Mở thư mục
Khởi động ParcelType và mở thư mục chứa nhật ký đã xuất của bạn.
Quy trình làm việc
Phân tích lưu lượng malware trong phòng lab cô lập của bạn
03
Xem lại nhật ký lưu lượng từ sandbox của bạn
Bạn xuất nhật ký kết nối từ máy ảo cô lập và đặt chúng vào thư mục làm việc. ParcelType đọc các file văn bản, trích xuất các chỉ số chính và soạn bản tóm tắt rõ ràng về hành vi mạng quan sát được để lưu hồ sơ, ghi chú cách SEO poisoning dẫn đến malware có thể xuất hiện trong lưu lượng.
Đọc nhật ký
Agent đọc các file văn bản và liệt kê vài dòng đầu tiên.
Trích xuất IOC
Agent tìm kiếm tên miền và địa chỉ IP trong văn bản.
Kiểm tra kết quả
Xem lại danh sách đã trích xuất và xác minh các phát hiện trong ghi chú của bạn.
Báo cáo chạy lab mẫu
Soạn báo cáo cho lần chạy này bằng cách sử dụng dữ liệu nhật ký.
- read_file
traffic.log240 dòng - grep
domain3 khớp - write_file
report.txtđã lưu - edit_file
report.txtdiff
chờ bạn xác nhận trước khi thực hiện bước tiếp theoTừ chốiChấp nhận
run-report.txt
# Lab Run Report
Run number: 1
Snapshot name: clean_base
Network type: host-only
File name: sample.exe
SHA-256: placeholder
Observations: DNS lookup for update server.
Connection to 192.168.1.100 on port 443.
No file writes detected in system dir.
Traffic captured for 60 seconds.
End of log summary.Báo cáo văn bản thuần này cho thấy một lần chạy với dữ liệu giả. Nó liệt kê ảnh chụp, loại mạng và các quan sát chính để lưu hồ sơ của bạn.
Hướng dẫn từng bước về phân tích lưu lượng
Đọc nhật ký đã xuất
ParcelType sử dụng read_file để mở nhật ký kết nối đã xuất từ phòng lab cô lập của bạn và sử dụng grep để tìm kiếm các tên miền hoặc địa chỉ IP cụ thể xuất hiện trong lần chạy. Bạn thấy các kết quả khớp. Điều này giúp bạn xác định các dịch vụ bên ngoài mà mẫu đã liên hệ. Bạn xem lại các kết quả khớp và quyết định xem chúng có đáng ngờ không. Agent không thay đổi file nhật ký của bạn, vì vậy dữ liệu gốc của bạn vẫn an toàn. Bạn có thể yêu cầu agent tóm tắt các phát hiện hoặc trích xuất các chỉ số xâm nhập cho báo cáo của bạn. Quy trình này hỗ trợ phân tích lưu lượng malware bằng cách tiết lộ hành vi mạng quan sát được trong môi trường cô lập. Bạn có thể tự hỏi tại sao các tiện ích malware bỏ qua các tác vụ lên lịch khi chúng ưu tiên các móc thực thi ngay lập tức hơn các cơ chế tồn tại lâu dài.
Soạn báo cáo phân tích
Agent sử dụng write_file để tạo file báo cáo mới trong thư mục làm việc của bạn và thêm băm SHA-256 của mẫu bằng cách sử dụng certutil -hashfile <file> SHA256. Ask first. Bản nháp này bao gồm số lần chạy, tên ảnh chụp và loại mạng. Nó liệt kê các tên miền và địa chỉ IP quan sát được từ nhật ký lưu lượng của bạn. Những người tìm kiếm 'free malware sandbox' mong đợi một dịch vụ, nhưng ParcelType là một ứng dụng máy tính để bàn cục bộ. Nó không phải là sandbox và không được cung cấp như một công cụ miễn phí. Sau đó, bạn có thể chỉnh sửa file hoặc thêm ghi chú bổ sung nếu cần. Bạn đã bị nhiễm malware nếu nhật ký cho thấy hoạt động kỳ lạ chưa?
