re-search and Dyre Malware
Ik heb hier een procesdump van de Dier Banking Malware en ik wil je laten zien hoe je de configuratie van de memorie kan uitstekken. Dus laten we eens kijken op de strens. En hier heb je de start van de configuratie. Deze zijn de servers die worden gebruikt door de Banking Trojan voor mensen in de middling. En dan hier volgende lokale itemen. Zoals dit. Je kunt zien alle online banken die het gevolg zijn. Dus we hebben een item hier voor Bank of America, een voor Citi Bank, een voor NatWest en zo. Dus wat ik nu wil doen is om deze memorie dump te uitstekken deze domainen. En ik ga mijn nieuwe tool gebruiken. Een rechercheer voor dat. Een rechercheer is zoals grep. Vergeet dat niet van selectende lijnen, het zal selecten met een veel regulare expressie. Dus het is zoals grep minus 0. Dus ik ga de memorie dump uitstekken. Nu, het rechercheer werkt soms zoals andere text- en command-lijn tools. Het werkt op text files lijn by lijn. Maar hier hebben we een binary file. De memorie dump. Dus we gaan deze file in één goom, niet lijn by lijn. En we doen dat met option minus f voor een volledig read. Dus hier typ ik een regulare expressie om het element L-item te selecten. Zoals dit. En nu ga ik de regulare expressie modificeren om het white space te ontdekken. Dus de rechercheer en nieuwe linefeeds volgende L-item. Zoals dit. En nu weten we dat, na het L-item, we de domainname hebben. Dus ik ga een regulare expressie typen om de domainname te selecten. Dus de domainname kan letters zijn, a to z, nummers van 0 tot 9. Het kan een dot zijn, een underscore. Hier kan er ook een asterisk zijn. En dan eindelijk een dash. En dit set van characters kan gebeuren meer dan een keer. En je ziet, nu hebben we L-item en de verschillende domain. Nu, we willen alleen de domain, niet de L-item. En dit kan je doen door groepen te gebruiken. Dus als je een groep voor de domain, zoals dit hier, voor de domainname, dan zal de rechercheer alleen voor de domainname uitvoeren. En het zal niet uitvoeren op het L-item, zoals dit. Dus hier hebben we alle domainname. Als we ze niet kunnen, hebben we 1.632 domainname, maar die zijn niet allemaal uniek. 