폴더 열기
ParcelType을 실행하고 로그가 있는 폴더를 엽니다.
워크플로우
격리된 랩에서의 말웨어 트래픽 분석
03
샌드박스 트래픽 로그 검토하기
격리된 가상 머신에서 연결 로그를 내보내 작업 폴더에 넣습니다. ParcelType이 텍스트 파일을 읽고 주요 지표를 추출해, SEO 파밍이 말웨어로 이어지는 트래픽 패턴을 기록하며 관찰된 네트워크 동작의 명확한 요약을 작성합니다.
로그 읽기
에이전트가 텍스트 파일을 읽고 처음 몇 줄을 표시합니다.
IOC 추출
에이전트가 텍스트에서 도메인과 IP 주소를 검색합니다.
결과 확인
추출된 목록을 검토하고 메모에서 발견 사항을 확인합니다.
랩 실행 보고서 예시
로그 데이터를 사용해 이 실행에 대한 보고서를 작성하세요.
- read_file
traffic.log240줄 - grep
domain3개 일치 - write_file
report.txt저장됨 - edit_file
report.txtdiff
다음 단계 전 사용자 승인 대기 중거부수락
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.이 텍스트 보고서는 플레이스홀더 데이터가 포함된 단일 실행 결과를 보여줍니다. 기록을 위해 스냅샷, 네트워크 유형 및 주요 관찰 사항을 나열합니다.
트래픽 분석 워크스루
내보낸 로그 읽기
ParcelType은 read_file을 사용해 격리된 랩에서 내보낸 연결 로그를 열고, grep을 사용해 실행 중 나타난 특정 도메인이나 IP 주소를 검색합니다. 일치 항목을 확인할 수 있습니다. 이를 통해 샘플이 어떤 외부 서비스에 연결했는지 식별하는 데 도움이 됩니다. 일치 항목을 검토하고 의심스러운지 여부를 판단합니다. 에이전트는 로그 파일을 변경하지 않으므로 원본 데이터가 안전하게 유지됩니다. 에이전트에 발견 사항을 요약하거나 보고서용 IOC를 추출하도록 요청할 수 있습니다. 이 과정은 격리된 환경에서 관찰된 네트워크 동작을 드러내어 말웨어 트래픽 분석을 지원합니다. 말웨어 유틸리티가 지속성 메커니즘보다 즉각적인 실행 후크를 우선시하기 때문에 예약된 작업을 무시하는 이유를 궁금해할 수 있습니다.
분석 보고서 초안 작성
에이전트는 write_file을 사용해 작업 폴더에 새 보고서 파일을 생성하고 certutil -hashfile <file> SHA256를 사용해 샘플의 SHA-256 해시를 추가합니다. Ask first. 이 초안에는 실행 번호, 스냅샷 이름 및 네트워크 유형이 포함됩니다. 트래픽 로그에서 관찰된 도메인과 IP 주소를 나열합니다. '무료 말웨어 샌드박스'를 검색하는 사람들은 서비스를 기대하지만, ParcelType은 로컬 데스크톱 앱입니다. 샌드박스가 아니며 무료 도구로도 제공되지 않습니다. 그런 다음 필요에 따라 파일을 편집하거나 메모를 추가할 수 있습니다. 로그에 이상한 활동이 보이면 말웨어에 감염된 것일까요?
