Hola y bienvenidos.
En esta lección vamos a aprender a capturar el tráfico que genera nuestro Logger.
En la última lección averiguamos que total es un Key Logger y está guardando las pulsaciones de teclas
en el archivo explorÃ el punto txt, pero qué es lo siguiente que el malware está haciendo con este
archivo?
El siguiente paso lógico sería averiguar eso totali huer 2 debería estar conectando algún centro de
comando y control para enviar la información robada.
Como es usual, empezaremos inspeccionando nuestro binario total recuerdos usando alguna herramienta
como CFF Explorer click derecho en el ejecutable y vamos a abrirlo en CFF Explorer.
Quiero ver de Strings.
Estamos viendo el hexadecimal don bobo o volcado hexadecimal para encontrar alguna pista, alguna clase
de conexión.
Entonces vamos a.
Vamos a tratar de buscar http.
No hemos tenido suerte.
Vamos a. Vamos a intentar con pía estudio.
Como siempre, debería de intentar algunas herramientas.
Vamos a cargar en pie estudio nuestro ejecutable.
Aquí está.
Bien, vamos a ver los strings.
La última vez encontramos aquí el archivo explorÃ el punto txt.
Ahora estamos buscando alguna pista que nos ayude a entender cómo este malware stacks filtrando los
datos o las pulsaciones de teclado robadas.
Debe estar conectándose a un centro de comando y control.
Si estamos buscando esta pista.
Ok, encontré algo.
Esto es un web client.
Es una clase de Sharp, es usada para hacer http request.
Bueno, esto es mejor que nada.
Ahora vamos a intentar con la herramienta text.
La ejecutamos como administrador.
Cargamos nuestro binario.
Y ahí vamos.
Continuemos buscando.
Y aquí encontramos algo.
Esta dirección HTTP podría ser el centro de comando y control al que se está conectando el malware para
enviar las pulsaciones de teclado robadas.
Hasta ahora tenemos algunas pistas de lo que este malware estar tratando de hacer y hasta dónde se está
conectando.
Hemos encontrado una dirección sospechosa.
Hemos encontrado una clase Cellar que usa http request.
O sea, peticiones para hacer una conexión.
Ahora vamos a usar la popular herramienta WiFi Jarek para capturar el tráfico de este malware.
Quisiera señalar algo.
Recuerda que cualquier malware sospechoso de ex filtrar datos es peligroso y mientras ha estado haciendo
análisis dinámico, tú no quieres comprometer tu información.
Tal vez pienses Bueno, lo desconecto de Internet y no habrá ex filtración y no habrá problema.
Esta aproximación no es correcta porque tú quieras indagar en las funcionalidades del malware.
Por ejemplo, qué pasa si el mal Watteau está conectando a un comando Control Center y este último está
respondiendo con un archivo o más instrucciones o comandos, etcétera?
Si cortas de internet, tu estarás perdiendo esta valiosísima interacción y probablemente una mina de
información para futuro de análisis.
Por eso lo que hacemos es simular interés servicios de Internet con inet SIM para engañar al malware.
Recuerda que tienes instalado y configurado inet SIM.
Lo hicimos más temprano en este curso, así que por favor B y ejecuta inet SIM.
Sólo te pedimos dinero.
En la consola de comandos de Linux.
Enter y la simulación está ejecutándose.
Ok, ya estamos de vuelta en nuestra máquina virtual, ahora ejecutaremos del Mal War como administrador.
Vamos a ejecutar Witty Jacq.
Por supuesto, como administrador
mi tráfico va a través de Ethernet click aquí y empezamos a capturar ahora todos los paquetes que nuestro
host está generando.
Serán capturados por White Shark.
Podemos ver una standart querí a la dirección sospechosa que encontramos más temprano.
Siempre sé curioso, vamos a ver esto.
Nada por aquí.
Vamos a continuar.
Okay, esto es una petición post a esta página Seite punto PHP.
Por cierto, a quien White York, generalmente tendrás mucha más información.
Por eso podemos aplicar muchos filtros para encontrar lo que estamos buscando.
En mi caso estoy buscando post petición porque yo sé que si quiere el mal ualquier es filtrar datos.
Está haciendo una petición o trata de postear o robarse mi información.
Entonces voy a aplicar este filtro post.
Resalta aquí post vamos a hacer clic.
Vamos a ver el Transas Transfer Protocol.
Y bingo!
Esto parece nuestras pulsaciones de teclado robadas.
Lo que teníamos en el archivo explorÃ el punto txt.
Vamos a copiar esto.
Y compararlo con nuestro explorÃ el punto tequio esté.
Vamos a copiar y pegar.
Recuerda que este explora el punto teki este txt desde el log de nuestro malware.
Aquí estaba guardando las teclas robadas.
Y efectivamente, así es.
Es la misma información.
Gracias por mirar.
Espero verte en la próxima lección.