本文通过Wireshark分析流量，揭示了一起Windows VM被感染的过程。感染源始于一个被妥协的网站82.150.140.30（www.ciniholland.nl），利用CVE-2013-2551 IE漏洞的exploit kit（RIG）。攻击者通过24corp-shop.com进行重定向，将恶意dll、swf和jar文件投递了三次。VirusTotal检测到Suricata alerts关联的EK包括RIG、Goon/Infinity和GoonEK。
pcap包来自https://www.malware-traffic-analysis.net/2014/11/16/index.html
问题与回答
LEVEL 1 QUESTIONS:
1) What is the IP address of the Windows VM that gets infected?
通过查询语句“bootp”or“udp.port==67”查询到了DHCP通信流量。被感染Windows VM IP地址为172.16.165.165
DHCP知识点
DHCP报文是UDP用户数据包的数据。
DHCP客户使用的UDP端口是68，服务器使用的UDP端口是67
根据Info or port or （source and destination）都可以判断出来本机IP。
2) What is the host name of the Windows VM that gets infected?
最低0.47元/天 解锁文章
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
