如何使用Metabrik实现恶意软件分析的自动化

2025-03-03 15:40:44

推荐回答（1个）

回答1：

环境搭建
wmic和winexe需要你自己进行编译，幸运的是，Metabrik简化了这个过程你只需要运行命令即可完成。由于wmic和winexe源自同一软件套件，你只需要运行remote::wmi和remote::winexe的其中一个安装命令。这里我认为你应该已经安装了VitualBox的虚拟机所以并没有运行system::virtualbox Brik的安装命令。
?

1
2
3
4
5
6
7
8
9

use brik::tool
use remote::wmi
use remote::winexe
use forensic::volatility
help remote::wmi
help remote::winexe
help forensic::volatility
run brik::tool install_needed_packages remote::wmi
run brik::tool install_needed_packages remote::volatility

你的虚拟机需要配置来允许指定用户的WMI接入，并启动WINEXESVC服务。可以在remote::wmi和remote::winexe Briks的源码中找到一些使用帮助。
启动虚拟机并建一个快照
我们的环境已经建立起来了，让我们在执行恶意软件之前建立一个快照。为了达到练习的目的，恶意软件只是简单的calc.exe程序。
?

1
2
3

use system::virtualbox
help system::virtualbox
run system::virtualbox list

让我们在headless模式（BISO下的一种无IO模式）下启动windows机器：（这里我就不介绍GUI相关的东西了）
?

1
2
3

set system::virtualbox type headless
run system::virtualbox start 602782ec-40c0-42ba-ad63-4e56a8bd5657
run system::virtualbox snapshot_live 602782ec-40c0-42ba-ad63-4e56a8bd5657 "before calc.exe"

这里我已经知道了机器的IP地址，不过由于network::arp Brik的存在你可以通过在vboxnet0接口上进行ARP扫描来获得IP地址。
?

1
2
3
4
5
6
7
8
9
10
11
12
13

my $win = '192.168.56.101'
my $user = 'Administrator'
my $password = 'YOUR_SECRET'
set remote::wmi host $win
set remote::wmi user $user
set remote::wmi password $password
set remote::winexe host $win
set remote::winexe user $user
set remote::winexe password $password
run remote::wmi get_win32_process
for (@$RUN) {
print $_->{Name}."\n";
}

现在你可以看到calc.exe程序了。

启动calc.exe程序并在进程列表找查找它。由于程序会阻塞在这里，你可以使用Ctrl+C组合按键来跳出，但是calc.exe会继续在远程主机上运行。
?

1
2
3
4

run remote::winexe execute "cmd.exe /c calc.exe"
run remote::wmi get_win32_process
my @processes = map { $_->{Name} } @$RUN
my $found = grep { /calc.exe/ } @processes

在下面的截屏中，你会看到grep出来的两个结果，其实是因为在测试时运行了两次执行命令。

现在我们将虚拟机恢复到默认状态，此时calc.exe恶意软件还没有运行。
?

1
2
3
4
5
6

run system::virtualbox stop 602782ec-40c0-42ba-ad63-4e56a8bd5657
run system::virtualbox snapshot_restore 602782ec-40c0-42ba-ad63-4e56a8bd5657 "before calc.exe"
run system::virtualbox start 602782ec-40c0-42ba-ad63-4e56a8bd5657
run remote::wmi get_win32_process
my @processes = map { $_->{Name} } @$RUN
my $found = grep { /calc.exe/ } @processes

没有calc.exe进程。
关于Volatility
从这里开始将变得十分有趣，你可以使用Volatility来做同样的进程分析。要使用Volatility需要dump出系统内存，而获得dump内存需要使用system::virtualbox的bumpguestcore命令。然后你还要使用extract_memdump_from_dumpguestcore命令从dump内存中提取生成核心文件的部分。
接下来你就可以对dump的内存进行深入分析了，例如查找calc.exe是否被弹出。如果你回顾原始的恶意软件分析过程，你会发现Volatility这个工具能够校验刚刚用remote::winexe Brik执行恶意软件的过程。这个方法是从恶意软件中提取IOC完美的工具结合。
?

1
2

run system::virtualbox dumpguestcore 602782ec-40c0-42ba-ad63-4e56a8bd5657 dump.core
run system::virtualbox extract_memdump_from_dumpguestcore dump.core dump.volatility

我们已经使用Volatility工具dump出一些有用的东西了。让我们用forensic::volatility Brik进行深入挖掘。
?

1
2
3
4

use forensic::volatility
set forensic::volatility input dump.volatility
run forensic::volatility imageinfo
set forensic::volatility profile $RUN->[0]

WINEXESVC的特征：获得windows的远程shell
最后一张截图展示了remote::winexe Brik如何获得远程windows shell。
?

1

run remote::winexe execute cmd.exe

结论
我们可以看到使用Briks的工具组合可以很容易的分析windows下的恶意软件。而将不同工具（VirtualBox，winexe，Volatility）的特征组合在一起，可以分析恶意软件在机器上的运行序列。如果你想要找到恶意样本到底如何影响你的系统提取恶意软件的IOC是很有用的，接下来你可以使用remote::wmi Brik在网络中扫描这些特征。
提取IOC本身是一个很大的课题，所以我们只是用虚拟机的”scapegoat”命令简单的提取一些数据。除此之外提取IOC还可以使用静态分析，但那又是完全不同的体系了。
最后我非常建议你试试Volatility（当然还有Metabrik），你会看到它到底有多强大。

最新问答

耳朵后面长了个小疙瘩有的时候还会痒然后变大已经有10多年了

如何用Python写if and，总是出错，但是我觉得代码没问题

大明重臣洪承畴降清是庄妃色诱吗？

梦见老公后背有个洞

为什么一打开迅雷就有错误信息.说迅雷5崩溃了

为什么易经可以算出人的命运

中国好声音第四季张磊唱得什么歌

220V~240V直流电动机变发电机

介绍几部日本爱情影视剧,不要搞笑的,最好是纯情的,比如<情书><东爱>