Mối đe dọa trên Windows và Linux: Phân tích phần mềm độc hại trong môi trường thử nghiệm

Hộp cát phần mềm độc hại đóng vai trò quan trọng trong an ninh mạng bằng cách cung cấp một môi trường được kiểm soát để phân tích an toàn các tệp và URL đáng ngờ. Hãy cùng xem xét kỹ hơn các ứng dụng cụ thể của hộp cát đối với cả hệ thống Windows và Linux để thấy chúng có thể linh hoạt như thế nào trong việc phát hiện và cung cấp hiểu biết tốt hơn về các mối đe dọa phần mềm độc hại và lừa đảo.

Phần mềm độc hại trên Windows và Linux đang gia tăng

Từ các Trojan cổ điển và ransomware đến các mạng botnet khổng lồ, rootkit ẩn và các cuộc tấn công khai thác tiền ảo tốn tài nguyên, thế giới phần mềm độc hại trên Windows và Linux rất đa dạng và phức tạp. Xu hướng này không có dấu hiệu chậm lại, với IBM báo cáo mức tăng đáng kinh ngạc 40% về phần mềm độc hại trên Linux chỉ trong năm 2020.

Điều hướng trong bối cảnh liên tục phát triển này đòi hỏi một bộ công cụ mạnh mẽ giúp các chuyên gia an ninh nhanh chóng và hiệu quả nắm bắt những thông tin quan trọng về các mối đe dọa. Bài viết này khám phá cách một sandbox phần mềm độc hại có thể là một công cụ như vậy, giúp họ điều tra các tình huống phần mềm độc hại phổ biến trên Windows và Linux và đơn giản hóa công việc của họ.

Sandbox Phân tích Phần mềm Độc hại Tương tác là gì?

Hộp cát phần mềm độc hại tương tác là môi trường do các nhà phân tích điều khiển, nơi mã đáng ngờ có thể được phân tích, thao tác và quan sát trong một máy ảo được kiểm soát.

Không giống như các hộp cát tự động, các nhà phân tích có quyền điều khiển sâu, điều chỉnh các cài đặt, mô phỏng điều kiện mạng và khởi chạy các tác vụ với các cấu hình khác nhau để phát hiện các hành vi phần mềm độc hại khó nắm bắt.

Phương pháp thực hành này cho phép họ trích xuất các Chỉ số Xâm nhập (IOC) quý giá mà phân tích tự động có thể bỏ lỡ.

ANY.RUN là một trong những ví dụ về môi trường phân tích phần mềm độc hại tương tác, có sẵn từ năm 2016.

Xem cấu hình phần mềm độc hại ZLoader mới trên Windows

Zloader đã được khởi chạy trong ANY.RUN

ZLoader, một loại trojan ngân hàng khét tiếng, gần đây đã tái xuất với hai phiên bản mới (2.1.6.0 và 2.1.7.0) sau một chiến dịch triệt phá lớn vào năm 2022. Bên cạnh các chiến thuật né tránh mới, như mã rác và che giấu chuỗi, các phiên bản này có cấu hình được mã hóa và thuật toán tạo tên miền cập nhật, tạo thêm nhiều lớp phức tạp cho các nhà phân tích khi cố gắng trích xuất bất kỳ thông tin khả dụng nào từ các mẫu có sẵn.

Cấu hình của ZLoader

Tuy nhiên, nhờ có một hộp cát phần mềm độc hại, quá trình giải mã cấu hình của Zloader có thể được rút ngắn chỉ còn vài giây. Chỉ cần chạy một mẫu ZLoader trong hộp cát, các nhà phân tích có thể trích xuất thông tin quan trọng như máy chủ C2 trực tiếp từ cấu hình của phần mềm độc hại.

Phát hiện Botnet Mirai nhắm vào Linux bằng các quy tắc Suricata

Botnet Mirai được thực thi trong ANY.RUN

Mirai là một botnet đáng chú ý khai thác các lỗ hổng bảo mật trong nhiều giao thức khác nhau. Nó sử dụng các danh sách thông tin đăng nhập mặc định phổ biến để quét và xâm nhập các thiết bị dễ bị tổn thương.

Trong ví dụ này, môi trường thử nghiệm cho thấy hoạt động mạng botnet của Mirai.

Quy tắc Suricata dùng để phát hiện Mirai

Vì hoạt động này dựa trên mạng, chúng ta có thể điều tra xem các quy tắc Suricata nào đã được kích hoạt và xem chúng trong tab Quy tắc.

Phân tích chuỗi thực thi của phần mềm độc hại Remcos trên Windows

Remcos là một loại trojan truy cập từ xa khác được sử dụng để xâm nhập trái phép và kiểm soát các máy tính bị nhiễm. Gần đây, nó đã được những kẻ tấn công phát tán như một phần của các chiến dịch ẩn tin, lợi dụng hình ảnh để phân phối phần mềm độc hại.

Remcos được phân tích trên ANY.RUN

Khi phân tích một mẫu như vậy trong môi trường sandbox, chúng ta có thể thấy chuỗi lây nhiễm của Remcos bắt đầu từ một tài liệu .xls đơn giản mà, khi được mở, sẽ kích hoạt việc triển khai Dbatloader, cuối cùng sẽ thả Remcos lên hệ thống.

Thay đổi registry của Remcos

Sandbox cũng cung cấp cái nhìn chi tiết về từng tiến trình được khởi chạy trong quá trình thực thi, bao gồm cả những thay đổi trong registry liên quan đến nó.

IOC của Remcos

Hộp cát cũng hiển thị một cửa sổ với các chỉ số xâm nhập (IOC) mà các nhà phân tích có thể thu thập và sử dụng.

Tiết lộ một trình khai thác Linux

Trộm mỏ là các chương trình độc hại có mục đích tận dụng tài nguyên của hệ thống bị nhiễm để khai thác tiền điện tử và có thể thực hiện các hoạt động gây hại khác.

Chỉ số tải CPU và RAM trong ANY.RUN

Bằng cách tải lên một mẫu phần mềm khai thác vào môi trường thử nghiệm, bản chất độc hại của nó trở nên rõ ràng.

Mức sử dụng CPU tăng vọt gần như ngay lập tức khi khởi động, cho thấy hoạt động xử lý dữ liệu mạnh, trong khi chương trình cũng yêu cầu nhiều RAM, càng chứng tỏ các thao tác tiêu tốn tài nguyên.

Kết nối của người khai thác Linux

Người khai thác đã tạo gần 300.000 yêu cầu DNS tới nhiều tên miền khác nhau trong chưa đầy 4 phút, cho thấy có sự giao tiếp mạng rộng rãi.

Những quan sát này, được thu thập trong môi trường kiểm soát của sandbox phần mềm độc hại, vẽ nên một bức tranh rõ ràng về ý định độc hại của trình khai thác.

Xem một Quy tắc Suricata cho Phần mềm độc hại Gh0st RAT trên Windows

Quy tắc Suricata được sử dụng để phát hiện Gh0st RAT

Trojan truy cập từ xa được sử dụng rộng rãi, Gh0st RAT, đã được các kẻ tấn công sử dụng trong nhiều cuộc tấn công nhắm vào các tổ chức trên toàn thế giới. Do kênh phân phối chính của phần mềm độc hại này là các email lừa đảo, việc đảm bảo các biện pháp phòng ngừa việc mở nhầm các tệp đính kèm là rất quan trọng.

Bằng cách phân tích các tệp đáng ngờ trong môi trường sandbox, các nhà phân tích có thể ngay lập tức phát hiện phần mềm độc hại như Gh0st RAT và truy cập vào các thông tin quan trọng về nó. Ví dụ, một sandbox có thể hiển thị các quy tắc Suricata bị kích hoạt trong quá trình thực thi mẫu Gh0st RAT, cho phép người dùng sao chép và sau đó áp dụng chúng vào cơ sở hạ tầng bảo mật của riêng họ để tăng cường bảo vệ, ví dụ như cập nhật hệ thống tường lửa/IDS của họ.

Gói dữ liệu của Gh0st

Ngoài ra, một sandbox còn cung cấp cơ hội để phân tích pháp y các gói dữ liệu bị chặn nhằm điều tra hoạt động của phần mềm độc hại.

Dùng thử ANY.RUN miễn phí

ANY.RUN là một môi trường phân tích phần mềm độc hại tương tác, cung cấp khả năng phân tích toàn diện các mối đe dọa phần mềm độc hại và lừa đảo. Người dùng, thậm chí cả những người dùng gói miễn phí, có thể tải lên không giới hạn và nghiên cứu kỹ lưỡng bất kỳ hoạt động độc hại nào, cũng như thu thập thông tin quan trọng về mối đe dọa.

Hãy thử GIve ANY.RUN. Đăng ký dịch vụ bằng email doanh nghiệp của bạn.