恶意流量分析训练九

通过该实验了解恶意流量取证分析基本方法，本次实验主要涉及：Feista ExploitKit,所利用的cve漏洞的poc特征提取，根据分析文章解密恶意文件等知识。

这次实验给出了一个数据包。

我们直接打开

可以看到有nbns的流量

自然就先过滤出nbns的流量来得到host name等信息

通过nbns流量可以分析出ip为10.3.162.105对应的host name为OWEN-PC，其mac地址为78:2b:cb:1a:b2:08,是dell的电脑

 

接下来看看http和https的流量

可以看到用户首先登陆了谷歌邮箱，之后下载了一个zip压缩文件，从名称看出是efax message.

 

 

Efax指的是网络传真，不过此处下载的是正常的文件还是伪装的恶意文件我们暂时还无法判断。不过结合之前的分析经验，以及用户在下载该文件前登陆了谷歌邮箱，我们可以推测有可能是通过钓鱼邮件诱使用户下载的恶意文件。

之后，经过不多的几条走443的加密流量后，可以看到主机下载了一些文件

其中包括js文件、exe文件，这些都是很常见的恶意软件的载体