरण के लिए:

- इंटरनेट की सुविधा मुश्किल है
- ऑनलाइन सैंडबॉक्स वर्तमान में अतिभारित हैं, और विश्लेषण समय-महत्वपूर्ण है
- ऑनलाइन सैंडबॉक्स में निष्पादन अध्ययन की गई फ़ाइल द्वारा अवरुद्ध है
- विश्लेषण के दौरान फ़ाइल निष्पादन मोड की अधिक ठीक-ठीक ट्यूनिंग आवश्यक है, उदाहरण के लिए, लॉन्च के क्षण से देरी समय में वृद्धि।

इस मामले में, समस्या का एक ऑफ़लाइन समाधान बचाव में आता है।

लगभग किसी भी सैंडबॉक्स के काम का सार सिस्टम में किए गए परिवर्तनों के वर्चुअलाइजेशन के साथ नियंत्रित वातावरण में कार्यक्रम के निष्पादन को सीमित करना है। बेशक, इस समस्या का आदर्श समाधान स्नैपशॉट पर वापस रोल करने की क्षमता के साथ वर्चुअल मशीन पर कोड निष्पादित करना होगा, या भौतिक मशीन पर सिस्टम के पूर्ण सेक्टर-बाय-सेक्टर बैकअप के साथ उसी तरह से रोल करने की क्षमता के साथ। और यह बिल्कुल सच है - जिस तरह से दुनिया भर में विश्लेषक काम करते हैं, उसी तरह ऑनलाइन सैंडबॉक्स जो हमने पहले ही समीक्षा कर चुके हैं, उसी तरह से काम करते हैं। हालांकि, इस मामले में, सिस्टम, रजिस्ट्री आदि में परिवर्तन का अध्ययन करने के लिए मेमोरी डंप को मैन्युअल रूप से निकालना और विश्लेषण करना आवश्यक है। हम कई समाधानों पर विचार करेंगे जो इस काम को स्वचालित रूप से करते हैं। खैर, या लगभग स्वचालित रूप से :)

हमारी समीक्षा में, हम सरल से जटिल, सुलभ से कठिन और स्वचालित से मैनुअल की ओर बढ़ेंगे। यह मुझे लगता है कि इस दृष्टिकोण के साथ, जो लोग ऊब गए हैं वे छोड़ देंगे और कुछ भी महत्वपूर्ण नहीं खो देंगे :)

बस्टर सैंडबॉक्स एनालाइज़र + सैंडबॉक्सआई कॉम्प्लेक्स

सैंडबॉक्स शायद जनता से उपलब्ध सबसे होनहार सैंडबॉक्स कार्यक्रमों में से एक है। यह कई कारकों के कारण है, जिनमें से कम से कम लेखक द्वारा कार्यक्रम का निरंतर समर्थन और अद्यतन नहीं है, साथ ही लगभग पूर्ण कार्यक्षमता के साथ एक मुफ्त उपयोग के मामले की उपलब्धता (किसी भी मामले में, यह हमारे उद्देश्यों के लिए पर्याप्त होगा)। सबसे महत्वपूर्ण बात, SandboxIE प्लग-इन का समर्थन करता है जो कार्यक्षमता का विस्तार करता है।

ऐसा ही एक प्लगइन बस्टर सैंडबॉक्स एनालाइजर या बीएसए है। यह प्लगइन बहुत पहले से चर्चा की गई CWSandbox की तरह काम करता है - अध्ययन के तहत प्रक्रिया के पता स्थान में एक गतिशील पुस्तकालय एम्बेड करता है, जिससे आप निष्पादन के दौरान एपीआई कॉल को ट्रैक कर सकते हैं। इसके अलावा, कार्यक्रम आपको नेटवर्क गतिविधि की निगरानी करने, संशोधित फ़ाइलों और अन्य उपयोगी चीजों का विश्लेषण करने की अनुमति देता है।

इस प्रणाली के संचालन का मूल्यांकन करने के लिए, हम पहले इसका निर्माण करते हैं। इसके अलावा, आपको सैंडबॉक्स पर इन दो ऐड-ऑन को डाउनलोड करना होगा: ब्लॉक प्रोसेस एक्सेस और एंटीडेल । ये प्लग एक तरफ, विश्लेषण प्रक्रिया से सैंडबॉक्स के बाहर अन्य प्रक्रियाओं की उपस्थिति को छिपाने के लिए , और दूसरी ओर, काम के दौरान फ़ाइलों को हटाने से रोकने के लिए (कुछ ड्रॉपर का विश्लेषण करते समय उपयोगी) की अनुमति देते हैं।

अगला:

1. SandboxIE स्थापित करें।

2. सैंडबॉक्स के माध्यम से एक अतिरिक्त सैंडबॉक्स बनाएं - एक नया सैंडबॉक्स बनाएं । मैंने इसे बीएसए कहा - भले ही आप सादगी के लिए समान हों।

3. प्रोग्राम विंडो की सूची में बीएसए सैंडबॉक्स पर राइट-क्लिक करें और सैंडबॉक्स सेटिंग्स चुनें।

4. महत्वपूर्ण:
व्यवहार - खिड़की के चारों ओर प्रदर्शन सीमा - लाल का चयन करें
वसूली । - तत्काल वसूली - daw को हटा दें और आम तौर पर सुनिश्चित करें कि वसूली में एक भी फ़ोल्डर नहीं है।
डिलीट - डिलीट के बारे में सभी डाव को हटा दें।
प्रतिबंध - इंटरनेट का उपयोग - जब तक "कोई प्रोग्राम इंटरनेट तक नहीं पहुंच सकता" तक सभी प्रोग्राम हटा दें। इस विकल्प को याद रखें - आपको कुछ मैलवेयर के लिए एक्सेस खोलने की आवश्यकता होगी, लेकिन ध्यान दें कि इस मामले में होस्ट मशीन से सभी पासवर्ड और जानकारी हमलावर पर छोड़ दी जाएगी।
प्रतिबंध - रन और रन एक्सेस - सभी की अनुमति दें।
निम्न-स्तरीय पहुंच और हार्डवेयर - सभी जैकडॉ को हटा दें। यह महत्वपूर्ण है, अन्यथा टीडीएसएस, मेब्रेटिक्स, मेब्रोट जैसे निम्न-स्तरीय वायरस सिस्टम में सैंडबॉक्स से बाहर क्रॉल करेंगे।
अन्य विकल्पों को डिफ़ॉल्ट रूप से छोड़ा जाना चाहिए। भविष्य में, आप उन्हें अपने स्वाद के लिए अनुकूलित कर सकते हैं - वहां सब कुछ पर्याप्त स्पष्ट है।

5. उस फ़ोल्डर में जहां आपने सैंडबॉक्सी स्थापित किया था, बस्टर सैंडबॉक्स एनालाइज़र फ़ोल्डर बनाएं, जहां हम ऊपर डाउनलोड की गई सभी चीजों को अनपैक करते हैं।

6. LOG_API.DLL फ़ाइल को आप जो भी चाहते हैं उसका नाम बदला गया है। मैंने इसे LAPI.DLL कहा। इसके अलावा HideDriver.sys का नाम बदलें।

7. मुख्य SandboxIE विंडो में, कॉन्फ़िगर कॉन्फ़िगर करें - कॉन्फ़िगरेशन का चयन करें । खोले गए टेक्स्ट डॉक्यूमेंट में, हम बीएसए सेक्शन को इन अक्षरों के नीचे तुरंत खोजते हैं जो हम जोड़ते हैं:

InjectDll=C:\Program Files\SandboxIE\Buster Sandbox Analyzer\sbiextra.dll
InjectDll=C:\Program Files\SandboxIE\Buster Sandbox Analyzer\antidel.dll
InjectDll=C:\Program Files\SandboxIE\Buster Sandbox Analyzer\LAPI.dll
OpenWinClass=TFormBSA

आपका मार्ग, निश्चित रूप से, भिन्न हो सकता है। लेकिन इंजेक्शन वाले पुस्तकालयों का क्रम ऐसा होना चाहिए !

अब GlobalSettings अनुभाग और विशेष रूप से FileRootPath पैरामीटर पर ध्यान दें:

FileRootPath=C:\Sandbox\%SANDBOX%
(आपका भिन्न हो सकता है)।

इसका अर्थ याद रखें।

8. मूल पथ के अनुसार पाठ फ़ाइल को सहेजें। मुख्य SandboxIE विंडो में, कॉन्फिगर - रीलोड कॉन्फ़िगरेशन चुनें ।

9. मुख्य SandboxIE विंडो में, चयन करें: कॉन्फ़िगर करें - Windows Explorer में एकीकरण - SandboxIE प्रबंधन लॉन्च करें - जब प्रोग्राम सैंडबॉक्स में शुरू होता है और "सैंडबॉक्स में चलाएँ" क्रियाएं - फ़ाइलों और फ़ोल्डरों के लिए "सैंडबॉक्स में चलाएँ" संदर्भ मेनू आइटम जोड़ें।

10. बस्टर सैंडबॉक्स विश्लेषक (मैन्युअल रूप से, bsa.exe चलाकर उसी नाम के फ़ोल्डर से चलाएं।

11. विकल्प चुनें - विश्लेषण मोड - मैनुअल और विकल्प - प्रोग्राम विकल्प - विंडोज शेल इंटिगेशन - राइट-क्लिक करें क्रिया "बीएसए चलाएं"।

काम के लिए सब कुछ तैयार है।

इसका उपयोग कैसे करें?

1. निवासी एंटीवायरस (यदि कोई हो) को अक्षम करें।

2. अध्ययन के तहत प्रक्रिया पर माउस को इंगित करें और रन बीएसए पर राइट-क्लिक करें। BSA विंडो खुलती है।

3. सुनिश्चित करें कि फ़ोल्डर जो FileRootPath SandboxIE पैरामीटर (ऊपर देखें) के मूल्य से मेल खाता है, सैंडबॉक्स फ़ोल्डर में लाइन की जांच करने के लिए निर्दिष्ट किया गया है, केवल BSA को% SANDBOX% के बजाय इंगित किया गया है। मेरे मामले में, पैरामीटर के साथ

FileRootPath=C:\Sandbox\%SANDBOX%

बीएसए में खड़ा होना चाहिए

C:\Sandbox\BSA

4. प्रारंभ विश्लेषण पर क्लिक करें।

5. अध्ययन के तहत प्रक्रिया में माउस को इंगित करें और सैंडबॉक्स में रन पर राइट-क्लिक करें। सैंडबॉक्स की प्रस्तावित सूची में, बीएसए का चयन करें।

वह सब है। प्रक्रिया जाएगी। आप बीएसए में एपीआई कॉल का एक लॉग देखेंगे और मुख्य सैंडबॉक्साई विंडो में सक्रिय प्रक्रियाएं करेंगे। कभी-कभी यह प्रक्रिया समाप्त हो जाती है, फिर बीएसए क्लिक फिनिश एनालिसिस में, कभी-कभी आपको इसे सक्रिय बीएसए सैंडबॉक्स फिनिश प्रोग्राम पर राइट-क्लिक करके सैंडबॉक्स (उदाहरण के लिए, फ़ाइल इन्फैक्टर के लिए) संलग्न करना होगा।

पूरा होने पर, बीएसए सिस्टम में बदलाव पर एक विस्तृत रिपोर्ट जारी करेगा; आप दर्शक के माध्यम से अन्य रिपोर्ट भी देख सकते हैं। यदि आप सिस्टम में WinPcap डालते हैं, तो आप सैंडबॉक्स से पैकेट को इंटरसेप्ट भी कर सकते हैं, हालाँकि यह बहुत अच्छी तरह से वहाँ व्यवस्थित नहीं है, उदाहरण के लिए, यूडीपी पैकेट का कोई वैयक्तिकरण नहीं है। लेकिन अगर आप वास्तव में चाहते हैं, तो आप कर सकते हैं, लेकिन साथ ही साथ मेजबान सिस्टम पर आपको सभी नेटवर्क अनुप्रयोगों, विशेष रूप से टॉरेंट को डूबना चाहिए।

काम के बाद, दाएं माउस बटन के साथ बीएसए सैंडबॉक्स पर क्लिक करके, आप सामग्री देख सकते हैं और काम के दौरान प्रक्रिया द्वारा बनाई गई या संशोधित सभी फाइलों की जांच कर सकते हैं।

बीएसए लॉग और सैंडबॉक्स फाइलें एक नई शोध प्रक्रिया की अगली शुरुआत तक संग्रहीत की जाती हैं।

यह ध्यान दिया जाना चाहिए कि अध्ययन की गई फ़ाइल द्वारा सिस्टम में किए गए परिवर्तनों का प्रत्यक्ष विश्लेषण संभव है। यह देखते हुए कि आभासी रजिस्ट्री को C: \ Sandbox \ % SANDBOX% \ RegHive द्वारा संग्रहीत किया जाता है, इसे इस कमांड स्क्रिप्ट के साथ "समझने योग्य" रूप में अनुवाद करना बेहद सरल है:

REG LOAD HKLM\uuusandboxuuu C:\Sandbox\ DefaultBox \RegHive
REG EXPORT HKLM\uuusandboxuuu C:\Sandbox\sandbox.reg
REG UNLOAD HKLM\uuusandboxuuu

बस ध्यान रखें कि "डिफ़ॉल्टबॉक्स" सभी के लिए अलग-अलग होगा - लेकिन हमने पहले ही इसके बारे में ऊपर बात की है।

परिणामी सैंडबॉक्स। Reg फ़ाइल में रजिस्ट्री में किए गए सभी परिवर्तन शामिल होंगे जिनका विश्लेषण करना आसान है।

एक प्रक्रिया में गतिशील पुस्तकालयों को इंजेक्ट करने की सैंडबॉक्सी की क्षमता को दुर्भावनापूर्ण कोड द्वारा प्रभावी रूप से उपयोग किया जा सकता है जिसे पीई निष्पादन योग्य फ़ाइल के रूप में निष्पादित नहीं किया जाता है, लेकिन एक पुस्तकालय के रूप में प्रक्रिया पते के स्थान पर इंजेक्ट किया जाता है या सेवा के रूप में पंजीकृत होता है। लेकिन यह पूरी तरह से अलग और कठिन बातचीत है।

ZeroWine

दुर्भावनापूर्ण कोड के अध्ययन को स्वचालित करने के लिए सबसे आम तरीकों में से एक पायथन स्क्रिप्ट का उपयोग करके लिनक्स सिस्टम पर कई संचालन और उपयोगिताओं के निष्पादन को संयोजित करना है। यह वही है जो ज़ोक्सिन कोरेट ने अपनी ज़ीरोइन परियोजना बनाते समय किया था। ZeroWine एक QEmu वर्चुअल मशीन छवि है (जो कि, हालांकि, आसानी से VBox और VMWare सहित अन्य प्रणालियों में परिवर्तित की जा सकती है), डेबियन के आधार पर बनाई गई है। दुर्भावनापूर्ण फ़ाइल को वेब इंटरफ़ेस के माध्यम से डाउनलोड किया जा सकता है, जिसके परिणामस्वरूप यह शराब के वातावरण में चलता है, इसके संचालन को कई उपयोगिताओं द्वारा नियंत्रित किया जाता है जो पायथन स्क्रिप्ट द्वारा स्वचालित हैं। परिणामस्वरूप, उपयोगकर्ता कमांड, प्रोसेस मेमोरी डंप, नेटवर्क पैकेट के अवरोधन आदि के बारे में जानकारी प्राप्त कर सकता है।

ZeroWine प्रोजेक्ट का एक और "चेहरा" ZeroWine-tryouts है ? जिसने कई अतिरिक्त सुविधाएँ पेश कीं।

दुर्भाग्य से, वाइन का उपयोग पूरी तरह से एक मैलवेयर वातावरण नहीं बनाता है जो विंडोज से मेल खाता है। इसके परिणामस्वरूप, कोड निष्पादन पूरी तरह से अलग हो सकता है, और कभी-कभी यह बस नहीं हो सकता है। लेखक खुद अपने कार्यक्रम में कई कमियों को इंगित करता है, साथ ही अध्ययन के तहत प्रक्रिया के किनारे से शराब के वातावरण में निष्पादन का पता लगाने का एक आसान तरीका है। और लेखक की वेबसाइट पर स्क्रीनशॉट पर प्रस्तुत लॉग्स शायद ही संक्रमण तंत्र को समझने और उपचार प्रक्रिया की योजना बनाने में मदद कर सकते हैं, बल्कि, वे विश्लेषक को मैलवेयर के खिलाफ एक हस्ताक्षर या व्यवहार संरक्षण के निर्माण के लिए रुचि लेंगे।

अपने दम पर, मैं यह जोड़ना चाहता हूं कि भले ही पिछले साल दिसंबर में ज़ीरोवाइन को अपडेट किया गया था, लेकिन मुझे व्यक्तिगत रूप से पुराने (2009 से) ज़ीरोइन-ट्राईआउट अधिक पसंद आया - शायद अधिक लचीली सेटिंग्स और स्कैनिंग के नियंत्रण के कारण, या शायद इसलिए क्योंकि यह मेरे साथ शुरू हुआ था। सामान्य, नए संस्करण के विपरीत :)

वितरित विश्लेषण प्रणाली

ये एक विश्लेषणात्मक प्रकृति के सबसे गंभीर और जटिल निर्णय हैं। आमतौर पर, वितरित सिस्टम एक लिनक्स सिस्टम है जो सर्वर के रूप में कार्य करता है, एक संक्रमित विंडोज सिस्टम से प्राप्त डंप और लॉग को स्वीकार करता है और संसाधित करता है। इस तरह के एक तंत्र को वर्चुअल मशीन, या लिनक्स होस्ट के साथ एक आभासी विंडोज अतिथि के इंटरैक्शन के ढांचे में बनाया जा सकता है। MINIBIS को अंतिम सिद्धांत पर बनाया गया है - आप उबंटू के वातावरण में वर्चुअल विंडोज एक्सपी चलाने के आधार पर ऐसी प्रणाली को तैनात करने के लिए आवश्यक रूप से सब कुछ डाउनलोड कर सकते हैं। एक और दिलचस्प दृष्टिकोण एक हाइपरविजर का उपयोग करना है, जैसा कि ईथर परियोजना में है ।

हालांकि, यदि आप इस मुद्दे को गंभीरता से लेने का निर्णय लेते हैं, तो दो भौतिक मशीनों के आधार पर अपना स्वयं का सिस्टम बनाना सबसे सही तरीका है। इस स्थिति में, लिनक्स सिस्टम आमतौर पर नेटवर्क कनेक्शन और सूचना प्रसंस्करण टर्मिनल स्टेशन के एमुलेटर के रूप में काम करता है, और विंडोज एक जांच आधार के रूप में जिस पर दुर्भावनापूर्ण कोड निष्पादित किया जाता है। ट्रूमैन जैसे तैयार किए गए समाधान, साथ ही लिनक्स सिस्टम के उदाहरण, जैसे कि रेमनक्स और सिफ्ट वर्कस्टेशन, नेटवर्क पर स्वतंत्र रूप से वितरित किए जाते हैं।

बेशक, आप अपने पसंदीदा लिनक्स वितरण के आधार पर किसी भी समान प्रणाली को स्वयं बना सकते हैं (मैं उबंटू की अत्यधिक अनुशंसा करता हूं, लेकिन इसलिए नहीं कि मैं इसका प्रशंसक हूं, लेकिन क्योंकि दुर्भाग्य से विशेष सॉफ्टवेयर डेबियन के तहत विकसित किया गया था, और अब लगभग हमेशा उबंटू के तहत), इसे जोड़ते हुए। आवश्यक सॉफ्टवेयर और स्क्रिप्ट और ऊपर वर्णित छवि में समानता या किसी की अपनी समझ के अनुसार। हालांकि, इस तरह के सिस्टम के निर्माण का वर्णन बेहद कठिन और समय लेने वाला है, इसलिए मैं परियोजनाओं के लिए कई लिंक प्रदान करूंगा जो ऐसे काम में दिलचस्प और उपयोगी हो सकते हैं।

C / C और डाउनलोड मॉड्यूल के साथ संचार करने के लिए उपयोग किए जाने वाले http / https ट्रैफ़िक को इंटरसेप्ट करने और उनका विश्लेषण करने के लिए अदृश्य प्रॉक्सी सर्वर। एक उदाहरण बर्प स्वीट है ।
- इंटरनेट सिम्युलेटर, उदाहरण के लिए इनसेटिम ।
- केंद्रीयकृत छवि पुनर्प्राप्ति प्रणाली, जैसे FOG ।
- मेमोरी डंप का विश्लेषण करने के लिए एक सिस्टम, यहां का सबसे अच्छा IMHO वोलेटिलिटी फ्रेमवर्क है ।
क्लैमव एंटी - वायरस सिस्टम का पता लगाने वाले मैलवेयर के वर्गीकरण को स्वचालित करने के लिए। मैं जानबूझकर वाणिज्यिक एंटीवायरस नहीं लिखता हूं क्योंकि इस विश्वास के कारण कि क्लैमाव कूलर है (जो गलत है), लेकिन क्लैमाव में अपने स्वयं के हस्ताक्षर जोड़ने की संभावना के कारण, जो कि व्यावसायिक संस्करणों में उपलब्ध नहीं है। चरम मामलों में, आप उसी उद्देश्य के लिए YARA का उपयोग कर सकते हैं।
- जेएस, पीडीएफ, फ्लैश, जावा स्क्रिप्ट का विश्लेषण और विघटित करने के लिए उपयोगिताओं, विंडोज फाइल सिस्टम को पार्स करना, फ़ाइल हस्ताक्षर और अनपैकिंग के साथ काम करना - यह सब नेटवर्क पर बड़ी संख्या में है, यह सब कुछ वर्णन करना असंभव है और हमेशा स्वाद का मामला है। विशेष रूप से, ऐसी कई उपयोगिताओं का उल्लेख REMnux परियोजना की वेबसाइट पर किया गया है और इसमें शामिल हैं।

इस आशावादी नोट पर, मैं समाप्त करता हूं (?) यदि आप अभी भी प्रश्न पूछते हैं, तो - मुझे टिप्पणियों में सदस्यता समाप्त करने में खुशी होगी। उन लोगों के लिए धन्यवाद जिन्होंने इसे सहन किया है और इसे अंत तक पढ़ा है :)