Курс «Компьютерные угрозы»

Лабораторные работы - преимущества
Использование виртуальных машин дает:
Установка всех необходимых утилит без необходимости привилегий администратора
Возможность безопасной работы с вредоносным кодом и отсутствие возможности его скопировать
Возможные проблемы:
Необходимость обновлять версии ПО, н-р, Антивируса Касперского каждый год

ПО и Утилиты
VM Player + образ ОС Windows
Макет троянской программы - ЛР 2
Утилита для анализа скриптов Malzilla - ЛР 3
Дизассемблер IDA Pro Free Edition - ЛР 4
Реконструктор таблицы импортов ImportRec - ЛР 5
Утилита для снятия дампов памяти PETools или ProcDump – ЛР 5
Детектор компиляторов/упаковщиков PeID и DiE (Detect It Easy) – ЛР 5

Средства
Использование визуальных средств для:
Реверс инжениринг
Распаковка
Расшифровка
Анализ эксплойтов

Лабораторные работы - структура
Описание ЛР включает в себя следующие пункты:
Цель
Состав необходимого ПО
Краткое содержание работы
Рекомендации преподавателю
Методические указания по выполнению работы
Задания
Контрольные вопросы

ЛР 1 – Антивирус Касперского
Цель: ознакомиться с процессом инсталляции, принципами работы и управлением Антивирусом Касперского на ОС Windows
Интерфейс
Обновление
Технологии оптимизации сигнатурного сканера (iChecker и iStreams)
Работа антивируса при доступе к фалам
Поиск и помещение в карантин вредоносных файлов
Особенности использования лицензии

ЛР 1 – Результаты

ЛР 2 – Определение признаков заражения
Цель: получить навыки обнаружения на компьютере вредоносных программ, изучить основные методы по устранению последствий вирусных инцидентов без использования антивирусного программного обеспечения.
Анализ запущенных процессов (Диспетчер задач Windows)
Проверка реестра (regedit)
Системных папок ОС
Открытых сетевых соединений (netstat)
Содержание файла hosts

ЛР 2 – Результаты

ЛР 3 – Уязвимости в Интернет браузерах
Цель: получить навыки обнаружения присутствия уязвимостей в скриптах, исполняемых Интернет браузером, изучить основные методы, используемые злоумышленниками для запуска вредоносного кода, используя различные системные уязвимости.
Рассмотрение примера анализа уязвимости в метод. пособии
Анализ HTML странички, использующей уязвимость
Деобфускация скриптов в Malzilla
Анализ деобфусцированного кода эксплойта
Выводы по функциональности эксплойта

ЛР 3 – Результаты

ЛР 4 – Основы работы с дизассемблером
Цель: навыки статического анализа программ с помощью дизассемблеров с целью обнаружения присутствия вредоносной составляющей, изучить основные приемы дизассемблирования приложений.
Интерфейс и возможности дизассемблера IDA
Основы статического анализа Win32 программ
Анализ PE файлов (calc.exe, notepad.exe)
Анализ bin файлов (шелкоды из эксплойтов)

Реверсинг…

ЛР 4 – Результаты

ЛР 5 – Исследование пакеров
Цель: получить навыки определения наличия упаковщика в исполняемых файлах, идентификации упаковщика. Изучить основные методы распаковки исполняемых файлов.
Принципы упаковки исполняемого кода
Особенности работы некоторых упаковщиков
Методика распаковки исполняемого файла
Распаковка программ (calc, notepad) запакованных UPX, AsPack, FSG из под дебаггера

Распаковка…

ЛР 5 – Результаты

Преимущества
Визуализация
Понятность
Возможность удаленного обучение

Опрос студентов