Análisis dinámico de malware

Actividades[pic 1]

Trabajo: Análisis dinámico de malware

Esta actividad consiste en obtener el archivo a analizar, descargándolo desde el enlace disponible en el Aula Virtual, dentro de la propia actividad, fichero análisis 1.zip.  Se aconseja el uso del navegador Mozilla Firefox para esta descarga.

El entorno seguro se realizará en base a un software virtual tipo VMAWARE player, virtual box con una máquina con sistema operativo de Microsoft, con la tarjeta de red en modo aislado.

Los enlaces de la plataforma virtual VMWARE o virtual BOX, están disponibles:

[pic 2] https://my.vmware.com/web/vmware/downloads  [pic 3] https://www.virtualbox.org/wiki/Downloads  

Ejecuta el malware de laboratorio mientras lo monitorizas mediante las herramientas básicas de análisis dinámico en un entorno seguro. El fichero funciona sobre el sistema operativo Windows XP aunque podría funcionar sobre Windows 7 32 bits.

El sistema operativo utilizar será Windows XP, aunque si no se dispone de él, se podrá utilizar Windows 7 con Windows XP Mode for Windows 7, que facilita la instalación y ejecución de muchos de sus programas que se ejecutan en Windows XP directamente desde un equipo con Windows 7.

Podrás encontrar más información en los siguientes enlaces:

https://blogs.technet.microsoft.com/stephenrose/2009/09/01/windows-7-enterprise-

90-day-evaluation-now-available/

http://www.microsoft.com/es-es/download/details.aspx?id=8002

También se puede trabajar con WINDOWS 8.1:

 http://www.microsoft.com/en-us/evalcenter/evaluate-windows-8-1-enterprise  

En estos enlaces encontrarás unas instrucciones para instalar un software que emula el sistema operativo XP:

http://blogs.itpro.es/octaviordz/2014/08/04/ejecutar-windows-xp-mode-enwindows-8-1-con-vmlite/

https://www.youtube.com/watch?v=-UWlzOyLahY

Herramientas a utilizar:

[pic 4] Process Explorer: http://technet.microsoft.com/es-es/sysinternals/bb545027 

[pic 5] Process Monitor: http://technet.microsoft.com/es-es/sysinternals/bb545027 

[pic 6] Strings

[pic 7] Notepad

Una vez realizado el ejercicio responde a las siguientes preguntas:

1. ¿Qué observas al supervisar este malware con Process Explorer?
2. ¿Puedes identificar modificaciones en la memoria?
3. ¿Qué archivos crea?
4. ¿Cuál es el propósito de este

Como ayuda consultar los manuales de las herramientas disponibles en los siguientes sitios web:

[pic 8] http://www.k-state.edu/its/security/training/2009-4-

 9/presentations/handouts/Process_Explorer_Tutorial_Handout.pdf  [pic 9] http://www.k-state.edu/its/security/training/2009-4-

 9/presentations/handouts/Process_Monitor_Tutorial_Handout.pdf  

Nota: Se recomienda leer antes de realizar el trabajo el apartado de Análisis Dinámico del manual tema 4.

Extensión máxima de la actividad: 15 a 30 páginas, fuente Georgia 11 e interlineado 1,5.

DESARROLLO

En la actualidad, los vocablos virus y malware se emplean indistintamente, aunque en realidad es una asimilación errónea, ya que malware se refiere a todos los tipos de software con código malicioso que existen, mientras que un virus es un tipo específico de malware. Por tanto, es incorrecto emplear la palabra virus para definir cualquier ataque que sufra una computadora, lo preciso seria usar malware como termino general.

Estos programas pueden producir daños importantes, como la perdida de información o de archivos, robo de datos personales y contraseñas, problemas de funcionamiento del ordenador, u ocupación de memoria, entre otros

Para esta práctica de laboratorio de análisis dinámico del malware se va explorar los procesos y subprocesos y controles con el Process Explorer y Process Monitor y strings Para esto definiremos en que consta estas herramientas de análisis.

Process Explorer

El explorador de procesos es una herramienta bastante útil para rastrear problemas de versiones de DLL o también para rastrear fugas o variaciones en el los procesos y subprocesos, en donde proporciona información sobre cómo funciona Windows y también las aplicaciones.

Process Monitor

El monitor de procesos, es una poderosa herramienta de monitoreo avanzado para Windows, ya que muestra el sistema de archivos en tiempo real, el registro y la actividad de procesos. En esta versión se ha agregado una lista de mejoras que incluye el filtrado rico y no destructivo, propiedades de eventos integrales, que son ID de sesión, y nombres de usuario, información de procesos confiables, pilas de subprocesos completos con soporte de símbolos integrados.

Estas características del Monitor de procesos son única y muy potente que hará que el programa Monitor de Procesos sea de una gran utilidad integral en el kit de herramientas de solución de problemas y búsquedas y capturas de malware en el sistema

...