ParcelType
เวิร์กโฟลว์

การวิเคราะห์ทราฟิกมัลแวร์ในแล็บแยกของคุณ

03
การตรวจสอบบันทึกแล็บ

ตรวจสอบบันทึกทราฟิกจากแซนด์บ็อกซ์ของคุณ

คุณส่งออกบันทึกการเชื่อมต่อจากเครื่องเสมือนแบบแยก แล้ววางไว้ในโฟลเดอร์ทำงาน ParcelType อ่านไฟล์ข้อความ แยกตัวชี้วัดสำคัญ และร่างสรุปพฤติกรรมเครือข่ายที่สังเกตได้สำหรับบันทึกของคุณ โดยระบุรูปแบบที่ SEO poisoning นำไปสู่การดาวน์โหลดมัลแวร์อาจปรากฏในทราฟิก

01

เปิดโฟลเดอร์

เปิด ParcelType และเปิดโฟลเดอร์ที่มีบันทึกที่ส่งออกไว้

02

อ่านบันทึก

เอเยนต์อ่านไฟล์ข้อความและแสดงบรรทัดแรกๆ

03

แยก IOCs

เอเยนต์ค้นหาโดเมนและที่อยู่ IP ในข้อความ

04

ตรวจสอบผลลัพธ์

ทบทวนรายการที่แยกได้และยืนยันผลการค้นพบในบันทึกของคุณ

ตัวอย่างรายงานการรันแล็บ

run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.

รายงานข้อความธรรมดาฉบับนี้แสดงการรันเดียวพร้อมข้อมูลตัวอย่าง แสดงภาพรวม ประเภทเครือข่าย และข้อสังเกตสำคัญสำหรับบันทึกของคุณ

คำแนะนำสำหรับการวิเคราะห์ทราฟิก

อ่านบันทึกที่ส่งออก

ParcelType ใช้ read_file เพื่อเปิดบันทึกการเชื่อมต่อที่ส่งออกจากแล็บแยก และใช้ grep เพื่อค้นหาโดเมนหรือที่อยู่ IP เฉพาะที่ปรากฏระหว่างการรัน คุณเห็นผลการจับคู่ สิ่งนี้ช่วยให้คุณระบุบริการภายนอกที่ตัวอย่างติดต่อ คุณทบทวนผลการจับคู่และตัดสินใจว่าดูน่าสงสัยหรือไม่ เอเยนต์ไม่เปลี่ยนแปลงไฟล์บันทึกของคุณ ดังนั้นข้อมูลต้นฉบับของคุณจึงปลอดภัย คุณสามารถถามเอเยนต์ให้สรุปผลการค้นพบหรือแยกตัวชี้วัดการบุกรุกสำหรับรายงานของคุณ กระบวนการนี้สนับสนุนการวิเคราะห์ทราฟิกมัลแวร์โดยเปิดเผยพฤติกรรมเครือข่ายที่สังเกตได้ในสภาพแวดล้อมแบบแยก คุณอาจสงสัยว่าทำไมยูทิลิตีมัลแวร์จึงละเลยงานตามกำหนดเวลาเมื่อพวกมันให้ความสำคัญกับฮุคการดำเนินการทันทีมากกว่ากลไกการคงอยู่

ร่างรายงานการวิเคราะห์

เอเยนต์ใช้ write_file เพื่อสร้างไฟล์รายงานใหม่ในโฟลเดอร์ทำงานของคุณ และเพิ่มแฮช SHA-256 ของตัวอย่างโดยใช้คำสั่ง certutil -hashfile <file> SHA256 Ask first ร่างนี้รวมถึงหมายเลขรัน ชื่อภาพ Snapshot และประเภทเครือข่าย มันระบุโดเมนและที่อยู่ IP ที่สังเกตได้จากบันทึกทราฟิกของคุณ คนที่ค้นหา 'แซนด์บ็อกซ์มัลแวร์ฟรี' คาดหวังบริการ แต่ ParcelType เป็นแอปเดสก์ท็อปท้องถิ่น มันไม่ใช่แซนด์บ็อกซ์และไม่เสนอเป็นเครื่องมือฟรี จากนั้นคุณสามารถแก้ไขไฟล์หรือเพิ่มบันทึกเพิ่มเติมได้ตามต้องการ คุณติดมัลแวร์หรือไม่หากบันทึกแสดงกิจกรรมแปลกๆ

ParcelType สำหรับ Windows

เริ่มเวิร์กโฟลว์การวิเคราะห์ของคุณ

ดาวน์โหลด ParcelType ↗