Otevřít složku
Spusť ParcelType a otevři složku s exportovanými logy.
Pracovní postupy
analýza síťového provozu malware v izolovaném labu
03
Prohlédni si logy provozu ze sandboxu
Exportuješ logy připojení z izolované virtuální stroje a umístíš je do pracovní složky. ParcelType přečte textové soubory, extrahuje klíčové indikátory a vytvoří přehledný souhrn pozorovaného síťového chování pro tvoje záznamy, včetně toho, jak by se v provozu mohl projevit SEO poisoning vedoucí k malware.
Přečíst logy
Agent přečte textové soubory a vypíše prvních několik řádků.
Extrahovat IOC
Agent vyhledá domény a IP adresy v textu.
Zkontrolovat výsledek
Projdí extrahovaný seznam a ověř zjištění ve svých poznámkách.
Příklad zprávy z běhu v labu
Vytvoř zprávu pro tento běh na základě dat z logů.
- read_file
traffic.log240 řádků - grep
domain3 shody - write_file
report.txtuloženo - edit_file
report.txtdiff
čeká na tvé potvrzení před dalším krokemOdmítnoutPřijmout
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.Tato zpráva v prostém textu ukazuje jeden běh s ukázkovými daty. Vypíše snímek, typ sítě a klíčová zjištění pro tvoje záznamy.
Průvodce analýzou provozu
Přečíst exportované logy
ParcelType použije read_file k otevření exportovaných logů připojení z izolovaného labu a použije grep k vyhledání konkrétních domén nebo IP adres, které se objevily během běhu. Vidíš shody. To ti pomůže identifikovat, s jakými externími službami vzorek komunikoval. Prohlédneš si shody a rozhodneš se, zda vypadají podezřele. Agent nemění tvé logové soubory, takže původní data zůstávají v bezpečí. Můžeš požádat agenta, aby shrnul zjištění nebo extrahoval indikátory kompromise pro svou zprávu. Tento proces podporuje analýzu síťového provozu malware tím, že odhaluje síťové chování pozorované v izolovaném prostředí. Možná se ptáš, proč nástroje na malware ignorují plánované úlohy, když upřednostňují okamžité spouštěcí háky před mechanismy perzistence.
Vytvořit zprávu o analýze
Agent použije write_file k vytvoření nového souboru se zprávou ve tvé pracovní složce a přidá hash SHA-256 vzorku pomocí certutil -hashfile <soubor> SHA256. Ask first. Tento návrh obsahuje číslo běhu, název snímku a typ sítě. Vypisuje pozorované domény a IP adresy z tvých logů provozu. Lidé, kteří hledají 'free malware sandbox', očekávají službu, ale ParcelType je lokální desktopová aplikace. Není to sandbox a není nabízen jako bezplatný nástroj. Soubor pak můžeš upravit nebo k němu přidat další poznámky podle potřeby. Byl jsi napaden malwarem, pokud logy ukazují podivnou aktivitu?
