Recopilar infromación de malware

[Stakewinner00]

Encontre un usuario en otro lugar que publico troyanos y decia que era una hacktool para hackear facebook, y era un verdadero troyano.

Quería llegar un paso más lejos y quería obtener la ip del atacante, pense en poner una maquina virtual y con netstat mirar que puerto estaba abierto pero antes querñia preguntar si hay alguna web o programa que ayude en esta tarea.

Mchas grcias pr todo.

[r32]

Ponlo en máquina virtual y coloca un snifer tipo Wireshark, con netstat verás hacia donde conecta pero no si va descargando nuevos ficheros o lo que se le ocurra, a parte de ver la IP.

Wireshark: http://www.wireshark.org/download.html

Si tienes un equipo para estas tareas puedes utilizar el programa "SysAnalyzer", infectará tu sistema pero lo verás todo a tiempo real. Si la muestra de malware lleva "antisandbox", no se ejecutará y no realizará ninguna modificación ni conexión.
Sysanalyzer:
http://sandsprite.com/tools.html
http://sandsprite.com/CodeStuff/SysAnalyzer_Setup.exe

Saludos.

[0xDani]

Si te gusta la ingenieria inversa podrias tratar de hacerlo tu mismo, con un debugger, paciencia y cuidado quiza puedas averiguar la IP a la que se conecta.

Saludos.

[Stakewinner00]

Si te gusta la ingenieria inversa podrias tratar de hacerlo tu mismo, con un debugger, paciencia y cuidado quiza puedas averiguar la IP a la que se conecta.

Saludos.

Mire un poco los strings, y en los strings se puee ver que se copia el registro, intenta escalar privilegios, tiene una password y que detecta el sistema operativo y crea shels... Pero no sale la ip.

[0xDani]

Mire un poco los strings, y en los strings se puee ver que se copia el registro, intenta escalar privilegios, tiene una password y que detecta el sistema operativo y crea shels... Pero no sale la ip.

Seguramente estara cifrada, si no podrias pillarlo solo mirando los strings  Por eso el debugger, en algun momento la tiene que descifrar para usarla.

Saludos.

[Stakewinner00]

Seguramente estara cifrada, si no podrias pillarlo solo mirando los strings  Por eso el debugger, en algun momento la tiene que descifrar para usarla.

Saludos.

Ya lo supuse pero no tengo tanto tiempo XD

En la maquina virtual el troyano no se ejecuta,supongo que es para evitar que lo estudien.

[0xDani]

Ya lo supuse pero no tengo tanto tiempo XD

En la maquina virtual el troyano no se ejecuta,supongo que es para evitar que lo estudien.

Si, por lo que he visto no es muy dificil detectar cuando estas corriendo en una VM o sandbox.

[Stakewinner00]

Supongo que tocara hacer correr el virus en un windows sin maquina virtual o intentar hacerle reversing

[0xDani]

Supongo que tendra que descifrar la IP antes de conectarse, asi que puedes ir buscando con el debugger el punto en el que la desencripte y luego sacar los strings, luego matar el proceso y destruirlo para que no envie nada ni llegue a conectar.

Saludos.

[ahaugas]

has probado con un firewall que te avise las conexiones con las alertas?
por ejemplo comodo firewall, configuralo para que cualquier tipo de conexion se te avise, te digo porque este firewall es muy bueno.

o como dicen mas arriba wireshark, puedes hacer un filtro de tcpip de tu maquina para descartar conexiones locales y despues por http ftp o ssh... u tros...o optaria por http.

otra opcion seria el resource hacker o el win32dasm ya que CASI NADIE LE PROGRAMA ANTIS...

si el resource hacker te dice que el ejecutable esta protegido con compresores de EXE usa el upx para descomprimirlo...

como puedes ver hay un monton de tecnicas muy sencillas...... y muchas mas