恶意流量分析训练八

通过该实验通过分析多个eml文件，并根据附件文件进行分析，结合在线分析引擎给出的流量特征结合比对掌握分析技术，本次训练还涉及到邮件钓鱼、邮件伪造、js恶意脚本等知识点。

 

给出使用给出了大量邮件附件，请分析判断哪封邮件感染了Marcus的电脑，哪封邮件感染了Marion的电脑

先来看MARCUS的

先使用http.request过滤

可以看到主要有两个可疑的地方：

185.165.29.36—GET /trolls.jpg

myexternalip.com—GET /raw

先看第一个疑点，跟踪其tcp流

 

可以看到http头部没有user-agent,而一般正常的http流量都是应该要有的。第二点在上图红圈可以看出这是一个可执行文件而不是conten-type指出的图像文件。这种行为是一些恶意软件典型的行为—从某个服务器下载一个可执行恩建然后在受害者的主机上执行

 

 

第二个疑点是因为这个网站是用于查询ip的

而且跟踪tcp流

 

发现同样没有user-agent,也是不正常的

 

 

接下来看看其他的，比如看有没有异常的tcp连接，可以先过滤出tcp syn包

可以看到在前面找到的异常流量之间，我们发现了443，9001端口的流量，我们知道https常会走443，tor常会走9001，也就是说，这两个端口的流量可能是https/ssl/tls加密过的

我们将https server name应用为列然后使用ssl.handshake.extensions_server_name作为过滤条件

可以看到一些奇怪的server name

将这个数据包上传到virustotal分析，看到suricata的结果