Phân tích mã độc Windows cơ bản – Phần V

Xin chào các bạn, series phân tích mã độc windows cơ bản đã quay trở lại rồi đây, tiếp nối phần trước, khi chúng ta đã có một môi trường máy ảo an toàn và đầy đủ các công cụ hỗ trợ phân tích mã độc thì phần 5 này chúng ta sẽ cùng nhau phân tích động mã độc cơ bản nhé, bắt đầu ngay thôi!

Sử dụng các hệ thống sandbox​

Để vượt qua những hạn chế của phân tích tĩnh và đảm bảo hiệu quả trong việc nắm bắt chi tiết hành vi của mã độc, phân tích động thông qua việc sử dụng các hệ thống sandbox đã trở thành một công cụ quan trọng và hiệu quả.

Hệ thống sandbox là một môi trường ảo được tạo ra để chạy và theo dõi các chương trình hoặc phần mềm độc hại mà không làm ảnh hưởng đến hệ thống chính. Sandbox cho phép chúng ta theo dõi các hoạt động của mã độc mà không lo lắng về rủi ro tới hệ thống thực. Hiện nay có rất nhiều hệ thống sandbox từ miễn phí tới trả phí, đây đều là các công cụ đắc lực tự động thực thi mã độc, phân tích và tổng hợp báo cáo về các hành vi của mã độc. Một số hệ thống có thể kể tối như: Joe Sandbox, Anyrun, VMRay, Cuckoo sandbox, FireEye Sandbox, Hybrid Analysis, Sandboxie, Fortinet FortiSandbox…

Một số ưu điểm của sử dụng sandbox:

• An toàn & tự động: Mã độc được thực thi trong một môi trường cách mạng, ngăn chặn sự lan truyền và tác động đến hệ thống chính.
• Báo cáo chi tiết: Theo dõi mọi hành vi của mã độc từ việc gọi hàm, giao tiếp mạng, các tác động với hệ thống file, process, registry,… giúp xác định rõ ràng các tác động của mã độc. Thông tin trong báo cáo của các hệ thống này thường dễ hiểu và phù hợp giúp các nhà phân tích an ninh mạng có thể đưa ra biện pháp phòng ngừa, xử lý.

Nhưng sandbox cũng có những hạn chế khi phân tích động mã độc đó là:

• Phát hiện môi trường phân tích: Mã độc có thể phát hiện môi trường sandbox và thay đổi hành vi để tránh bị phân tích. Hoặc mã độc có thể sử dụng các cơ chế để lẩn tránh, VD sử dụng các kỹ thuật ngủ hoặc delay execution.
• Đối số thực thi không đúng: Một số sandbox không thể mô phỏng hoặc thực thi đúng mọi điều kiện môi trường.

Mỗi hệ thống sandbox đều có những ưu, nhược điểm khác nhau nhưng về cách thức hoạt động khá tương đồng nên tôi sẽ giới thiệu tới các bạn một cái tên đại diện đó là Cuckoo Sandbox.

• Thông tin cơ bản: Bao gồm các thông tin như tên tệp, kích thước tệp, hash.
• Điểm nổi bật: Tổng hợp về các điểm quan trọng và biểu hiện đặc trưng của mã độc.
• Signatures: Thông tin về các chữ ký của mã độc được phát hiện, các chữ ký liên quan đến hành vi của mã độc, yara hoặc của antivirus, virustotal.
  Screenshots: Ảnh chụp màn hình trong quá trình thực thi mã độc.

2. Static Analysis

• Chi tiết về các thuộc tính tĩnh của PE có nhiều ý nghĩa như section headers, PE complie time, strings, imports, exports, resources, strings, …
• Hashes: Tính toán các giá trị hash của tệp, bao gồm MD5, SHA1, SHA256.

3. Extracted Artifacts

• Dữ liệu trích xuất: Các tệp, hình ảnh, hay thông tin quan trọng khác được trích xuất từ quá trình phân tích.

4. Behavioral Analysis

• Hành vi của các tiến trình: Ghi lại mọi hoạt động của các tiến trình trong cây tiến trình khi mã độc được thực thi.
• Giao tiếp mạng: Địa chỉ IP, cổng và giao thức mà mã độc tương tác.
• APIs: Liệt kê các API hệ thống và arguments tương ứng mà mã độc sử dụng.

5. Network Analysis:

• Traffic Captured: Dữ liệu về lưu lượng mạng đã ghi lại trong quá trình thực thi.
• Địa chỉ IP: Liệt kê các địa chỉ IP mà mã độc kết nối.

6. Dropped Files:

• Danh sách các tệp tin mới được tạo ra bởi mã độc. Có thể xem thông tin hoặc tải về để phân tích kỹ hơn.

7. Dropped Buffers:

• Các mảng dữ liệu hoặc bộ nhớ đệm mà mã độc tạo ra trong quá trình thực thi, có thể bao gồm các buffer, shellcode…

8. Process Memory:

• Nội dung bộ nhớ của các tiến trình được ghi lại để phân tích chi tiết hơn.

Sử dụng các công cụ monitor hệ thống​

Một trong những công cụ giám sát hệ thống dành cho windows rất hữu ích khi sử dụng cho phân tích động mã độc đó là Process Monitor – Procmon. Công cụ này có thể giám sát và ghi lại các hoạt động đối với hệ thống file, registry, process, thread, network.

Ngoài ra đối với từng đối tượng cụ thể, các bạn có thể sử dụng các công cụ khác như:

• Regshot – Công cụ lưu lại và so sánh các thay đổi của registry trước và sau khi thực thi mã độc.
• Wireshark – Công cụ bắt và ghi lại nhật ký lưu lượng mạng không thể thiếu trong “tủ đồ”.