合天恶意流量分析一
首先我们查看数据包,发现有很多包,没有头绪,就先查看告警日志
第一条
收到whatismyaddress.com的请求
这是一个正常流量,是查看我们的出网端口的ip地址
第三条
是一个FTP stor的命令
这个命令是用于存储文件到服务器上,这里提示的是连接到外部网络,所以可以推测,如果存在恶意软件的话就是通过ftp协议将数据传输到他的外网服务器上
第四条
是一个Hawkeye Keylogger的一个木马
用键盘记录器发送数据
所以通过以上分析,可以使用ftp过滤协议,查看,如图
第一条显示的是proftpd,这是一个ftp服务的后端软件,其后面跟随着一个域名,是000webhost.com,但是没有什么有用的信息
根据之前的分析,恶意软件使用的是ftp stor命令,所以可以根据常用的几个进行过滤,如:USER,PASS,STOR,过滤命令如下
ftp.request.command eq USER or ftp.request.command eq PASS or ftp.request.command eq STOR
其中source是我们的内网地址,destination是外网地址,发现外网地址一直在变化
这里变动的原因
是攻击者使用的是免费的虚拟主机,所以,当他更新页面或者传送数据的时候会导致自动更换ip
因为数据是有cookie,所以会涉及到他ftp的一个数据信道,所以使用ftp-data进行过滤
然后选中第一条,跟踪他的tcp流
发现这是一个图像格式的文件
再看看其他的tcp流,发现有一个txt文件
上面有操作系统的平台,版本,系统信息,ip地址等等,是一个密码窃取的功能,窃取了谷歌邮箱的地址和密码
主机名:BREAUX-WIN7-PC
用户名:Adriana.breaux
MAC地址:84:8f:69:09:86:c0
Ip地址:10.0.0.227
还有一个jpeg格式的文件,然后将它保存为原始数据
是一个桌面截屏
下面就是IOC
先用ftp or ftp-data过滤完整的ftp协议
命令端口一般都是21
首先看第一个外网ip:145.14.145.4
受害者机器向145.14.145.4发出PASV
在715到744之间都是命令端口通信的流量。
所以此时的IOC是
Ip:145.14.145.4 port:21 url:000.webhost.com
745开始是通过被动模式连接后进行数据传输了
随便找一条查看dst port为37280,即此时145.14.145.4使用的数据端口是37280
所以第二条IOC为
Ip:145.14.145.4 port:37280 url:000webhost.com
同理,第二个ip:145.14.144.10
从839到858,都是PASV
命令端口的通信流量 IOC为
Ip:145.14.144.10 port:21 000webhost.com
数据端口通信流量 IOC为
Ip:145.14.144.10 port:40651 url:000webhost.com
从887开始,切换了端口
所以IOC为
Ip:145.14.144.10 port:47434 url:000webhost.com
下面都同理
总结
2019年5月2日21点36分,Adriana.breaux的windows主机被Hawkeye Keylogger恶意软件感染
细节:
主机名:BREAUX-WIN7-PC
用户名:Adriana.breaux
MAC地址:84:8f:69:09:86:c0
Ip地址:10.0.0.227
IOC:
Ip:145.14.145.4 port:21 url:000.webhost.com
Ip:145.14.145.4 port:37280 url:000webhost.com
Ip:145.14.144.10 port:21 url:000webhost.com
Ip:145.14.144.10 port:40651 url:000webhost.com
Ip:145.14.144.10 port:47434 url:000webhost.com
Ip:145.14.145.99 port:21 url:000webhost.com
Ip:145.14.145.99 port:36091 url:000webhost.com
Ip:145.14.145.99 port:35396 url:000webhost.com。