Phân tích mã độc - P1
Jul 12, 2024Malware Analysis Notes (Wall of Text - Part 1)
Tổng quan về phân tích mã độc
- Mã độc là các đoạn mã dùng để thực hiện các hành vi gây hại cho hệ thống
- Quá trình phân tích mã độc
- Phân tích tự động, sử dụng công cụ trực tuyến
- Phân tích các thuộc tính tĩnh
- Tương tác và phân tích hành vi
- Dịch ngược mã nguồn
- Mục tiêu phân tích mã độc
- Mã độc đã làm gì/có thể làm gì
- Làm thể nào để phát hiện khi mã độc (file và khi thực thi)
- Đưa ra khuyến cáo phục vụ quá trình xử lý sự cố
- Cảnh báo, truy vết theo các IOCs
- Xây dựng các thông tin về cyber security
- threat intelligent (trend, attacker profile,..)
- threat hunting (tatics, techniques,..)
- Báo cáo phân tích nên có các thông tin
- Tổng quan việc phân tích: Bao gồm thông tin chính người đọc cần biết về mã độc này như mức độ nguy hiểm, ảnh hưởng đến hệ thống,..
- Các điều kiện để mã độc thực thi: phiên bản OS, tên máy, đường dẫn,..
- Thông tin xác định mã độc: filename, hash, dòng mã độc,..
- Thuộc tính chi tiết: Các thông tin về khả năng của mã độc
- Chi tiết quá trình phân tích hành vi và dịch ngược code: Chỉ ra các hành vi, đoạn mã, hàm, api mà mã độc sử dụng để thực hiện các hành vi, sử dụng ảnh, bảng, sơ đồ dạng mindmap để làm rõ
- Các khuyến cáo đưa ra để gỡ bỏ và phòng chống
Sử dụng công cụ có sẵn và tìm kiếm thông tin trực tuyến
1. Các công cụ phổ biến
- Nên sử dụng nhiều công cụ khác nhau để so sánh kết quả và không phụ thuộc vào công cụ nhất định
- Kiểm tra mã độc trực tuyến (kiểm tra hash): virustotal, metadefense,.. hoặc scan offline bằng AV
- Thông tin về file sạch/mã độc đã biết: hashsets, winbindex
- Các hệ thống sandbox tự động phân tích: any.run, cape, hybird analysis
- Công cụ kiểm tra url: urlscan.io, quttera, mxtoolbox
- Các công cụ kiểm tra thông tin về intelligent: shodan, otx,..
- Các công cụ giúp trích xuất nhanh nhiều thông tin nếu kiểm tra các mã độc đã biết:
- Dòng mã độc
- IOCs: filename, prcess name, hash, registry key, mutex, named pipe, domain, IP…
- Các thuộc tính, hành vi đáng chú ý khác
- Các thông tin khác liên quan nếu các mã độc đã được phân tích
- Nhóm tấn công
- Thời điểm phát tán
- Hạ tầng máy chủ của kẻ tấn công
- Dựa vào các kỹ thuật OSINT để tìm các thông tin mới dựa trên các thông tin đã biết
2. Tương tác với hệ thống của kẻ tấn công
- Mã độc thường xuyên sử dụng mạng để trao đổi thông tin với kẻ tấn công nên cần lưu ý các thông tin về IP, domain, network traffic khi phân tích. Một số dạng hành vi phổ biến:
- Downloader/Dropper: Tải và thực thi các mã độc khác
- Beaconing: gửi thông tin cơ bản về máy tính bị nhiễm và trạng thái thực thi của mã độc
- Command and control: Thực hiện hành vi trên máy bị nhiễm theo ý của kẻ tấn công
- Exfiltration: Gửi các dữ liệu đã đánh cắp đi
- Các nhu cầu cần tương tác với hệ thống của kẻ tấn công trong quá trình phân tích
- Truy cập các trang do attacker chuẩn bị như phising, chứa exploit
- Download thêm mã độc ở các phase tiếp theo hoặc các mã độc tìm thấy trên các hệ thống hạ tầng của attacker qua IP, domain,..
- Thu thập thông tin từ kết nối của mã độc với c2c
- Sự dụng các kỹ thuật OSINT để tìm kiếm thông tin về mã độc
- Nguy cơ khi thực hiện các phân tích có tương tác trên là có thể lộ thông tin cho attacker biết đang bị phân tích
- Attacker thay đổi hành vi, công cụ -> Khó điều tra, bị đánh lạc hướng
- Attacker chặn -> không phân tích được thêm
- Attacker thực hiện hành vi phá hoại -> nguy cơ tổn hại dữ liệu đối với các máy bị nhiễm
- Attacker khai thác các thông tin có thể bị lộ (IP, vị trí, browsers, os, user..) để thực hiện các tấn công khác
- Giải pháp để hạn chế nguy cơ đối với các kết nối:
- Sử dụng tor, vpn
- Sử dụng lab trên các nền tảng cloud
- Tương tác trong môi trường lab để hạn chế việc bị tấn công ngược
- Khi thực hiện tìm kiếm thông tin, nên truy cập các trang web cung cấp thông tin chính thống, hạn chế các trang web không rõ nguồn gốc
- Hạn chế sử dụng các công cụ upload scan file hay url, IP, domain. Ưu tiên việc chỉ sử dụng chức năng search
- Tuyệt đối không upload dữ liệu/mẫu lên các trang phân tích trực tuyến
- Có thể mẫu chứa thông tin nhạy cảm về hệ thống nội bộ
- Attacker có thể biết được các mã độc nào đã bị phát hiện
- Các bên thứ 3 có thể truy cập được file đã upload
- Ưu tiên các sandbox có thể tự triển khai.
Phân tích mã độc trong môi trường lab
1. Xây dựng lab phân tích mã độc
- Thông tin về mã độc có thể chưa có sẵn trên internet, cần sẵn sàng để tự phân tích khi cần thiết và không phụ thuộc vào các công cụ trực tuyến -> cần dựng lab (tham khảo sentinelone lab)
- Cách đơn giản nhất là dùng ảo hóa (Vmware, Virtualbox, Kvm,..) để dựng các máy trong hệ thống lab. Tối thiểu lab cần đảm bảo:
- Không kết nối với hệ thông mạng nội bộ: Tạo các mạng ảo host-only, lan segment để kết nối các máy ảo với nhau nhằm tạo mạng cô lập
- Có thể kết nối internet nếu cần thiết và phải được đảm bảo an toàn (route, vpn, tor,..)
- Các os thông dụng để mã độc thực thi (win 7, 8, 10, 11, server, linux, macos) tùy theo tài nguyên và nhu cầu
- Cài đặt sẵn các công cụ và cấu hình cần thiết (tham khảo flarevm, retoolkit, remnux,…)
- Phân tích tĩnh
- Phân tích động
- Dịch ngược, phân tích code
- Programing: python/c/golang, notepad++, vscode
- Sử dụng chức năng snapshot để lưu lại trạng thái sạch ban đầu và khôi phục về trạng thái này khi cần trong quá trình phân tích.
- Luyện tập với các công cụ
- Chạy thử và xem các chức năng, output
- Tìm đọc, tuts, blog, xem videos
- Tìm kiếm keyword liên quan để khám phá các tool khác tương tự
- Update các thông tin về các công cụ liên tục để theo kịp các thay đổi của mã độc và công cụ
- Mã độc có thể cố gắng phát hiện môi trường lab bằng cách phát hiện máy ảo, công cụ phân tích (anti-debug, anti-vm)
- Mục đích khi phát hiện là để không thực hiện các hành vi độc hại hoặc đánh lạc hướng
- Các cách để hạn chế bị phát hiện
- Dùng máy thật
- Chỉnh sửa, tối ưu máy ảo cho khó phát hiện
- Sử dụng các công cụ ẩn các công cụ phân tích
- Can thiệp vào code/luồng thực thi của mã độc
2. Phân tích tĩnh cơ bản
- Trích xuất các thuộc tính cần thiết bằng các công cụ phù hợp.
- Tác dụng:
- Xác định các thông tin có sẵn dựa vào hash, metadata:
- hash sạch, tin cậy
- hash đã được phát hiện là mã độc
- đã được phân tích báo cáo,..
- Có thông tin ban đầu để xác định hướng phân tích ở các bước tiếp theo
- Thông tin về các chuỗi có thể là dấu hiệu để xác định nhanh xem là mã độc hoặc cả mức độ nguy hiểm.
- 1 số thuộc tính cần xác định và công cụ:
- Hash: của tập tin, của các thành phần trong tập tin (iat, section, resource,..): pestudio, openhash, hashcalc..
- Metadata và certificate nếu có: detect it easy, pestudio, signcheck
- Xác định tập tin bị pack và packer: detect it easy, exeinfo, peid,…
- Xác định các resource được nhúng kèm: cff explorer, resouces hacker,..
- Bảng thông tin import, export trong file pe: cff explorer, pebear,…
- Các chuỗi: pestr, strings, floss, peframe,…
- Chuỗi liên quan đến mã hóa, giải mã,..
- Chuỗi liên quan đến mạng, file system, registry, process,..
- …
- Một số công cụ khác:
- yara: phân loại file theo rule
- capa: đánh giá hành vi, thuộc tính theo rule
- …
3. Phân tích động cơ bản
- Theo dõi các hành vi của tập tin khi thực thi trong mỗi trường lab bằng các công cụ phù hợp
- Tác dụng
- Xác minh các dấu hiệu đã tìm được khi phân tích tĩnh
- Kiểm tra được các hành vi trong khi mã độc thực thi
- Thu được các thông tin khác có thể sử dụng mà phân tích động không trích xuất được
- Các bước thực hiện phân tích động
- Đưa mẫu vào lab
- Copy, kéo thả
- Share folder qua máy ảo hoặc smb
- Lưu ý về phân quyền cho thư mục share
- Chỉ cho quyền đọc, sau đó copy mẫu vào máy ảo để thực thi
- Mở các công cụ theo dõi, phân tích động
- Chuẩn bị và điều chỉnh các điều kiện để thực thi mẫu trong quá trình phân tích động
- Với** exe, lnk** có thể chạy trực tiếp
- Chú ý các điều kiện để mã độc thực thi (dựa vào nguồn mẫu hoặc thông tin từ phân tích tĩnh)
- Quyền admin
- Tên user, computer, domain
- Path, file name
- Các file đi kèm
- …
- Với các tập tin document
- Cài sẵn các công cụ để mở file tài liệu
- Sử dụng các công cụ chạy script để thực thi script
- powershell: file ps1
- mshta: code js, vb nhúng trong hta
- wscript: file vbs
- cmd: .bat, .cmd file
- Với các tập tin dll
- Sử dụng rundll32 để thực thi
- Sử dung tập tin exe kèm theo nếu có
- Tự viết loader sử dụng LoadLibrary, GetProcAddress
- Thực thi và theo dõi các hành vi
- 1 số hành vi cần theo dõi và công cụ:
- Kiểm tra trạng thái tiến trình: Process Hacker, Process explorer, tcpview,…
- Command line, parent-child, module, handle, mutex, pipe, network,…
- Theo dõi hành vi tiến trình: Procmon, Apimonitor
- Cần tạo các bộ lọc để lọc ra hành vi của tiến trình muốn theo dõi
- Phân biệt giữa hành vi của mẫu và mặc định các tương tác với hệ thống
- Chạy thử các tiến trình bình thường để quen với các hành vi khởi tạo của hệ thống
- Theo dõi thay đổi file/registry: Regshot, sysanalyzer,…
- Tạo ra các snapshot trước và sau khi chạy
- So sánh 2 snapshot để tìm các hành vi thay đổi về file, registry
- Theo dõi mạng: tcplogview, wireshark
- wireshark theo dõi và ghi log theo packet nên thiếu thông tin về tiến trình cụ thể
- tcplogview sẽ log lại các kết nối của tiến trình khi theo dõi
- Giới thiệu một số công cụ nâng cao khác
- Procdot
- Trực quan hơn khi kiểm tra kết quả đầu ra của procmon
- apimonitor
- Theoi dõi input/output của các lệnh api
- fakedns, fakenet
- Cần thiết lập mạng để trỏ dnserver (có thể chạy trên localhost)
- Log lại các kết nối, query domain
- fiddler, inetsim:
- Theo dõi/debug mạng nâng cao
- Một số lưu ý khác khi cấu hình thiết lập IP, route để theo dõi các trường hợp mã độc truy cập thẳng bằng IP
- Đặt IP của server theo IP mã độc sử dụng
- route toàn bộ traffic sang IP của server đã config
4. Phân tích code cơ bản
- Thực hiện dịch ngược, phân tích code các đoạn mã dòng lệnh dùng để thực thi các hành vi đã biết bằng công cụ phù hợp
- Tác dụng: Trích xuất nhiều thông tin chi tiết hơn
- Thực hiện các hành vi đã biết như thế nào
- Chi tiết thông tin input/output của các hành vi đó
- Ngoài các hành vi trích xuất được thì còn hành vi khác không
- 1 số công cụ và chức năng cơ bản :
- Emulator: Speakeasy, Qiling,…
- Giả lập môi trường và theo dõi quá trình thực thi code qua api
- Không bị phụ thuộc vào nên tảng, cấu trúc
- Không hỗ trợ toàn bộ tính năng như môi trường thật
- Static code analysis: ghidra, ida, cutter,..
- Dissasembly: Chuyển mã máy sang mã assembly để đọc hiểu
- Decompile: Khôi phục mã nguồn gốc từ code assembly
- Dễ đọc, phân tích hơn assembly
- Đặt tên hàm/biến/vùng nhớ, tạo comment, chỉnh sửa kiểu dữ liệu, prototype, patch các đoạn mã assembly: Giúp mã assembly, decompiled dễ phân tích hơn
- Dynamic code analysis: ollydbg, x64dbg, windbg,..
- single-step: chạy từng lệnh
- step into/step over: chạy vào lệnh đầu tiên khi gặp hàm/chạy qua tất cả các lệnh của hàm
- đặt breakpoint: trước/sau khi gọi api, các lệnh/hàm thay đổi nội dung thanh ghi, stack, memory
- Theo dõi thay đổi các thành phần như register, stack, memory,..
- Thay đổi luồng thực thi: sửa cờ, sửa giá trị, sửa code, đặt eip,..
- Thao tác nhanh bằng command, shorcut, script,…
- Một số công cụ khác
- Cyberchef: mã hóa, giải mã, convert, xử lí dữ liệu..
- base64
- xor
- rsa
- aes
- rc4
- hash
- search/replace: regex, string
- convert hex, decimal, utf8, utf16,..
- ScDbg: Debug shellcode
- Plugin Debugger (xdbg):
- ScyllaHide: Anti-anti debug
- OllyDumpEx: Dump process dạng raw, rebuild, virutal
- Scylla: Tương tự OllyDumpEx
- xAnalyzer: Thêm thông tin đọc code assembly (functions definitions, arguments, data types, others information)