合天恶意流量分析一

合天恶意流量分析一

首先我们查看数据包，发现有很多包，没有头绪，就先查看告警日志

第一条

收到whatismyaddress.com的请求

这是一个正常流量，是查看我们的出网端口的ip地址

第三条

是一个FTP stor的命令

这个命令是用于存储文件到服务器上，这里提示的是连接到外部网络，所以可以推测，如果存在恶意软件的话就是通过ftp协议将数据传输到他的外网服务器上

第四条

是一个Hawkeye Keylogger的一个木马

用键盘记录器发送数据

---

所以通过以上分析，可以使用ftp过滤协议，查看，如图

第一条显示的是proftpd，这是一个ftp服务的后端软件，其后面跟随着一个域名，是000webhost.com，但是没有什么有用的信息
根据之前的分析，恶意软件使用的是ftp stor命令，所以可以根据常用的几个进行过滤，如：USER,PASS,STOR，过滤命令如下

ftp.request.command eq USER or ftp.request.command eq PASS or ftp.request.command eq STOR

其中source是我们的内网地址，destination是外网地址，发现外网地址一直在变化

这里变动的原因
是攻击者使用的是免费的虚拟主机，所以，当他更新页面或者传送数据的时候会导致自动更换ip

---

因为数据是有cookie，所以会涉及到他ftp的一个数据信道，所以使用ftp-data进行过滤

然后选中第一条，跟踪他的tcp流

发现这是一个图像格式的文件

再看看其他的tcp流，发现有一个txt文件

上面有操作系统的平台，版本，系统信息，ip地址等等，是一个密码窃取的功能，窃取了谷歌邮箱的地址和密码
主机名：BREAUX-WIN7-PC

用户名：Adriana.breaux

MAC地址：84:8f:69:09:86:c0

Ip地址：10.0.0.227

还有一个jpeg格式的文件，然后将它保存为原始数据

是一个桌面截屏

---

下面就是IOC
先用ftp or ftp-data过滤完整的ftp协议

命令端口一般都是21

首先看第一个外网ip：145.14.145.4

受害者机器向145.14.145.4发出PASV
在715到744之间都是命令端口通信的流量。

所以此时的IOC是

Ip:145.14.145.4 port:21 url:000.webhost.com

745开始是通过被动模式连接后进行数据传输了
随便找一条查看dst port为37280，即此时145.14.145.4使用的数据端口是37280
所以第二条IOC为

Ip:145.14.145.4 port:37280 url:000webhost.com

同理，第二个ip：145.14.144.10
从839到858，都是PASV
命令端口的通信流量 IOC为

Ip:145.14.144.10 port:21 000webhost.com

数据端口通信流量 IOC为

Ip:145.14.144.10 port:40651 url:000webhost.com

从887开始，切换了端口
所以IOC为

Ip:145.14.144.10 port:47434 url:000webhost.com

下面都同理

总结

2019年5月2日21点36分，Adriana.breaux的windows主机被Hawkeye Keylogger恶意软件感染

细节：

主机名：BREAUX-WIN7-PC

用户名：Adriana.breaux

MAC地址：84:8f:69:09:86:c0

Ip地址：10.0.0.227

IOC:

Ip:145.14.145.4 port:21 url:000.webhost.com

Ip:145.14.145.4 port:37280 url:000webhost.com

Ip:145.14.144.10 port:21 url:000webhost.com

Ip:145.14.144.10 port:40651 url:000webhost.com

Ip:145.14.144.10 port:47434 url:000webhost.com

Ip:145.14.145.99 port:21 url:000webhost.com

Ip:145.14.145.99 port:36091 url:000webhost.com

Ip:145.14.145.99 port:35396 url:000webhost.com。