###### tags: `module11` `revers` `introduction`

[ToC]

# Занятие 1. Задачи анализа ВПО и обратной разработки. Анализ

## Видеозапись урока
{%youtube jrNsmLaiO5A %}

### timecodes
00:00:00 Знакомство
00:11:10 Как будет построен курс.
00:19:25 Что такое ВПО?
00:20:40 Типы.
00:32:55 Цели использования
00:39:38 Задачи анализа ВПО
00:46:05 Перерыв
00:52:50 Типы анализа
01:04:00 Про лабораторию
01:14:55 Виртуальные машины
01:17:40 Про снепшоты для лаборатории
01:20:18 Анонимность
01:26:25 Получение хэшей.
01:35:00 Ищем в гугле найденный адрес
01:38:00 Перерыв
01:51:50 PEStudio
02:01:00 Поведенческий анализ
02:03:20 Мониторы процессов
02:04:30 Мониторы вызовов функций
02:07:40 Анализаторы трафика
02:14:00 APIMonitor теория
02:16:45 Внешние ресурсы для анализа
02:39:50 Перерыв
02:48:00 Общий треп
02:52:00 Анализируем файл PEStudio
03:09:40 Анализируем хэш на Virustotal и any.run
03:32:00 Вопросы и прощаемся

## Общие понятия

### Типы ВПО
+ Virus & Worms
живет без ручного управления для распространения
+ Backdoor
приложение дающие возможность общаться с атакованной машиной
моет быть чем угодно - флэшки, интеренет
+ Trojan
мимикрируют под нормальные приложения и файлы(картинки, документы)
могут иметь разные направления, но основное своровать данные карт, паролей, кукисов
+ Rootkit
прячут все свои высокоуровневые подключение и сессии,
могут в режиме пользователя; ядра; биоса?
+ Exploit
используют уязвимости в системах для получения доступов или подъема привилегий
+ Malicious tools
что то подозрительное, но не обязательно вирус или вообще зловред
могут быть полезными утилитами для исследователей, но могут быть использовать злоумышленники. например apimonitor

### Цели использования
+ Нарушение работы компьютера
+ Кража важной информации, в том числе персональной, деловой и финансовой
+ Несанкционированный доступ к зараженной системе
+ Шпионаж за зараженной системой
+ Создание DDoS
+ Блокировка файлов до получения выкупа

### Задачи анализа ВПО
+ Определить тип и цели ВПО
+ Объяснить, как происходит компрометация
как проникали в систему? где первая точка входа? это нужно, чтобы понять не было ли повторов
+ Идентифицировать сетевые индикаторы
файлы, интеренет(телнет, http, messengers) нужно для правил IPS
+ Извлечь хостовые индикаторы компрометации все месте где появлялись записи о зловреде
нужно для лечения
+ Определить намерения и мотивы атакующих
что бы понимать было ли что то выполнено или еще нужно ждать.

### Типы анализа

Преданализ: Текст; Подписи
: первичный анализ без запуска приложения, проверяем антивирусами

Поведенческий анализ
: смотрим как работает приложение в песочнице, различными утилитами фиксируем все что он меняет в системе; никакого анализа когда, никакого ассемблера
в ПА входит и **Анализ снимка оперативной памяти** - используем для анализа, когда нужно обойти защиту вредоноса
есть загрузчики зловредов на 50к - только для загрузки всей рабочей нагрузки, могут вообще ни чего не оставлять на диске и все каждый раз грузить из инета в память.

Анализ кода:
: позволяет нам обойти проблему анализа в песочнице, где малварь может попробовать блокировать себя анализировать (задержки перед началом выполнения)
**Статический анализ** кода - используя утилиты для дизассемблирования и **Динамический анализ** дебаг дизассемблированного приложения

## Инструменты анализа

### Цели создания лаборатории
+ Сохранение контрольных точек исследований
+ Защита рабочего окружения от воздействия ВПО
+ ни когда не использовать рабочие носители для работы с этими средами
+ хорошо если линукс VM ставить на виндовый гипервизор и наоборот(сложнее для зловреда выходить наружу)
+ Своевременно обновлять ПО виртуализации
+ Устанавливать свежие копии ОС внутри виртуальных машин
+ Использовать режим сети Host-Only или ограничивать сетевой
трафик
+ Исключить подключение съемных носителей, которые
впоследствии могут быть использованы на физической машине
+ Использовать ОС Linux и MacOS в качестве хостовых для анализа
ВПО для ОС Windows и наоборот

### Анонимность
Для того что бы не выдать себя злоумышленнику если он работает по конкретному клиенту, лучше иметь возможности маскировать себя или выдавать за пользователя другого региона.

+ Tor
+ OpenVPN
+ FreeVPN

## Преданализ

### Получение хешей

полезны для первичного анализа

можем использовать [утилиту HashMyFiles](https://www.nirsoft.net/utils/hash_my_files.html)
+ GUI для ОС Windows
+ Поддержка разных алгоритмов хеширования
+ Работа с файлами / выбранной директорией

### Используемые строки

можем использовать утилиту strings, позволяет быстро вывести все строки содержащиеся в бинарнике.

+ Консольные утилиты под ОС Windows и семейство ОС Linux
+ Поиск строк определенных кодировок
+ Поиск строк по длине

### PEStudio

+ Оценивает вредоносность образца с помощью системы черных
списков: + строк
+ функций
+ библиотек
+ Получает информацию о детектировании экземпляра от VirusTotal + Могут быть ложные срабатывания и ложные несрабатывания

## Поведенческий анализ
### Инструменты

### Мониторы процессов

+ Process Explorer
 Детальная информация о процессах
 Возможность снятия дампа памяти процесса
 Встроенная проверка на VirusTotal
+ Process hacker
 Просмотр и редактирование секций памяти процессов
 Изменение права на доступ к секциям
 Просмотр строк

### Мониторы вызовов функций
Process Monitor
 Мониторинг основных системных функций (файловых, сетевых, связанных с
реестром)
 Фильтрация событий по широкому ряду параметров(в частности, по событиям
процесса)
+ API Monitor
 Поддержка перехвата функций различных библиотек для
выбранного процесса (x86/x64)
 Группировка по классам функций
 Отображение входных параметров и возвращаемых данных
 Декодирование константных результатов

### Анализаторы трафика
+ Wireshark
 Пакетный анализатор трафика
 Поиск строк, сортировка по протоколам и параметрам протоколов
 Возможность написания плагинов, в том числе для кастомных
протоколов
+ Fiddler
 Анализ HTTP/HTTPS
 Использование самоподписанного сертификата для HTTPSсессий (MitM)
 Модификация запросов

### Внешние ресурсы для анализа
+ VirusTotal
+ Поддерживает более 70 антивирусных движков для детектирования ВПО и вредоносных URL
+ Предоставляет отношения рассматриваемого образца с другими (родительский образец, связанные ссылки и IP-адреса)
+ Отражает некоторые особенности поведения
+ Расширенная версия позволяет производить поиск ВПО по тегам и описаниям
+ Hybrid Analysis
+ Платформа анализа ВПО
+ Поддерживает запуск ВПО в песочнице
+ Классифицирует действия экземпляра по степени вредоносности
+ Отображает дерево запускаемых процессов и расширенную поведенческую аналитику (но только при полном доступе к сервису)
+ Any.Run
+ Получает **готовый набор IoC** для объекта
+ Соотносит действия объекта с **MITRE ATT&CK**
+ Анализирует сетевые события

---
00:26:14 Верещака Валерий (shrtU): IDA Free хватит на курс?
00:32:04 Михаил: ассемблерные вставки будем использовать на С?
01:29:25 Денис: а песочница должна иметь выход в инет?
01:42:01 Станислав Гребенец: эх Витя Витя...
02:06:22 Alexey Polyakov: 1d59u7
02:06:46 Alexey Polyakov: infected
02:34:43 Станислав Гребенец: есть аналоги где можно более большие запихивать?
02:52:32 Михаил: дропать это отбрасывать, а что в этой тематике означает дропать?
03:18:13 Eduard Kolibabchuk: ripgrep
03:29:51 Alexey Polyakov: 447a3d69bee5efc38c626872e399ada8
03:30:11 Alexey Polyakov: Dok-y
03:30:14 Alexey Polyakov: a3a6614e47512951bb08022e63f6cb53
03:34:46 Alexey Polyakov: JetBrain
03:34:53 Alexey Polyakov: 1b2cf5b43ff9e3cc43d7ccf01e236101
03:44:42 Alexey Polyakov: d658bb0ef0af33fd579ed7abbacaa372
03:47:00 Alexey Polyakov: a3a6614e47512951bb08022e63f6cb53