Abrir pasta
Inicie o ParcelType e abra a pasta com seus logs exportados.
Fluxos de trabalho
análise de tráfego de malware no seu laboratório isolado
03
Revise os logs de tráfego da sua sandbox
Você exporta os logs de conexão da sua máquina virtual isolada e os coloca na pasta de trabalho. O ParcelType lê os arquivos de texto, extrai os indicadores-chave e redige um resumo claro do comportamento de rede observado para seus registros, observando como o envenenamento de SEO que leva a malware pode aparecer no tráfego.
Ler logs
O agente lê os arquivos de texto e lista as primeiras linhas.
Extrair IOCs
O agente procura por domínios e endereços IP no texto.
Verificar resultado
Revise a lista extraída e verifique as descobertas em suas anotações.
Exemplo de relatório de execução no laboratório
Redija um relatório para esta execução usando os dados do log.
- read_file
traffic.log240 linhas - grep
domain3 correspondências - write_file
report.txtsalvo - edit_file
report.txtdiff
aguardando sua aprovação antes da próxima etapaRejeitarAceitar
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.Este relatório em texto puro mostra uma única execução com dados de exemplo. Ele lista a instantâneo, o tipo de rede e as observações-chave para seus registros.
Tutoriais para análise de tráfego
Ler logs exportados
O ParcelType usa read_file para abrir seus logs de conexão exportados do laboratório isolado e usa grep para procurar domínios específicos ou endereços IP que apareceram durante a execução. Você vê as correspondências. Isso ajuda você a identificar quais serviços externos a amostra contactou. Você revisa as correspondências e decide se parecem suspeitas. O agente não altera seus arquivos de log, portanto, seus dados originais permanecem seguros. Você pode pedir ao agente para resumir as descobertas ou extrair indicadores de comprometimento para seu relatório. Esse processo apoia a análise de tráfego de malware, revelando o comportamento de rede observado no ambiente isolado. Você pode se perguntar por que utilitários de malware ignoram tarefas agendadas quando priorizam ganchos de execução imediata em vez de mecanismos de persistência.
Redigir relatório de análise
O agente usa write_file para criar um novo arquivo de relatório na sua pasta de trabalho e adiciona o hash SHA-256 da amostra usando certutil -hashfile <file> SHA256. Ask first. Este rascunho inclui o número da execução, o nome da instantâneo e o tipo de rede. Ele lista os domínios e endereços IP observados nos seus logs de tráfego. Pessoas que procuram por 'sandbox de malware gratuita' esperam um serviço, mas o ParcelType é um aplicativo de desktop local. Não é uma sandbox e não é oferecido como ferramenta gratuita. Você pode então editar o arquivo ou adicionar mais notas conforme necessário. Você foi infectado por malware se os logs mostrarem atividade estranha?
