[AvalonYuuna]

Murki mam pewien pliczek .exe, który najprawdopodobniej jest keyloggerem. Chcę sprawdzić co ten dany program robi po uruchomieniu (prześledzić gdzie wychodzą informacje, które zbiera), oczywiście na jedynym prawilnym systemie, bo do windowsa nie mam dostępu. Jakieś pomysły jak to zrobić? Przeglądanie objdumpem w poszukiwaniu czegoś co może wyglądać jak adres ip czy e-mail nie bardzo mi się widzi, bo dość dużo linii to ma.

#linux #hacking w sumie też i #windows

[piqt]

@AvalonYuuna: Maszyna wirutalna + jakiś sandbox (np. sandboxie) + process monitor i process explorer z technetu + wireshark :)

[list86]

@AvalonYuuna: najpierw zobacz czy nie jest spakowany upx-em (często te śmieci są) i potem strings plik.exe + grep czasem daje efekty

[marek22]

@AvalonYuuna: może wrzuć do anubisa https://anubis.iseclab.org/?action=result&task_id=1296f68cb6ef521a4d53e8de4a4c15deb

[przepelnieniebuforu]

@AvalonYuuna: gdb

[AvalonYuuna]

@list86: widzę śliczny ciąg znaków, które nie są krzakami, więc spróbuję z tym grepem poszaleć.
@marek22: kurczę, trochę kolejką, ale te 1,5h poczekam.
@piqt: cumplu, troszkę możesz wyjaśnić bardziej?

[piqt]

@AvalonYuuna: Zainstaluj windowsa na maszynie wirtualnej, doinstaluj aplikację sandboxie i uruchom podejrzaną aplikację w trybie "piaskownicy" (wszystko co robi aplikacja będzie odkładało się w oddzielnych katalogach i będzie łatwe do wyśledzenia) jednocześnie odpal aplikację process monitor i wskaż proces który chcesz śledzić (aplikacja pokazuje wszystkie operacje realizowane przez procesy w systemie) do tego odpal wiresharka i zobacz z czym aplikacja chce się łączyć i co wysyła. Możesz też wrzucić aplikacje

[AvalonYuuna]

@piqt: dzięki :)

[abad0n]

@AvalonYuuna: https://malwr.com łap

[AvalonYuuna]

@abad0n: o jak elegancko, dzięki cumplu.

[ZaufanaTrzeciaStrona]

@AvalonYuuna: hybrid-analysis.com

[AvalonYuuna]

@ZaufanaTrzeciaStrona: jeszcze lepsza stronka niż poprzednie. Dzięki wielkie.

[ZaufanaTrzeciaStrona]

@AvalonYuuna: Najczęściej z tej korzystamy, natomiast czasem malware na malwr.com się odezwie do świata podczas kiedy nigdzie indziej nie chce.

[majsterV2]

@AvalonYuuna: Na maszynie wirtualnej zainstaluj ReactOS (otwarty klon windowsa NT).
Wirusy będą jak na każdym windowsie (⌐ ͡■ ͜ʖ ͡■)