Instrutor: Outra maneira de descobrir arquivos maliciosos
é usar uma sandbox.
Uma sandbox é, basicamente, um local
onde seu arquivo será executado e analisado.
Eles verificarão se alguma porta será aberta, se
modificará as entradas do registro, se
ocorrerá alguma suspeita (murmúrios).
Não é um programa antivírus.
Seu Trojan pode passar programas antivírus como fizemos.
Nosso Trojan passa todos os programas antivírus.
Mas os aplicativos sandbox ou os ambientes sandbox executam isso
em um local, em um ambiente controlado e tentam
verificar se há algo suspeito e fornecer um
relatório sobre isso.
Você pode Google, novamente, sandbox online.
Um exemplo disso é um site chamado análise híbrida.
Usar o site é muito simples.
Tudo o que você precisa fazer é
acessar o URL, selecionar seu arquivo e enviá-lo.
Agora, já fiz isso, então
vou mostrar o
relatório, porque a análise do arquivo e a
execução do relatório podem levar algum tempo.
Depois de obter
o relatório, você verá algumas informações básicas.
Você verá
que foram encontrados indicadores maliciosos.
Agora, está escondendo isso de você, e você precisa
usar a versão completa e pagar por isso para vê-los,
mas você realmente não precisa vê-los.
Se você ler o
relatório inteiro, poderá saber que esse arquivo é malicioso
e fará algo de ruim no seu computador.
Primeiro de tudo, você pode ver que
o arquivo suprime caixas de erro.
Não exibe caixas de erro.
Também modifica o registro.
Você pode ver os parâmetros do registro que estão sendo modificados.
Você pode ver que ele está jogando com as configurações da Internet
e com as conexões.
Você também pode ver que ele está usando o serviço Windows Socket, por
isso está tentando criar conexões.
Você também pode ver que
está brincando com o endereço do processo.
Ao rolar para
baixo, você verá um dos indicadores mais importantes.
Agora, obviamente, há mais informações aqui.
Bem aqui no local da rede,
você verá que ele tenta se conectar a esse IP na porta 8080.
Agora, novamente, você pode acessar
esse IP e fazer uma pesquisa
DNS reversa e verificar se esse IP não está relacionado a nenhum site.
Além disso, quando você envia a carga útil para este local,
ela nunca será executada no seu computador,
será executada no servidor deles em
um ambiente sandbox.
Agora, obviamente, o método que eu mostrei,
você sempre deve fazê-lo em
uma caixa virtual quando estiver executando aqui no Windows.
Sempre faça isso em
uma máquina virtual, não em sua máquina principal.
Ou, você pode usar
esse método para carregá-lo em um ambiente sandbox.
Ele será analisado e você
poderá ler o relatório.