analyzing-network-traffic-of-malware

分析恶意软件的网络流量

适用场景

• 沙箱执行已捕获 PCAP 文件，需要详细分析网络行为
• 识别 C2 协议结构，用于编写网络检测签名
• 确定恶意软件泄露的数据及其目标外部基础设施
• 分析 DNS 隧道、域名生成算法（DGA）或快速通量行为
• 根据观察到的恶意软件网络模式创建 Suricata/Snort 签名

不适用于恶意软件行为的基于主机的分析；请使用 Cuckoo 沙箱报告或 Volatility 内存分析进行进程级活动分析。

前置条件

• Wireshark 4.x，用于交互式 PCAP 分析
• tshark（Wireshark CLI），用于脚本化数据包提取
• Zeek，用于从 PCAP 自动生成元数据
• Suricata，带 ET Open/ET Pro 规则集用于签名匹配
• NetworkMiner，用于从 PCAP 中提取文件和检测凭据
• Python 3.8+，安装 scapy 和 dpkt 用于程序化数据包分析

工作流程

步骤 1：PCAP 初步概览

获取网络流量的高层次理解：

# 捕获统计
capinfos malware.pcap

# 协议层次
tshark -r malware.pcap -q -z io,phs

# 端点统计（主要通信方）
tshark -r malware.pcap -q -z endpoints,ip

# 会话统计
tshark -r malware.pcap -q -z conv,tcp

# DNS 查询摘要
tshark -r malware.pcap -q -z dns,tree

步骤 2：分析 DNS 活动

检查 DNS 查询中的 DGA、隧道或 C2 域名解析：

# 提取所有 DNS 查询
tshark -r malware.pcap -T fields -e frame.time -e dns.qry.name -e dns.a \
  -Y "dns.flags.response == 1" | sort

# 检测 DGA 模式（高熵域名）
python3 << 'PYEOF'
import math
from collections import Counter

def entropy(s):
    p = [n/len(s) for n in Counter(s).values()]
    return -sum(pi * math.log2(pi) for pi in p if pi > 0)

# 从 tshark 输出解析 DNS 查询
import subprocess
result = subprocess.run(
    ["tshark", "-r", "malware.pcap", "-T", "fields", "-e", "dns.qry.name",
     "-Y", "dns.flags.response == 0"],
    capture_output=True, text=True
)

domains = set(result.stdout.strip().split('\n'))
print("可疑 DNS 查询（高熵）：")
for domain in domains:
    if domain:
        subdomain = domain.split('.')[0]
        ent = entropy(subdomain)
        if ent > 3.5 and len(subdomain) > 10:
            print(f"  {domain}（熵值：{ent:.2f}）")
PYEOF

# 检测 DNS 隧道（大型 TXT 响应）
tshark -r malware.pcap -T fields -e dns.qry.name -e dns.txt \
  -Y "dns.resp.type == 16 and dns.resp.len > 100"

步骤 3：分析 HTTP/HTTPS C2 通信

检查基于 Web 的命令与控制流量：

# 提取 HTTP 请求
tshark -r malware.pcap -T fields \
  -e frame.time -e ip.src -e ip.dst -e http.host \
  -e http.request.method -e http.request.uri -e http.user_agent \
  -Y "http.request"

# 提取 HTTP 响应体（潜在的载荷下载）
tshark -r malware.pcap -T fields \
  -e http.host -e http.request.uri -e http.content_type -e tcp.len \
  -Y "http.response and tcp.len > 1000"

# 提取 POST 数据（潜在的数据泄露）
tshark -r malware.pcap -T fields \
  -e http.host -e http.request.uri -e http.file_data \
  -Y "http.request.method == POST"

# TLS 分析（SNI、JA3 指纹）
tshark -r malware.pcap -T fields \
  -e tls.handshake.extensions_server_name \
  -e tls.handshake.ja3 \
  -Y "tls.handshake.type == 1"

# 提取 TLS 证书详情
tshark -r malware.pcap -T fields \
  -e x509ce.dNSName -e x509af.serialNumber \
  -e x509sat.utf8String \
  -Y "tls.handshake.type == 11"

# 导出 HTTP 对象（下载的文件）
tshark -r malware.pcap --export-objects http,exported_files/