---
# System prepended metadata

title: 駭客算命攤 x 超。快速入門 - Finding Treasures in the ToyBox / 寬寬
tags: [HITCONCMT, HITCON, HITCONCMT2019]

---

駭客算命攤 x 超。快速入門 - Finding Treasures in the ToyBox / 寬寬
===

- 來自日本的講者
- 主要分析惡意程式
- 三個使用的工具(Automated Malware Analysis Service)
    - [VirusTotal](https://www.virustotal.com)
        - 上傳樣本做掃描檢查樣本是不是有問題也會share,給全世界作分享
    - [AnyRun](https://any.run)
        - 可以做某種程度的互動
    - [Hybrid Analysis](https://www.hybrid-analysis.com)
        - 錄程式的各種訊息，用以分析
        - haunting email相關的訊息
        - 在大略了解樣本Tag的情況下，可以直接掃特徵
- [ATT&CK Matrix](https://attack.mitre.org)
    - 各家防毒軟體都會引用的工具
    - 蒐集常見的攻擊手法，畫成一張矩陣表(知識庫)
    - 各攻擊隊會做哪些手法/手法出現在哪些攻擊/攻擊在週期的哪一階段，供藍隊參考
    - 彌補各家防毒軟體都宣稱"我們偵測的到"但是偵測到的依準都不一樣
    - report給老大時整理有用的資訊
- example
    - 監控TA544攻擊團隊
        - 每一兩年就會變動一次攻擊手法
            - e-mail送excel報價單
            - xml呼叫 PowerShell
            - PowerShell 呼叫URSNI木馬
        - OLEDump分析xml檔案
            - 先確認使用者的國籍
            - macro(巨集) 找到 PowerShell 再做下一個步驟
                - macro的權限很低
            - ???(缺QQ)
            - 是RCE嗎？好像不是
            - 攻擊不想存成一個檔案:
                - 前面的東西進來後，後面的攻擊在memory跑
                - 網路上抓 PE loader(Windows PE執行檔用的載入器 v.s. Linux ELF) 下來在 memory 裡面跑
                - 不會留檔案在硬碟上，鑑識困難
            - 用多重工具確認攻擊對象是否在日本
            - ex)攻擊者規避: OSS混淆code，試圖加強鑑識難度
    - 攻擊者喜歡用[pastebin](https://pastebin.com/)
    - TA505
        - 惡意程式有簽章
            - 有簽章的惡意程式比較容易過防毒

###### tags: `HITCONCMT2019`,`HITCONCMT`,`HITCON`