通过该实验学会分析eml文件并从中提取出附件进行分析，包括根据生成的hash进行搜索等，掌握wireshark的关键过滤语法包括过滤tcp syn包、过滤重传包、过滤dns query包等，有意识培养取证分析的思维和思路。
根据本次实验所给材料，请分别给出从两个数据包分析出的细节，包括：
机器的host name,ip,mac地址
相关的邮件的信息
邮件附件的信息
本次给出了eml文件，eML文件是将邮件归档后生成的文件,保留着原来的HTML格式和标题
所需只需专门的客户顿用于查看，推荐使用thunderbird
使用如下命令安装即可
给出了两个eml文件
选中1814这个，右键-》使用其他应用打开，然后选择thunderbird
点击select即选中打开
打开后界面如下所示
可以看到下方有一个附件
可以将其保存
得到一个压缩文件
将其解压
得到一个exe可执行文件
计算这个文件的sha256 hash
这里有个常识一定要注意：
在分析恶意文件时千万不要把恶意软件提交到virustotal等其他在线分析网站上，而是使用该文件的hash去搜索。因为如果我们在应急响应或者在其他作为防御方的情况下，如果我们提交的是恶意软件，恶意软件的制作者可以从virustotal等网站上知道某人提交了该软件，也就是说攻击者就会知道自己的攻击行为已经暴露了，这样在后续过程中可能就会改变攻击策略。所以我们应该通过hash来查找是否有相应资料。
查找前面得出的hash
可以看到该文件已经被提交到virus total，hybrid analysis等网站了
我们进入reverse.it看看该网站在其沙箱中分析出来的结果
这里可以看到其通信流量，包括dns,http等
我们看看http的
与我们在第一个数据包中看到的很类似
再往后面看我们可以看到suricata的告警日志
可以看到是ET TROJAN Formbook 0.3 Checkin
这与我们直接将数据包上传到packet total的结果是一样的
接下来看看第二个eml文件
还是同样的方法得到附件文件
从这个压缩文件中提取出的是一个word
计算hash
搜索引擎查找
可以看到又是恶意文件
这次还是使用reverse.it分析引擎打开
不过我们注意到这次没有流量特征，这可能是因为恶意软件自身的保护措施—比如发现自己身处虚拟机环境或者沙箱等，就停止运行或者是和正常软件一样的运行，不会表现出恶意行为，可能我们这次分析的软件就有这种保护机制。
直接将数据包上传到virustotal看看
可以看到snort和suircata都有告警
分析完两个eml文件，我们开始分析数据包
先看第一个
我们已经知道恶意软件的类型及其来源，接下来我们需要从数据包中拿到主机的信息
一打开就是大量的nbns流量
在数据包中过滤出http请求流量可以看到
和我们前面在reverse.it中看到的特征非常相似
数据包中还有值得研究的地方吗
记不记得前面我们分析过的例子，总会有一种流量—当服务端停止响应时，受害主机（客户端）会继续发送TCP SYN包希望三次握手建立连接，我们看看现在这个数据包中有没有这种流量
我们会用到以下的语法：
tcp.flags eq 0x0002 用于过滤tcp syn包
tcp.analysis.retransmission 用于过滤retranmitted重传包
dns.qry.name 用于过滤dns query流量（因为访问制定的域名前都需要通过dns解析）
将其组合起来，过滤语句就是
tcp.flags eq 0x0002 and tcp.analysis.retransmission表示tcp syn的重传包
然后使用or拼接 dsn.query.name
即:
(tcp.flags eq 0x0002 and tcp.analysis.retransmission) or dns.qry.name
从流量中可以看到10.1.1.97先是去查询www.yunshangcms.com的ip，得到为47.93.157.247，接着去访问该ip
继续往下看，同样可以看到
10.1.1.97查询www.heapto.com，得到其ip为64.32.26.89然后尝试进行访问
第一个数据包分析得出不多了，接下来看看第二个
直接打开就可以通过nbns得到主机信息
接下来过滤出http请求
可以看到有大量的不正常的指向108.61.179.223的流量，选中一条跟踪tcp流
这看起来是url编码，我们将其解码后看看有什么内容
可以看到有主机信息、用户信息、硬件信息等
再看看其他流量，比如https的，语法是ssl.handshake.type eq 1
加上上一个数据包使用的syn重传和dns查询的流量，最后的过滤语句是
http.request or tcp.flags eq 0x0002 or ssl.handshake.type == 1 or dns.qry.name
上图中我圈出了几个可疑的地方：
- 有dns查询forum.crytopia.gdn的流量并随后进行了访问，这是个加密论坛，其他更有用的消息搜索引擎没找到
- 看到了前面我们分析出的url编码的敏感信息的流量指向了108.61.179.223
- 看到了5938端口，这是teamviewer使用的，但是可以看到目的ip不止一个
Teamviewer本身是用于远程桌面访问的正常软件，所以我们推测攻击者可能将恶意软件与其一起重新打包，这样就可以感染和控制受害者的机器了，也就能解释为什么会产生上述的可疑流量。
前面我们从邮件附件中提取的是一个恶意word文件，而这种流量应该是由可执行二进制文件产生的，那么这个文件是嵌入到word去了？还是通过网络下载的，比如https？forum.cryptopia.gdn很可疑。
我们重新回到前面根据word的hash搜索到的reverse.it的分析页面
可疑看到这段代码像是office的宏代码，其中有forum.cryptopia.gdn/sys.exe，也就是说会从其中下载恶意的二进制文件进行进一步的感染。所以我们推测这个word有一个嵌入的vbs文件，当用户点击后就自动下载恶意可执行文件然后就被感染，所以产生了这些异常流量。
综上所述，可以得到答案：
第一个数据包：
host name:Chris-Lyons-PC
host ip addresss:10.1.1.97
mac address:00:222:15:d4:7a:e7
邮件信息：
日期：Thursday 2017-12-14,18:14 utc
FROM:Le Huong-accounts
TO：chris.lyons@supercarcenterdetroit.com
主题:Fe:Re:PI no. SO-P101092262891
附件名：Proforma Invoice P101092292891 TT slip pdf.rar.zip
相关恶意文件：
SHA256 hash: 435bfc4c3a3c887fd39c058e8c11863d5dd1f05e0c7a86e232c93d0e979fdb28
File 大小: 228,458 bytes
File 名称: Proforma Invoice P101092292891 TT slip pdf.rar.zip
File 描述: Zip archive attached to the malspam
SHA256 hash: 9a9d7a41c404b9044a82727996d53222d996f03d71e4839245dbeeaf4c685f77
File 大小: 471,040 bytes
File 名称: Proforma Invoice P101092292891 TT slip pdf.rar.exe
File 描述: Extracted executable from the above zip archive
第二个数据包：
host name:Drrenell-PC
ip address:10.1.1.213
mac address:00:08:7c:39:da:12
邮件信息：
日期：Thursday 2017-12-14 at 21:34 UTC
FROM:Black Friday Shopping Voucher
TO:darnell@castillomtorsports.com
主题：Woosters Almost Sold Out! Black Friday Prices + Free Shipping For A Few
More Hours!
附件：Black Friday.zip
相关恶意文件：
SHA256 hash: 5fd4b1ef7a3069c8ae76b83f220e0beff5b2b7f939357656f4b198ed02cd850c
File 大小: 36,018 bytes
File名称: Black Friday.zip
File 描述: Zip archive attached to the malspam
SHA256 hash: a7447db99ba60c2f7bfd9e9bcfadfb05a4fc0ea214450b76ea85d386db1f727b
File大小: 40,596 bytes
File 名称: Black Friday.docx
File 描述: Extracted Word document from the above zip archive
606
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
