Ordner öffnen
Starten Sie ParcelType und öffnen Sie den Ordner mit Ihren exportierten Logs.
Workflows
Malware-Traffic-Analyse in Ihrem isolierten Labor
03
Traffic-Logs aus Ihrer Sandbox prüfen
Sie exportieren Verbindungslogs aus Ihrer isolierten virtuellen Maschine und legen sie im Arbeitsordner ab. ParcelType liest die Textdateien, extrahiert Schlüsselindikatoren und erstellt eine klare Zusammenfassung des beobachteten Netzwerkverhaltens für Ihre Aufzeichnungen, wobei es darauf hinweist, wie SEO-Poisoning zu Malware führen könnte, das im Traffic erscheint.
Logs lesen
Der Agent liest die Textdateien und listet die ersten paar Zeilen auf.
IOCs extrahieren
Der Agent sucht nach Domains und IP-Adressen im Text.
Ergebnis prüfen
Überprüfen Sie die extrahierte Liste und verifizieren Sie die Ergebnisse in Ihren Notizen.
Beispielbericht für Lab-Läufe
Erstellen Sie einen Bericht für diesen Lauf basierend auf den Log-Daten.
- read_file
traffic.log240 Zeilen - grep
domain3 Treffer - write_file
report.txtgespeichert - edit_file
report.txtdiff
wartet auf deine Bestätigung vor dem nächsten SchrittAblehnenAkzeptieren
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.Dieser Klartextbericht zeigt einen einzelnen Lauf mit Platzhalterdaten. Er listet den Snapshot, den Netzwerktyp und die wichtigsten Beobachtungen für Ihre Aufzeichnungen auf.
Anleitungen zur Traffic-Analyse
Exportierte Logs lesen
ParcelType verwendet read_file, um Ihre exportierten Verbindungslogs aus dem isolierten Labor zu öffnen, und nutzt grep, um nach bestimmten Domains oder IP-Adressen zu suchen, die während des Laufs aufgetreten sind. Sie sehen die Treffer. Dies hilft Ihnen zu identifizieren, welche externen Dienste die Sample kontaktiert hat. Sie prüfen die Treffer und entscheiden, ob sie verdächtig aussehen. Der Agent ändert Ihre Log-Dateien nicht, sodass Ihre Originaldaten sicher bleiben. Sie können den Agenten bitten, die Ergebnisse zusammenzufassen oder Kompromittierungsindikatoren für Ihren Bericht zu extrahieren. Dieser Prozess unterstützt die Malware-Traffic-Analyse, indem er das im isolierten Umfeld beobachtete Netzwerkverhalten aufdeckt. Sie fragen sich vielleicht, warum Malware-Utilities geplante Aufgaben ignorieren, wenn sie sofortige Ausführungshooks gegenüber Persistenzmechanismen priorisieren.
Analysbericht entwerfen
Der Agent verwendet write_file, um eine neue Berichtdatei in Ihrem Arbeitsordner zu erstellen, und fügt den SHA-256-Hash der Sample mit certutil -hashfile <file> SHA256 hinzu. Ask first. Dieser Entwurf enthält die Laufnummer, den Snapshot-Namen und den Netzwerktyp. Er listet die beobachteten Domains und IP-Adressen aus Ihren Traffic-Logs auf. Personen, die nach 'kostenloser Malware-Sandbox' suchen, erwarten einen Dienst, aber ParcelType ist eine lokale Desktop-App. Es ist keine Sandbox und wird nicht als kostenloses Tool angeboten. Sie können die Datei dann bearbeiten oder weitere Notizen anhängen, wie es erforderlich ist. Sind Sie von Malware betroffen, wenn die Logs ungewöhnliche Aktivitäten zeigen?
