论坛 产品库 视频 专题 CIO俱乐部 Windows8 实验室 CMO俱乐部 案例

解读:通过科来回溯技术分析两次典型蠕虫攻击

发布时间:2014-05-29 11:22:00 来源:比特网 作者:佚名
关键字:科来 蠕虫攻击

  案例背景

  当前,大部分的网络都是通过防病毒软件、防毒墙等对网络病毒、恶意代码进行发现或处理,通常处理情况如下:

  系统补丁或病毒库通常都会落后于病毒产生的时间,且补丁或库文件在通过网络更新的时候也存在感染的风险,现在病毒的变种速度又非常快,而且会采用相应的新技术,如免杀技术、禁止杀软运行、内核驱动等。可传统的技术手段已经落后于当前病毒、恶意代码的技术,且传统手段对未知的蠕虫病毒毫无办法,经过实践发现,通过网络行为分析手段则可以有效的发现未知蠕虫病毒、恶意代码等异常行为。

  网络分析技术通过旁路方式(科来网络回溯分析系统)捕获分析网络里传输的底层数据包,全面展现数据链路层到应用层的信息,并提供丰富的关键参数,是记录、分析、发现蠕虫攻击的最佳手段。

  蠕虫病毒原理

  根据蠕虫病毒的原理和特性,其通常具有“扫描、攻击、寄生、传播、发作”等几大功能,每一个功能模块具有不同的功能,如下图所示:

  可以看出,蠕虫病毒在扫描、传播、发作等过程中,将产生大量的网络行为,根据实际分析,当终端感染蠕虫病毒后,其通讯行为通常具有以下特征:

  网络层(IP端点)

  同大量的主机进行会话,即IP会话很多,且每个会话的流量很少;

  大多是发送数据包,且数据包较小。

  传输层(UDP、TCP会话)

  产生大量的TCP、或UDP会话,会话特征类似(包括会话时间、收发数据包个数、流量等);

  会话端口也有相应的特征,如采用连续端口、固定端口和随机端口进行通讯;

  发现的TCP SYN包,大部份没有响应或拒绝。

  应用层

  应用流量激增,会话数增多,通讯内容类似,比较典型的是邮件蠕虫。

  分析案例

  1、未知邮件蠕虫分析

  在一次流量巡检中,偶然发现单位的邮件流量异常,即晚上10点以后,网络里出现大量的STMP流量。提取SMTP数据,进行深度分析,发现大量的SMTP的会话特征基本相同,会话频率高,且每个会话的数据包在27-35之间。通过日志分析发现内网IP XX.77.42最快时每秒钟发送一份邮件,而邮件的大小和收件人都是QQ邮箱。查看该IP发送的内容可以发现明显的广告推广内容。内容是推广“天猫”商城。而且多达近万封的邮件内容几乎完全一样,定位该IP,找出发送邮件的进程,并进行深度处理,发现了相应的蠕虫程序,网络恢复正常。

  分析小结:

  蠕虫发展越来越智能,攻击和利用网络的时间设置为错开上班时间,这样不会对网络和PC使用者造成明显的影响,因此更加的隐蔽,该IP在晚上10点后发送大量邮件,看似是正常的网络行为,但通过行为分析后,可以确定是明显的蠕虫病毒。

  2、CIFS蠕虫分析

  CIFS协议主要用于Windows主机之间进行文件共享,通常采用445端口通讯,但该端口给我们带来方便的同时,也带来了很多风险,如硬盘被偷偷共享等,下面就是一起利用445端口传染蠕虫病毒的案例。

  在流量巡检中,对网络中的CIFS应用数据进行了重点分析,发现大部分IP的TCP同步发收比严重失衡。(正常情况下,TCP同步发收比应该是1:1的状态)

  定位到其中一个IP地址172.17.236.205,通过TCP会话视图发现此IP不断尝试和61.139.8.101等多个IP建立TCP会话,这是典型的端口扫描行为:攻击者对每台主机发送至少3个TCP同步报文,其中大部分数据包总量为3的是主机不存在或未作响应;数据包为6的是主机对扫描者回应了TCP重置,表示攻击者访问的端口没有开放;而有几台主机与攻击者交换了几十个数据包,说明攻击者对这几台主机进行了深入的漏洞扫描。

  从这些扫描会话的数据流还原视图中,可以明显看出IPC$连接请求,和命名管道的访问请求,可以看出这是针对Windows 2003 SP1以前版本“\pipe\browser”命名管道漏洞的攻击尝试。

  分析小结:

  通常情况下,边界路由器防火墙IDS、防病毒软件等是对付蠕虫病毒的主要手段,而它们都是通过一些特征库进行检测,因此这些措施都只能对现有的策略或已知的蠕虫病毒进行响应。倘若蠕虫发生变种,病毒特征会发生改变,继续依靠特征库则无法准确检测。但是它的工作流程、网络行为是没有改变的,所有通过抓包分析,根据网络行为检测蠕虫病毒,是一种非常可行的解决办法。


比特微信账号
比特微信账号

微信扫一扫
关注Chinabyte

返回首页 长微博 返回顶部