Отладка и анализ трояна

Question

Мне интересно использовать что-то вроде OllyDbg для проверки программы, которая потенциально имеет троянские характеристики.

Кто-нибудь знает какие-нибудь хорошие учебники о том, как сделать это безопасно?

По сути, программа является «ботом» для видеоигры, но я подозреваю, что она имеет задние двери и / или будет загружать собранную информацию (например, пароли) на удаленный сервер.

Я хотел бы найти URL-адреса или IP-адреса, к которым он пытается подключиться, помешать этому и т. Д., Поэтому я предполагаю, что это немного более конкретно, чем типичное «взлом» программы; Я в основном заинтересован в том, чтобы выискивать сетевые действия, которые он может совершать, и либо предотвращать их, либо обманывать, думая, что это успешно.

Кроме того, мне интересно узнать, как отследить зашифрованный сетевой трафик. Как определить ключи и алгоритмы шифрования, которые использует программа для шифрования того, что она отправляет по сети? (Я спрашиваю, потому что меня интересует создание стороннего клиента для эмуляции связи с игровым сервером, и я не могу этого сделать, не зная, как обнаружить используемые ключи)

Answer 1

Вы можете использовать виртуальную машину (например, VirtualBox ) для безопасного запуска вредоносных программ. Вы можете использовать Process Explorer , чтобы точно узнать, что делает процесс (доступ к реестру / диску и т. Д.).

Виртуальная машина также позволит вам создавать снимки операционной системы, установленной внутри, так что вы можете легко вернуть все в известное состояние (т. Е. Перед запуском вредоносного ПО) одним нажатием кнопки.

Что касается слежения за сетью, я не знаю, как это сделать. Я предполагаю, что существующие инструменты сетевого анализа могут использоваться внутри самой виртуальной машины, но я никогда не делал этого, поэтому я не знаю, что использовать - кому-то еще придется заполнить ...

Answer 2

1. Как зовут подозреваемого троянца?

2. На swiftarchitect.com есть статья, в которой приводятся подробности работы конкретного троянца, которая позволяетудаленное управление сервером:

См .: Серверный вирус под атакой