Giáo trình Mã độc: Phần 2
➤ Gửi thông báo lỗi ⚠️ Báo cáo tài liệu vi phạmNội dung chi tiết: Giáo trình Mã độc: Phần 2
Giáo trình Mã độc: Phần 2
Chương 4CÁC KỸ THUẬT PHÂN TÍCH TĨNH •Trong các chương trước giáo (rình đà trình bày quy trinh phân tích mà độc. trong quy trinh phân tích có mò ta các Giáo trình Mã độc: Phần 2 c phương pháp sư dụng đê phân tích mà. Chương 4 nãy sè giúp sinh viên hiểu rõ hơn phương pháp phân tích tình. Trước khi phân tích thi sinh viên can cách xây dựng môi trường hỗ trợ công việc phân tích.4.1Xây dựng môi trường phân tích tìnhXây dựng môi (rường phàn lích mà độc là công việc quan trọng. N Giáo trình Mã độc: Phần 2 hư đà bièt mà độc luôn liêm ân các hành vi nghi ngờ và rat de lây lan. Việc xây dựng mòi trường phân lích mà phù her]? và an loàn là việc can ihièl. ĐGiáo trình Mã độc: Phần 2
è tạo ra dược mỏi trường an toàn trong khi phán tích mà dộc hại. trong phương pháp phàn tích tĩnh dè phân tích mà dộc hại người ta dùng 2 cách:-Xây dựChương 4CÁC KỸ THUẬT PHÂN TÍCH TĨNH •Trong các chương trước giáo (rình đà trình bày quy trinh phân tích mà độc. trong quy trinh phân tích có mò ta các Giáo trình Mã độc: Phần 2 các loại mà độc hại không phá hoại được hệ (hống máy lính thật. Các phân mèm đê xây dựng môi trường ảo như Vmwarc workstation, virtual box.... (5 dày sc lựa chọn xây dựng mòi trường phân tích với VM workstation.Phương án xây dựng như sau:-MỘI máy linh thật cài Windows 7-Trên Win 7 cài đật một máy a Giáo trình Mã độc: Phần 2 o Vmware, trong máy ào cài đặt Windows XP( môi trường đố chạy malware và thực hiện phân tích).-Cài dặt mạng phù hợp với việc phân tích.-Cài các tool cGiáo trình Mã độc: Phần 2
an thiết phục vụ việc phân tíchThực hiện việc cài đặt Vmware sao cho memory (515 mb) và Hard Disk ( 10Gb). sau khi thực hiện cài đặt xong, tùy thuộc vChương 4CÁC KỸ THUẬT PHÂN TÍCH TĨNH •Trong các chương trước giáo (rình đà trình bày quy trinh phân tích mà độc. trong quy trinh phân tích có mò ta các Giáo trình Mã độc: Phần 2 rên máy thật vả máy thật có the sử dụng 2 card mạng này dể kết noi với các máy ào. khi lựa chon cấu hĩnh mạng cho máy ảo ta có the chọn một trong các chế độ sau:Bridged networking: Card mạng cua máy ao sè được gan trực liếp với card mạng của máy thật (sử dụng switch ảo VMnctO). Lúc nãy. máy áo SC dó Giáo trình Mã độc: Phần 2 ng vai trò như một máy trong mạng thật, có the nhận 1)1 ICP từ mạng ngoài, hoặc dặt 1P tình củng dải với mạng ngoài dể giao tiếp với các máy ngoài mạnGiáo trình Mã độc: Phần 2
g hoặc lỏn Internet.NAT: Máy áo được càu hình NAT sè sừ dụng IP cua máy thật đê giao tiếp với mạng ngoải. Các máy ào dược cắp dịa chí IP nhờ một DIICPChương 4CÁC KỸ THUẬT PHÂN TÍCH TĨNH •Trong các chương trước giáo (rình đà trình bày quy trinh phân tích mà độc. trong quy trinh phân tích có mò ta các Giáo trình Mã độc: Phần 2 orking: Kill cấu hình máy ao sư dụng host-only networking, máy ao sè được kêt nối với máy thật trong một mạng riêng thông qua Switch ảo VMnetl. Dịa chi của máy ao và máy thật trong mạng host-only có the dược cắp bới DHCP ảo gán liền với Switch ảo Vmnetl hoặc có thể đặt địa chi IP tình cùng dái dể kế Giáo trình Mã độc: Phần 2 t nối với nhau. Ta sè chu yếu dùng loại này đê cấu hình khi phân tích126Host-Only Networkingynu*KbpteiHình 4-2: Host- only NetworkingSau klii cau hìnhGiáo trình Mã độc: Phần 2
mạng xong, la nên tạo lake snapshot lại một bang sạch. Snapshot giúp chúng ta restore lại trạng thái làm việc mới nhai. Dê sau mồi lần phân tích ta lChương 4CÁC KỸ THUẬT PHÂN TÍCH TĨNH •Trong các chương trước giáo (rình đà trình bày quy trinh phân tích mà độc. trong quy trinh phân tích có mò ta các Giáo trình Mã độc: Phần 2 3: Tạo snapshotSau khi cài xong Vnnvare. ta cài hệ diều hành Xp lên đó. cài dặt các công cụ lên de giám sát sự thay dồi và tâc dộng cúa các chương trinh nên hệ thong đang thực thi.Một sổ công cụ can thiết cho mỏi trường phân tích tĩnh như sau:1274.1.1Công cụ PeidLà còng cụ phát hiện xem file được vi Giáo trình Mã độc: Phần 2 et bang ngôn ngừ gì. Ngoài ra đây là một công cụ can thiết xem file có bị nén (pack) hay không? Neu bị nén (pack) thi người phân tích cần phái tim cácGiáo trình Mã độc: Phần 2
h giãi nén (unpack file) phù hợp.Hình 4-4: Phần mềm PeidNhư trong hình có thê thày chương trinh Peid đà nhận ra mà nguồn chương trình Keylogl.exe viếtChương 4CÁC KỸ THUẬT PHÂN TÍCH TĨNH •Trong các chương trước giáo (rình đà trình bày quy trinh phân tích mà độc. trong quy trinh phân tích có mò ta cácChương 4CÁC KỸ THUẬT PHÂN TÍCH TĨNH •Trong các chương trước giáo (rình đà trình bày quy trinh phân tích mà độc. trong quy trinh phân tích có mò ta cácGọi ngay
Chat zalo
Facebook