Domanda Malware [Guida] Capire se un file è un rat, e trovare ip del proprietario

[xDrago_]

Salve ragazzi, quante volte vi è capitato di trovare programmi che vorreste provare, me non siete sicuri visto che un file può anche risultare "falso positivo", a questo punto direte :"che faccio ?, conviene disattivare l'Antivirus?"
Bene oggi con questa guida sapreste se nel file è presente un Rat.​

Requisiti:
Wireshark : https://www.wireshark.org/download.html
Sandboxie : http://www.sandboxie.com/index.php?DownloadSandboxie
Installate i due programmi.
1)
Per prima cosa aprire Wireshark.
Cliccate su Connessione rete senza fili o Connessione alla rete locale (a seconda del tipo di connessione) e fare clic su Avvia.

2)
Andate al filtro e digitare "dns". (usate "smtp" e "ftp" per i keylogger)

3)
Ora si sta vedendo tutte le connessioni che utilizzano DNS.

Ora ci accingiamo a utilizzare SandBoxie.
Sandboxie è un utile strumento utilizzato per analizzare i file, prima di lasciarli nel vostro sistema. È possibile eseguire qualsiasi virus in Sandboxie e una volta che terminare tutti i processi il computer non sarà infetto.

In ogni modo, andare al File, fare clic destro e eseguirlo in SandBoxie.

4)
Ora saremo infettati, ma il virus è intrappolato in Sandboxie, si può facilmente chiudere il processo. Ricordo che l'hacker può ancora controllare il computer e visualizzare le informazioni personali. Assicurarsi di cancellare tutte le password salvate in tutti i tuoi browser web, i rat possono facilmente trovare le password salvate sul browser web da Sandboxie.
5)
Tornate a Wireshark, sul lato destro si dovrebbe ora vedere un collegamento tra il computer e no-ip dns del RAT.
Provate a cercare qualcosa come blahblah.no-ip.biz o blablah.zaptop.org.
Questo è un esempio di quello che dovreste trovare:

6)
Una volta che avete ottenuto il no-ip del server RAT, aprite il cmd e digitate:

ping enternoipnamehere.no-ip.biz

E ora saprete l'ip dell'hacker.
Spero che vi sia stato utile.
Ciao e alla prossima guida

 

[Volatility]

Bella come guida ,ma dovresti lavorare un po su sandboxie. Perche esistono dei rat che riescono a bypassare semplicemente il sanboxie. Per l'analisi di un virus e sempre meglio avere una machina virtuale ,e non un software che virtualizza un pezzo del hardisk.Tempo fa ,quando mi interesavano queste cose ,avevo trovato una implementazione per sandboxie che non mi ricordo come si chiama ,ma facevo riferimento al sito di download del sandboxie.
Nonostante questo ,bello.Grazie e un mi piace

 

[Kidara]

Dovresti ingrandire un po' le immagini

 

[Volatility]

Dovresti ingrandire un po' le immagini

Per che cosa ti servono se sono piu grandi? Lo sai bene sia il wireshark che il cmd di windows 7.

 

[ZIOBlack]

Bella come guida ,ma dovresti lavorare un po su sandboxie. Perche esistono dei rat che riescono a bypassare semplicemente il sanboxie. Per l'analisi di un virus e sempre meglio avere una machina virtuale ,e non un software che virtualizza un pezzo del hardisk.Tempo fa ,quando mi interesavano queste cose ,avevo trovato una implementazione per sandboxie che non mi ricordo come si chiama ,ma facevo riferimento al sito di download del sandboxie.
Nonostante questo ,bello.Grazie e un mi piace

Alcuni riconoscono la sandboxie e non stabiliscono neanche la connessione con il server/pc hacker ! ( ad esempio ZEUS il malware che ruba i dati bancari riesce a riconoscere le sandboxie )

 

[Browserz]

Da quanto ho capito sandboxies ti crea una temporanea macchina virtuale sul file RAT aperto?

 

[Kidara]

Per che cosa ti servono se sono piu grandi? Lo sai bene sia il wireshark che il cmd di windows 7.

Ma infatti a me non serve, era un consiglio generale

 

[Aknot]

Alcuni riconoscono la sandboxie e non stabiliscono neanche la connessione con il server/pc hacker ! ( ad esempio ZEUS il malware che ruba i dati bancari riesce a riconoscere le sandboxie )

E alcuni riconoscono anche le macchine virtuali che spesso usano 1 solo core,etc, quindi occhio comunque.