流量分析样例:对入侵PACP原始报文进行分析&Nuclear EK

围观次数:774 views

原始PCAP 数据包下载:http://www.watcherlab.com/file/download/traffic-analyse.pcap

分析过程:

让我们一步一步分析。首先,用Wireshark打开PCAP报文。可以通过下面过滤条件看到这台主机的IP和mac地址,如下图:

1

2

使用http.request过滤条件,看看网页浏览流量。我们会发现Nuclear EK的HTTP GET请求。如下图:

3

 

该EK应该按以下顺序:

  • 登陆页面
  • 利用 (Flash, Java, Silverlight等)

在大多数的漏洞利用工具包,包括Nuclear EK,这些都是从同一个IP地址和域名发送的。下面PCAP数据报文划线部分,在http请求包头中可以看到被攻击用户主机flash player的版本和漏洞被利用。在http响应包头中,你可以看到前三个字符是CWS或者ZWS。下面可以看到Nuclear EK利用flash player和SilverLight插件漏洞。如下图:

4

5

如下图是要混淆恶意软件的有效载荷。,利用ASCII字符串混淆Nuclear EK的有效载荷。如下图:

6

下面是从被感染的计算机文件,提交所有这些文件到virusTotal会获得更多信息:

7

以下是恶意流量相关的告警事件:

8

1人评论了“流量分析样例:对入侵PACP原始报文进行分析&Nuclear EK”

发表评论

邮箱地址不会被公开。 必填项已用*标注

广告赞助