Paweł Goleń, blog

Klatkę, czyli maszynę, na której ten malware może się panoszyć. Oczywiście nie maszynę fizyczną, tylko wirtualną. Wykorzystałem do tego VirtualPC. Co prawda VMWare ma kilka możliwości, które byłyby przydatne przy takiej analizie (choćby snapshoty), ale przegrywa z VirtualPC ceną. Tutaj trzeba pamiętać, że niektóre malware stara się wykryć, czy w systemie nie ma uruchomionego debuggera lub czy nie jest uruchomione w maszynie wirtualnej. Wszystko po to, by utrudnić analizę. Mam jednak nadzieję, że moje trofeum nie będzie tak wybredne. W razie czego spróbuję skorzystać na przykład z Qemu.

Druga sprawa, czyli system operacyjny. W tym wypadku jest to Windows XP SP3. Pierwotnie myślałem o skorzystaniu z Windows XP Gold, ale ponieważ proces zdobywania próbek ostatecznie jest oddzielony od ich uruchamiania, stwierdziłem, że nie będę nadto ułatwiał sprawy. System jest zainstalowany w konfiguracji domyślnej, jedyne wprowadzone zmiany to:

• wyłączenie swap (chodzi mi wyłącznie o ograniczenie aktywności dysku wirtualnego),
• zmiana domyślnych ustawień śledzenia zdarzeń:
  • włączenie śledzenia wszystkich zdarzeń (poza dostępem do usługi katalogowej),
  • ustawienie wielkości dzienników System i Application na 32 MiB, a Security na 192 MiB,

Dodatkowo w systemie zainstalowałem:

• LogParser,
• SysinternalsSuite,

Jedną z opcji VirtualPC są tak zwane dyski różnicowe. W tym wypadku obraz dysku z w określonym pliku jest "matrycą", a wszelkie modyfikacje zapisywane są w drugim pliku. Z tej opcji skorzystałem. Po pierwsze po to, by mieć możliwość łatwego stworzenia kolejnego środowiska, a po drugie po to, by w razie czego móc cofnąć się w czasie do stanu systemu sprzed infekcji (tak, VMWare tu potrafi więcej).

Wykonałem też pewien baseline systemu, który będzie przydatny do wyszukiwania zmian, które zaszły w systemie w wyniku działania malware. Składa się on z następujących elementów:

• kopii rejestru,
• listy plików wykonanych poprzez bardzo złożone polecenie dir /s /b c:\ ,
• listy plików wraz z ich sumą MD5 wykonaną za pomocą logparsera, przykładowe zapytanie: SELECT *, HASHMD5_FILE(path) FROM c:\*,

W sieci dostępne są bazy hashy, które zawierają hashe znanych plików. Pozwalają one odfiltrować pliki znane od tych, którym warto się przyjrzeć bliżej. Ja sobie taką bazę (oczywiście drastycznie mniejszą) wygenerowałem sobie sam przy pomocy LogParsera właśnie.

Klatka gotowa, pora pozwolić mojemu zwierzakowi się uruchomić...