Aula 07 e 08

Engenharia Reversa e
Análise de Malware
Ronaldo Pinheiro de Lima
crimesciberneticos.com@gmail.com
Aula 07 e 08
5. Análise Dinâmica

5.1. Monitorando processos com Process Explorer

5.2. Monitorando com Process Monitor

5.3. Monitoramento de Tráfego de Rede

5.4. Monitoramento do registro e arquivos com Regshot

5.5. O uso das ferramentas de análise dinâmica na prática

5.6. Lab 05-01 - Análise dinâmica com Process Explorer e Process

Monitor

5.8. Lab 05-02 - Análise de executável malicioso com uso de

técnicas diversas
2 Aula 07 e 08
Análise Dinâmica
 executar o malware e monitorar suas atividades
 interações com o SO
 técnica rápida
 não exige muito conhecimento
 Monitoramento de processos – Process Explorer
 gerenciador de tarefas poderoso
 botão Verify - assinatura digital imagem no disco
 Verify não verifica memória (process replacement)
 comparação de strings – Memory x Image

3 Aula 07 e 08
Process Monitor
 registro, arquivos, rede, processos e threads
 rede é fraco
 usar por período de tempo para não encher a RAM
 filtros personalizados - diversas opções
 filtros padrões - botões na barra de tarefas

Monitoramento de rede
 simulada – FakeNet
 real – Wireshark

4 Aula 07 e 08
Monitoramento arquivos e registro – Regshot
 configurar “scan dir”
 1st shot – estado inicial limpo
 executa o malware e aguarda um tempo
 2nd shot
 compare – relatório com alterações

5 Aula 07 e 08
Sugestão de sequência para análise dinâmica

1. inicie Process Explorer

2. rede (FakeNet ou Wireshark)
3. 1st shot – Regshot
4. Process Monitor (limpo)
5. executa o malware e observe no Process Explorer
6. após certo tempo tire 2nd shot – Regshot
7. pare as demais ferramentas e salve resultados
8. analise os relatórios

6 Aula 07 e 08
Lab 05-01
Análise dinâmica com Process Explorer e Process Monitor

Material necessário:
-Máquina virtual com Windows XP 32-bit
- Process Explorer
- Process Monitor
-Arquivo: Lab-05-01.exe

7 Aula 07 e 08
Lab 05-02
Análise de executável malicioso com uso de técnicas diversas

Material necessário:
-Máquina virtual com Windows XP 32-bit
- PEiD, Exeinfo PE, RDG
- FakeNet, Wireshark
- Sysinternals Suite, Regshot
- OllyDbg
-Arquivo: Lab-05-02.com

8 Aula 07 e 08
Obrigado!

A explicação detalhada de todos os tópicos está na apostila.

Ronaldo Pinheiro de Lima

crimesciberneticos.com@gmail.com
http://www.crimesciberneticos.com
@crimescibernet

9 Aula 07 e 08