CaptureBAT初体验

今天看看Colin Hardy大佬的youtube视频Five Awesome Tools to perform Behavioural Analysis of Malware，他介绍了5个工具，之前准备看但是没时间看的。
1. Process Hacker (https://processhacker.sourceforge.io/)
2. Process Monitor (ProcMon) (https://docs.microsoft.com/zh-cn/sysinternals/downloads/procmon)
3. CaptureBat (https://www.honeynet.org/node/315),论文：a_tool_for_behavioral_analysis_of_applications_and_documents.pdf”>http://dfrws.org/sites/default/files/session-files/paper-capture-_a_tool_for_behavioral_analysis_of_applications_and_documents.pdf
4. Microsoft Network Monitor (https://blogs.technet.microsoft.com/n...)
5. Autoruns (https://technet.microsoft.com/en-us/s...)
这几天闲了一下，就看看。

Process Hacker2

Process Hacker2就不说了，必备的，查看进程列表，查找内存里的strings。不过一般还是分析恶意软件的时候大概看看执行的过程，不过Process Hacker2不会记录下这个过程。想要具体看看某个恶意软件执行的时候具体创建了哪些进程、修改了哪些注册表、进行了哪些网络操作等等就需要Process Monitor(简称ProcMon)了。

Process Monitor

对于Process Monitor，之前同学教我分析恶意代码的时候也饿用到过，但是用的不是很熟。这次看视频的过程中学习到了，如果只想看某个时间段进程创建的情况，就可以在filter里面加上一个『Operation』 is 『Process Create』的选项就可以了。很方便，可以看到双击某个恶意软件之后创建一系列进程的过程。但是如果碰到恶意软件在运行过程中，删掉自身或者中间某个产生的文件的情况时，就需要CaptureBat排上用场了。

CaptureBat

CaptureBat是这次看视频的主要的新收获。终于找到一个可以补充Process Monitor而且有类似Wireshark功能的工具了！

安装

在XP(x86)和Win7(x86_64)下都尝试了一下安装。

Win7(x86_64)

结果Win7不能抓，总是提示FileMonitor: WARNING - Filter driver not loaded (error: 800704fb)，然后尝试5次之后，开始抓，结果我做了一些操作，虽然它也保存到了一个zip文件里，但是它并没有抓到我删除掉的文件。

搜了一下也没搜到什么解决方案。但是为什么Win7上用不了，可能是因为64位的缘故？

XP(x86)

XP的话，开始安装出现错误，后来发现原来在官网就提到了，XP需要安装Microsoft Visual C++ 2005 Redistributable。
https://download.microsoft.com/download/9/1/4/914851c6-9141-443b-bdb4-8bad3a57bea9/vcredist_x64.exe
https://download.microsoft.com/download/d/3/4/d342efa6-3266-4157-a2ec-5174867be706/vcredist_x86.exe
安装之后，果然在XP上可以用了。
我随便写新建了一个文本文件，写了些内容，然后删掉，然后它就帮我找到了那个新建的文件。

Win8(x86_64)

Win8和Win7的情况是一样的，还是

C:\Windows\system32>"C:\Program Files (x86)\Capture\CaptureBAT.exe" -c
Option: Collecting modified files
Error loading kernel driver: CaptureProcessMonitor - 0x000004fb
Error loading kernel driver: CaptureRegistryMonitor - 0x000004fb
FileMonitor: WARNING - Filter driver not loaded (error: 800704fb) waiting 3 seconds to try again ... (try 1 of 5)
FileMonitor: WARNING - Filter driver not loaded (error: 800704fb) waiting 3 seconds to try again ... (try 2 of 5)
FileMonitor: WARNING - Filter driver not loaded (error: 800704fb) waiting 3 seconds to try again ... (try 3 of 5)
FileMonitor: WARNING - Filter driver not loaded (error: 800704fb) waiting 3 seconds to try again ... (try 4 of 5)
FileMonitor: WARNING - Filter driver not loaded (error: 800704fb) waiting 3 seconds to try again ... (try 5 of 5)
---------------------------------------------------------
^C

应该是这个exe对64位系统支持的不够好的原因。

Demo

https://weibo.com/tv/v/GdEm16zzg?fid=1034:60fdde34ec7e5b80fbaff07ad531e101
https://www.youtube.com/watch?v=nYAEllCqOuQ

Network Monitor

本来不准备看的，后来还是看了一下，发现还是很有用的。比wireshark和QPA都方便直观。因为在它界面的左边可以直接根据进程来对抓到的流量和TCP会话进行分类，非常方便直观。 https://youtu.be/noErOEHcAj8?t=13m30s
不过要导出流量里的binary的话，需要下载另外的一个东西，据说需要下载另外的一个东西：Network Monitor Experts

后记

由于录的时候是mov格式，如果不在本地转换，发现上传到微博和youtube都会只有360p的分辨率，于是需要用ffmpeg转换一下。分别用

ffmpeg -i /Users/caiqiqi/Documents/capturebat_demo.mov  -vcodec h264 /Users/caiqiqi/Documents/capturebat_demo2.mp4

和

ffmpeg -i /Users/caiqiqi/Documents/capturebat_demo.mov -vcodec h264 -acodec aac -strict -2 /Users/caiqiqi/Documents/capturebat_demo3.mp4

转换了一下，发现md5值是一样的，所以转换效果是一样的，以后对MOV格式转mp4格式，直接用简单的那个就行了。也许mov格式的比较适合用h264的。我用mpeg4的转换发现比原始mov格式的还大。