0507一日一恶意代码流量分析

题目下载

0507一日一恶意代码流量分析_第1张图片

0507一日一恶意代码流量分析_第2张图片

  • 1.分析:

对whatismyipaddress.com的HTTP请求不一定是由恶意软件引起;ftp到files.000webhost.com的通信可能是某人更新由000webhost托管的合法网站。在这种情况下,Hawkeye键盘记录器使用ftp存储登录凭证,将受感染桌面的键盘记录数据和屏幕截图记录到托管的服务器上通过000webhost。

  • 2.使用filter看到帐户名、密码和存储到服务器的文件:

ftp.request.command eq USER or ftp.request.command eq PASS or ftp.request.command eq STOR

0507一日一恶意代码流量分析_第3张图片

  • 3.使用filter   

 ftp-data

 

0507一日一恶意代码流量分析_第4张图片

  • 4.点击第一项,右键follow the TCP stream

0507一日一恶意代码流量分析_第5张图片

  • 5.点击第一项含图片文件,右键follow the TCP stream

 

0507一日一恶意代码流量分析_第6张图片

更改时间显示格式为UTC

查看>“时间显示格式”

“从捕获开始后的秒”更改为“UTC日期和时间日”。

分辨率从“自动”更改为“秒”。

由于版本的问题无法添加列:

只好单条查看。

Executive summary:

On 2019-05-02 at  16:42 UTC, a Windows host used by Adriana Breaux was infected with a Hawkeye keylogger

Details of the infected Windows host:

IP address: 10.0.0.227
MAC address: 84:8f:69:09:86:c0
Host name: BREAUX-WIN7-PC
Windows user account name:
adriana.breaux

Indicators of Compromise:

104.16.154.36 port 80 - whatismyipaddress.com - GET /

154.14.145.4 port 21 - files.000webhost.com - FTP control channel

154.14.144.10 port 21 - files.000webhost.com - FTP control channel

154.14.145.99 port 21 - files.000webhost.com - FTP control channel

154.14.145.4 port 37280 - files.000webhost.com - FTP data channel

154.14.144.10 port 40651 - files.000webhost.com - FTP data channel

154.14.144.10 port 47434 - files.000webhost.com - FTP data channel

154.14.145.99 port 36091 - files.000webhost.com - FTP data channel

154.14.145.99 port 35396 - files.000webhost.com - FTP data channel

[List of URLs, domains, IP addresses, and SHA256 hashes related to the infection should appear in this section]

你可能感兴趣的:(malware)