آموزش آنالیز یک فایل مخرب!

درود

در این تاپیک سعی کردم تا روش انالیز یک فایل مخرب توسط نرم افزار Buster Sandbox Analyzer را توضیح دهم. این نرم افزار این کار را به کمک نرم افزار دیگری به نام Sandboxie انجام می دهد. در مورد Sandboxie هم یک توضیح کوچیک بدم که این نرم افزار ، فایل های داده شده را در محیطی بسته و کنترل شده در هارددیسک اجرا می کند و به ان اجازه تغییر در دیگر فایل های موجود در هارد دیسک را نمی دهد. به همین علت ویروس را در سندباکسی اجرا کرده و با کمک (BSA ( Buster Sandbox Analyzer تمام تغییرات صورت گرفته در ویندوز را انالیز و ثبت می کنیم و یک ریپورت از تغییرات داده شده خواهیم داشت.( به همین علت دقت کنید که در موقع انالیز، هیچ کار دیگری انجام ندهید تا اطلاعات نادرستی ثبت نشوند)
http://forum.soft98.ir/images/smilies/yahoo/1.gif

برنامه های مورد نیاز

برای انجام این کار شما به دو نرم افزار زیر نیاز دارید ان ها را دانلود کنید.

1) Sandboxie

Sandboxie 3.62 Final x86 - Sharebees
Sandboxie 3.62 Final x64 - Sharebees

2) Buster Sandbox Analyzer

Buster Sandbox Analyzer MODIFIED

تنظیمات اولیه

1) اول از همه Sandboxie را نصب کنید. ان را اجرا کنید.

2) برنامه BSA فشرده شده است. ان را در مسیر زیر اکسترکت کنید. ( از این پس به Buster Sandbox Analyzer ، BSA می گویم )

\:C

نکته : دقت کنید که ممکن است انتی ویروس ها فایل های این برنامه را ویروس تلقی کنند در حالی که چنین نیست. انتی وروس شما تمام مدت باید غیرفعال باشد اگر فایل های این برنامه را به عنوان ویروس شناسایی کرده باشد)

3) حال در سندباکسی ، در منو بالا از قسمت Configure ان را باز کرده و Edit Configuration را انتخاب کنید.

4) نوت پد باز خواهد شد. می بینید که متن داخل ان به چند بخش به نام های Global Sttings , DefaultBox …. تقسیم شده است. در اخر قسمت DefaultBox متن زیر را اضافه کنید. (هر خط را در یک خط در نوت پد وارد کنید)

کد:

---

InjectDll=C:\BSA\log_api.dll
OpenWinClass=TFormBSA
NotifyDirectDiskAccess=y

---

http://up98.org/upload/server1/01/z/...vux9jjkr7u.jpg

5) نوت پد را بسته و ان را ذخیره کنید.

6) حال در پوشه C:\BSA فایل اجرایی را BSA.exe را اجرا کنید.

7) محیط کاربریش تعریفی نداره ولی همچین بدک هم نیست! از اینجا یکم کار سخت میشه. یک نرم افزار را در سندباکس اجرا کنید. برای اینکار روی برنامه اجرایی مورد نظر راست کلیک کرده و برروی Run Sandboxed کلیک کنید. حال از تسکبار ویندوز ، برنامه ی سندباکسی را پیدا کرده و روی ان راست کلیک کنید. سپس موس را روی Default Box نگه داشته باشید. پنجره جدیدی کنار باز شده و بر روی Explore Contents کلیک کنید. وارد صفحه جدیدی خواهید شد. اینجا مقر سندباکسی است. ادرس این صفحه را در ادرس بالا کپی کرده و در BSA در قسمت Sandbox Folder To Check قرار دهید. برای مثال برای من به این شکل بود.

C:\Sandbox\Alpha\DefaultBox

انالیز یک فایل

1) در اینجا انالیز به دو شکل انجام می شود. انالیز به طور اتوماتیک و دستی . در انالیز اتوماتیک شما نرم افزار را برای مدت زمانی تنظیم می کند تا در این زمان هرچه در سندباکس رد و بدل می شود را انالیز کند. ولی در قسمت دستی شما هر وقت مایل باشید می توانید انالیز را کنسل کنید. طریقه انالیز را می توانید از منو بالا نرم افزار به این شکل تنظیم کنید.

Options => Analysis Mode

2) حال در نرم افزار سندباکسی ، تمام نرم افزار های اجرا شده در ان را ببندید. برای این کار باید به این جا بروید.

File => Terminate All Programs

3) حال همچنان که هم سندباکسی و هم BSA در حال اجرا هستند ، در BSA بر روی Start Analysis کلیک کنید. از شما سوالی می پرسد که ایا فایل های داخل پوشه سند باکس را پاک کند یا نه. هر کدوم رو که خواستید انتخاب کنیدhttp://forum.soft98.ir/images/smilies/yahoo/4.gif

http://up98.org/upload/server1/01/z/...hzp5grpe3i.jpg

4) سپس فایلی مخربی را که می خواهید ان را انالیز کنید را برروی ان راست کلیک کرده و روی Run Sandboxed کلیک کنید.

5) دقت کنید که یک فایل را در ان واحد اجرا کنید و زمان انالیز حداقل 1 دقیقه باشد. در مدت اگر تغییراتی انجام شود می توانید ان را به صورت لحظه ای در تکست باکس پایین ان مشاهده کنید.

6) این قسمت رو دقت کنید. برای قطع انالیز ، اول برنامه را در سندباکسی ببندید و سپس در BSA بر روی Finish Analysis کلیک کنید. نرم افزار ممکن است برای مدتی رجیستری و ویندوز را اسکن کند تا تغییرات را ثبت کند. پس از اسکن کلی، گزینه ی Malware Analysis فعال خواهد شد که اطلاعاتی کلی از فایل مخرب را به شما می دهد. با بستن ان فایل Analysis.TXT ایجاد می شود. حال اگر به پوشه C:\BSA\Reports بروید، نتیجه ی انالیز را مشاهده خواهید کرد که Analysis.TXT و Report.TXT برای ما مهم هستند.

7) برای انالیز یک فایل دیگر ، از منوی Options بر روی Restart کلیک کنید. دقت کنید که با هربار انالیز، فایل های Report , Analysis جدیدی ایجاد شده و جایگزین فایل های قبلی می شوند.

بررسی گزارش

از فایل های Report و Analysis باید متوجه بشید که فایلتون مخرب بوده یا نه. یکی از معمول ترین کارهایی که این فایل های مخرب انجام می دهند اینه که در پوشه ی Temp فایل هایی را ایجاد کنند و تغییراتی را در رجیستری ایجاد کنند. چون یک ویروس در وهله اول باید اجرا شود بنابراین به کمک رجیستری این کار را انجام می دهد.به عنوان مثل گزارشی را که در زیر قرار می دهم مربوط به فایل اجرا شده به نام Steam.exe است. (به دلیل مشکلات فروم، ان را در سایتی اپلود کرده ام)

TextSnip Report

از گزارش بالا این نتیجه را می توان گرفته که :
1) فایل مورد نظر ، فایل ها دیگری را در پوشه ی Temp و Windows کپی و اجرا می کند.
2) تغییرات متعددی در رجیستری انجام می دهد.
3) پروسس های دیگری را باز و بسته می کند.
4) سرویس های جدیدی ساخته و اجرا می کند.
5) کانکشن جدیدی با پورت مشخصی ساخته و فایرفاکس را اجرا می کند.
6) فایل های ویندوز را الوده می کند.
پس این یک ویروس تمام عیار است!!

در ضمن پس از اتمام انالیز اگر بر روی Malware Analysis کلیک کنید، خود برنامه حدس هایی در مورد فایل مخرب زده ان را به صورت گزارش منتشر می کند.
اگر این صفحه را ببنید گزارش مربوط به ان در پوشه ی Report نرم افزار به نام Analysis ایجاد می شود.

http://up98.org/upload/server1/01/z/...3dc9rie5ic.jpg

از این پس به کمک این دو نرم افزار به راحتی می توانید فایل های خود را انالیز کنید بدون اینکه نگران الوده شدن سیستم خود باشید (اگر همه ی مراحل را به دقت انجام داده باشید)

برای این اموزش زحمت زیادی کشیده شده است. بنابراین هنگام کپی این مطلب، خواهشا منبع را ذکر کنید.

امیدوارم که مورد قبول دوستان واقع شده باشد.
دوستدار همتون
نیما

درود
این هم ویدیو اموزشی تهیه شده برای انجمن پی سی اسک

حجم : 8 مگابایت
زمان : 7 دقیقه و 30 ثانیه

BSA - Instructure By N1maSSTO

نرم افزار BSA را از لینک که گذاشتم نصب کنید.(همان لینکی است که در پست قبلی خودم قرار دادم)

Buster Sandbox Analyzer MODIFIED

به این علت که سازنده ان باید فیکسی روی ان انجام دهد ولی متاسفانه پس از گفت و گو زیر بار نرفت! عجبا! اگه یک فیکسی را انجام می داد دیگه لازم نبود من خودم تغییرش بدم و اینجا اپلود کنمhttp://forum.soft98.ir/images/smilies/yahoo/2.gif
اگر هم می خواهید از Sandboxie های دیگر استفاده کنید، ورژن ان باید 3.62 به بالا باشد.
سوالی بود در خدمتم.
موفق باشید

درود
این هم اپدیتی از نرم افزار های بالا! :d:

Buster Sandbox Analyzer V1.50 MODIFIED

در این ورژن از BSA ، باگ های بسیاری برطرف شده و محیط کاربری ان زیباتر شده است. همچنین فایل DLL انالیزر ان اپدیت شده است!!

این هم نسخه های جدید Sandboxie

Sandboxie 3.65.02 x86

Sandboxie 3.65.02 x64

برای کارکردن با ورژن جدید BSA ، نیازمند این ورژن از سندباکسی هستید.
سوالی بود در خدمتم!! افسوس که سوالی نیست!:del-s:

سلام
مرسی نیما جان از آموزش های خوب ات!
متاسفانه کرک سندباکسی 64 بیتی نیومده!؟ چکار میشه کرد؟! جایگزین نداره؟ سندباکس کاسپر و امثالهم؟
راستی عکس هایی که گذاشتی رو نمیشه دید! پست 1 و 2

نقل قول:

---

نوشته اصلی توسط borhan_3010

سلام
مرسی نیما جان از آموزش های خوب ات!
متاسفانه کرک سندباکسی 64 بیتی نیومده!؟ چکار میشه کرد؟! جایگزین نداره؟ سندباکس کاسپر و امثالهم؟
راستی عکس هایی که گذاشتی رو نمیشه دید! پست 1 و 2

---

سلام
از این استفاده کن، احتمالا جواب میده.
در حال حاضر 64بیتی ندارم که امتحان کنم!

Sandboxie.v3.46.by.tano1221.rar

سلام
مرسی حسین جان سریالی که داخل فایل بود جواب داد و برنامه رجیستر شد! ببینم رجیستر تا کی می مونه!

---

اینجا سریال رو میارم برای نسخه 64 بیتی:

 

Sandboxie v3.46
>>>>>>>>>>>>>>>>

name: ZWT
key: 1HEET5A

name: semisonic
key: AQEPZD1

name: acdc
key: P616KB2

name: metallica
key: LRJVSSA

name: motora
key: 77261G1

ممنون دوستان

درود
ممنون از دوستان
در رابطه با کرک Sandboxie ، از کارکرد کرک های 64 بیتی اطمینان دارم. پس از کرک ، باید ریبوت کنید. ترجیحا از ورژن 3.65 استفاده کنید.
لازم هست این رو هم متذکر بشم که BSA تنها Sandboxie های ورژن بالاتر از 3.64 را ساپورت می کند.
موفق باشید

سلام نیما جان
یه مطلبی الان به ذهنم رسید: اگه به جای فایل مخرب فایل نصب برنامه رو بهش بدی بهت میگه موقع نصب چکار می کنه و چی رو کجا کپی می کنه و مخصوصاً رو رجیستری چه تغییراتی میده؟
اگه جواب اوکی باشه برای قسمت پرتابل سازی که جناب شیرین زبان دارن اموزش ها رو میارن می تونه خیلی کاربردی باشه!

البته باید ببخشی هنوز وقت نکردم روش ات رو تست کنم ولی خیلی علاقه دارم ... :m0h: