合天恶意流量分析八

你的任务：
找出哪个电子邮件用于感染哪台计算机。毕竟，这有多难？

先来看MARCUS的

先使用http.request过滤

可以看到主要有两个可疑的地方：

185.165.29.36—GET /trolls.jpg

myexternalip.com—GET /raw

先追踪第一个tcp流看看
猜测这种行为是一些恶意软件典型的行为—从某个服务器下载一个可执行恩建然后在受害者的主机上执行

再看第二个
发现也没有user-agent

再看看有没有其他异常的tcp连接，可以先过滤出tcp syn包

可以看到在异常流量之间存在着443,9001端口的流量

https常会走443，tor常会走9001，也就是说，这两个端口的流量可能是https/ssl/tls加密过的

所以使用ssl.handshake.extensions_server_name作为过滤条件

发现了一些奇怪的sever name

将这个数据包上传到virustotal分析，看到suricata的结果

下面看marion

发现.top域名，进行搜索

这个域名与Cerber有关

将其上传到virustoal看看分析结果
可以看到有针对Cerber,Kovter以及其他恶意软件比如JS或WSF下载器等的告警日志

所以我们推测GET /countet?*的流量是JS/WSF文件下载器的链接

而那个top域名是Cerber勒索软件使用的

下面看邮件
其中一个邮件解压后得到一个js脚本
使用文本编辑器打开

通过其hash去搜索引擎看看

在reverse.it看到其通信特征

这与marion的特征很像

在reverse.it分析出的http流量中看到与marion的也很相似，相比于上一封邮件，这次的js文件的流量的目的ip与marion数据包中的都是相同的，所以我们推测正是这封邮件使得marion的电脑受到感染

发现一封求职信

根据hash值搜索
可以在revese.it中看到其通信特征
这与marcus数据包中/trolls.jpg那条流量的ip完全相同，所以可以确定该邮件导致marcus电脑受到感染。
综上所述，答案如下：

下面的邮件感染了Marcus’s 电脑

Date: 2017-04-17 at 21:55 UTC

From: “see shenandoah memorial hospital” mautzel1982@t-online.de

To: dunhambrothers@dunhamhillsmortuary.com

主题: Hi

附件: see shenandoah memorial hospital.doc

下面的邮件感染Marion’s 电脑:

Date: 2017-04-08 at 12:20 UTC

From: privileges@ns3.logomotion-serveur.com

To: dunhambrothers@dunhamhillsmortuary.com

主题: Package Delivery Notification

附件: FedEx-Parcel-ID-S0JM7T30.zip