Fernando Bracalente. O trabalho final consiste em escolher um dos "malwares-novos" e responder algumas questões.

Transcrição

1 Fernando Bracalente Seg15 O trabalho final consiste em escolher um dos "malwares-novos" e responder algumas questões. Questões: 1. Qual o nome do arquivo? Fotos_acidenteJPEG.exe 2. Qual o md5 do arquivo escolhido? 286b95fe9e651f45f6181c29968f430d 3. Qual a razão do nome utilizado pelo arquivo? Para persuadir o usuário a clicar no arquivo 4. O arquivo está compactado? Sim Se sim, com qual compactador?.aspack 5. Sem executar o binário, é possível descrever qual sua funcionalidade, o que ele vai fazer? Sim, utilizei o PEiD descompactando o arquivo executável com o puglin (PEiD Generic Unpacker), apos gerar o arquivo Fotos_acidenteJPEG.exe.unpacked_.exe gerei o hash do arquivo 7748a2f088774a dd , utilizei o comando strings.exe c:\jacomo\fotos_acidentejpeg.exe.unpacked_.exe grep http e verifiquei que existe uma url este malware é um downloader, baixei o arquivo sb.exe manualmente e gerei o hash 62d3f55699c236af45afec937a4bfff8, este arquivo tem 4.291KB Analisando o arquivo SB.exe, utilizei o Wireshark e executei o sb.exe em um ambiente controlado, este arquivo envia um avisando que o micro esta infectado para 2 destinatários, manesde2009@gmail.com e barata.gold@gmail.com Segue o conteúdo encontrado pelo Wireshark 220 dargo.hst.terra.com.br ESMTP EHLO MALWARE 250-dargo.hst.terra.com.br 250-PIPELINING 250-SIZE AUTH LOGIN PLAIN TRRPROXY_V1 250-ENHANCEDSTATUSCODES 250-8BITMIME 250 DSN

2 RSET Ok AUTH LOGIN 334 VXNlcm5hbWU6 c210cc5yb3hadgvycmeuy29tlmjy 334 UGFzc3dvcmQ6 ZmFiaW83NDE= Authentication successful MAIL Ok RCPT Ok RCPT Ok RCPT Ok DATA 354 End data with <CR><LF>.<CR><LF> From: "Infect" Subject: MALWARE To: Date: Sat, 4 Apr :49: X-Priority: 3 X-Library: Indy Aguardando Resposta Ok: queued as QUIT Bye Jacomo depois de instalar o malware eu rodei o netstat nao e a única relação no final que notei foi que o processo referente ao malware foi uma porta 1062 criada no localhost. C:\_>netstat -nao Proto Local Address Foreign Address State PID TCP : :0 LISTENING 956 TCP : :0 LISTENING 4 TCP : :0 LISTENING 880 TCP : :0 LISTENING 1100 TCP : :0 LISTENING 4 UDP :445 *:* 4 UDP :500 *:* 728 UDP :1025 *:* 1104 UDP :1042 *:* 1744

3 UDP :4500 *:* 728 UDP :123 *:* 1048 UDP :1060 *:* 1684 UDP :1062 *:* 148 UDP :1900 *:* 1184 UDP :123 *:* 1048 UDP :137 *:* 4 UDP :138 *:* 4 UDP :1900 *:* 1184 C:\_>pslist.exe PsList Process Information Lister Copyright (C) Mark Russinovich Sysinternals - Process information for MALWARE: Name Pid Pri Thd Hnd Priv CPU Time Elapsed Time Idle :23: :00: System :00: :00: smss :00: :25: csrss :00: :25: winlogon :00: :25: services :00: :25: lsass :00: :25: svchost :00: :25: svchost :00: :25: svchost :00: :25: svchost :00: :25: svchost :00: :25: explorer :00: :25: spoolsv :00: :25: VMwareUser :00: :25: SbieSvc :00: :25: userdump :00: :25: VMwareService :00: :25: alg :00: :25: wireshark :00: :23: cmd :00: :20: taskmgr :00: :18: Winup :00: :17: mmc :00: :06: Fotos_acidenteJPEG :00: :03: dumpcap :00: :03: Fotos_acidenteJPEG :00: :02:57.703

4 pslist :00: :00: As informações do registro.br sobre o domínio que esta hospedando o arquivo sb.exe whois domínio: assembleiadedeusmorumbi.com.br entidade: Edimilson Francisco de Oliveira documento: país: BR ID entidade: EDFOL12 ID admin: EDFOL12 ID técnico: EDFOL12 ID cobrança: EDFOL12 servidor DNS: ns1.t5.com.br status DNS: 04/04/2009 AA último AA: 04/04/2009 servidor DNS: ns2.t5.com.br status DNS: 04/04/2009 NOT SYNC ZONE último AA: 04/04/2009 criado: 24/07/2008 # expiração: 24/07/2009 alterado: 04/08/2008 status: publicado ID: EDFOL12 nome: Edimilson Francisco de Oliveira alan@fastlinkjf.com.br criado: 24/07/2008 alterado: 24/07/2008 IP do domínio --> Utilizando qualquer método, ao executar o binário em um ambiente *controlado*, quais alterações no sistema esse arquivo gera? Executei o malware e analise os pacotes com o Wireshark, o malware iniciou o download do arquivo sb.exe

5 GET /fotos/13/sb.exe HTTP/1.1 Accept: */* Accept-Encoding: gzip, deflate User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) Host: Connection: Keep-Alive HTTP/ OK Date: Sun, 05 Apr :05:29 GMT Server: Apache Last-Modified: Sun, 05 Apr :01:45 GMT ETag: "a5321f cb07f91040" Accept-Ranges: bytes Content-Length: Keep-Alive: timeout=8, max=80 Connection: Keep-Alive Content-Type: application/x-msdos-programconnection: Keep-Alive qual o nome do processo? Fotos_acidenteJPEG PID 1684 / 148 o arquivo muda de nome ao ser executado? Não cria um novo arquivo? sim baixa alguma coisa? sim, sb.exe 7. Agora com essas informações para que serve o binário? Server para executar o malware. 8. Qual o resultado do virustotal.com? 8/32 (faça um print-screen e envie).

6 Os antivírus que encontraram foram: Antiy-AVL Trojan/Win32.Banload Authentium W32/Banload.A.gen!Eldorado Avast Win32:Trojan-gen {Other} CAT-QuickHeal TrojanDownloader.Banload.acmm DrWeb Trojan.DownLoader.origin esafe Suspicious File F-Prot W32/Banload.A.gen!Eldorado GData Win32:Trojan-gen {Other} Kaspersky Trojan-Downloader.Win32.Banload.actw NOD a variant of Win32/TrojanDownloader.Banload.CHQ Panda Trj/Banbra.GGM Sophos Mal/Behav-130 TrendMicro Mal_Banld-1 VBA Trojan-Downloader.Win32.Banload.zwf Hash MD5 do site virus total bate com o hash que gerei.

7 Questão bônus: É possível descompactar o binário? Qual o procedimento? Resp. pergunta 5 Enviar trabalho por para jacomo.ibta@gmail.com