Wireshark7 详细操作步骤.pdfVIP

Wir shark （七）审计 Qakbot 的感染情况 翻译整理自Unit42 《Wir shark Tutorial》系列文章 晨曦说 这篇文章，作者从流量特征的角度，展示了 Qakbot 感染后的流量行为特点，给出了识别 Qakbot 感染的分析要点。 带有 v bs 文件的压缩包 请求后缀名为png的伪装文件，实际为PE 不太正常的https证书 受感染主机激活主机中各种浏览器 受感染主机尝试多个邮件协议 个人的收获是，有的时候使用导出对象的方式可能无法导出完整的文件，可以考虑通过跟踪 TCP 流的方式从流量中直接导出内容。 Qakbot 是一个因 Qbot 而闻名的信息窃取恶意程序，这个恶意软件家族已经活跃了数年，并衍生出不同 种类的流量模式。这篇文章分析了一个在 Qakbot 感染过程中捕获的流量数据包，了解这些流量模式对检 测和调查 Qakbot 感染的安全专家来说至关重要。 注意：这篇文章中使用的 pcap 包含恶意软件，为了安全起见，请在非 Windows 环境中审计该 pcap。 Wireshark （七）审计 Qakbot 的感染情况 Qakbot 传播方式 恶意邮件中的最初的 Zip 压缩包链接 Qakbot 的可执行文件 后续攻击的 HTTPS 活动 其他后续感染流量 Qakbot 传播方式 Qakbot 最常见的传播方式是通过垃圾邮件，但是也有通过漏洞工具包传播的情况，在某些情况下也会作 为其他恶意软件引入的后续感染。 恶意邮件中的最初的 Zip 压缩包链接 最近传播 Qakbot 的恶意电子邮件使用的伪造的电子邮件通信欺骗受害者，下图展示了一个这样的例子： 这些电子邮件中的 URL 以一串简短的数字结尾，后面是 .zip ，最贱在 URLhaus 和 Twitt r 上报告的 Qakbot 恶意邮件的几个 URL 例子如下： First URL for initial zip archiv r port d hxx ps:// praj oon.000w bhostapp[.]com/wp- 2019-12-27 cont nt/uploads/2019/ 12/ last/033/033.zip 2019-12-27 hxx ps:// psi-ua [.]com/wp-cont nt/uploads/2019/ 12/ last/870853.zip 2019-12-27 hxx ps:// r 365 [.]com/wp-cont nt/uploads/2019/ 12/ last85944289.zip 2019-12-27 hxx ps:// liputanfor x.w b[.]id/wp-cont nt/uploads/2019/ 12/ last/794/794.zip 2020-01-06 hxx p:// ps.icothanglong. du[.]v n/forward/ 13078.zip hxx p:// hit chrobo[.]com/wp- 2020-01-22 cont nt/uploads/2020/01/ah ad84296848.zip hxx p://faithoasis.000w /wp- 2020-01-22 cont nt/uploads/20