leonaminiel/Malware-Forensics
GitHub: leonaminiel/Malware-Forensics
这是一个端到端的Windows 10恶意软件取证分析报告，展示了从证据获取到威胁分类的完整调查流程。
Stars: 1 | Forks: 0
# Windows 10 恶意软件取证调查
## 概述
本次调查模拟了一个真实世界的事件响应工作流程，应用于一台已知感染恶意软件的 Windows 10 虚拟机。目标是恢复、保存并分析来自易失性（内存）和非易失性（硬盘）存储的取证证据，同时不改变原始证据状态。
完整的调查流程涵盖：
- 使用 **Magnet RAM Capture** 进行**内存获取**，生成原始 `.raw` 内存转储文件。
- 通过 VMware 快照/克隆进行**磁盘镜像**，保存其修复前的 `.vmdk` 状态。
- 使用 **Volatility Workbench** 进行**内存分析**，以发现活动的恶意进程。
- 使用 **Autopsy** 进行**磁盘分析**，以恢复和分类可疑的可执行文件。
- 通过 **VirusTotal** 多引擎扫描进行**哈希验证**，以对每个样本进行分类。
在键盘记录器、远程访问工具（RAT）、后门木马、窃密程序、注入器和风险软件中，**确认了 10 个恶意软件样本**。
## 环境
| 组件 | 详情 |
|------|------|
| 目标机器 | Windows 10 虚拟机（已感染） |
| 虚拟化平台 | VMware Workstation Pro |
| 内存获取 | Magnet RAM Capture → `.raw` 转储 |
| 磁盘获取 | VMware 克隆 → `.vmdk` 镜像 |
| 内存分析 | Volatility Workbench v3 |
| 磁盘分析 | Autopsy 取证浏览器 |
| 哈希验证 | VirusTotal（70+ 防病毒引擎） |
## 目录
- [获取](#acquisition)
- [内存获取](#ram-acquisition)
- [硬盘获取](#hdd-acquisition)
- [分析](#analysis)
- [内存分析 — Volatility](#ram-analysis--volatility)
- [硬盘分析 — Autopsy](#hdd-analysis--autopsy)
- [已确认的恶意软件发现](#confirmed-malware-findings)
- [修复建议](#remediation-recommendations)
- [关键要点](#key-takeaways)
## 获取
### 内存获取
在虚拟机保持活动状态的同时，使用 **Magnet RAM Capture (MRC)** 获取易失性内存——这保存了活动进程状态、网络连接和内存中的工件，这些在关机后会丢失。
**步骤：**
1. 启动 VMware，并将包含 `MRC.exe` 的 USB 驱动器连接到客户虚拟机。
2. 将 `MRC.exe` 复制到虚拟机的 `C:\` 驱动器。
3. 以管理员身份启动命令提示符并执行 MRC：
```
volatility -f memory.raw windows.pstree
```
4. 选择 USB 驱动器作为输出目标，并分配一个适合案例的文件名。
5. 开始捕获——MRC 将物理内存的全部内容流式传输到一个 `.raw` 文件中。
6. 捕获完成后安全弹出客户机中的 USB；该驱动器现在是证据载体。
### 硬盘获取
使用 **VMware 的快照和克隆** 功能以非破坏性方式获取虚拟磁盘，该功能冻结虚拟机状态并生成独立的 `.vmdk` 副本，而无需关闭客户机。
**步骤：**
1. 在 VMware 中，创建快照以锁定当前磁盘状态。
2. 克隆虚拟机以生成独立的 `.vmdk` 镜像。
3. 将磁盘镜像提取到已知的分析路径：
```
User downloads KMSAuto cracking tool
│
▼
KMSAuto Net.exe installed → KMSAutoS\ persistence directory created
│
├── TunMirror2.exe (KMS emulator / RiskWare)
├── KMSSS.exe (Backdoor service)
└── TunMirror2.exe → system access granted to attacker
│
▼
ProKAward\ malware cluster deployed (via RAT or dropper)
│
├── rsasws.exe (PID 1540) — persistent loader service
│ └── wap.exe (PID 4996) — C2 / Award Keylogger controller
│ └── UW.exe (PID 5164) — self-deleting stage payload
├── filedat.dat — Graftor keylogger payload
└── wap.exe — disk-resident keylogger binary
Browser cache (Edge) — secondary delivery vector
├── zw[1].exe — LokiBot credential stealer
└── loder[1].exe — MSIL dropper
Downloads folder — user-initiated installs
├── updsto.exe — RAT
└── win10drivetest(Demo).exe — Graftor / driver masquerade
```
4. 在 **Autopsy** 中，创建一个新案例，并将 `.vmdk` 作为 *磁盘镜像或虚拟机文件* 数据源加载。
5. 允许摄取模块完成——标记可疑文件、已删除项目和浏览器工件。
## 分析
### 内存分析 — Volatility
将 `.raw` 内存转储加载到 **Volatility Workbench v3** 中，进行进程树枚举和行为分析。
**加载镜像：**
- 打开 Volatility Workbench → *浏览镜像* → 选择 `.raw` 文件
- 将平台设置为 **Windows**
- 通过 *获取进程列表* 确认加载成功
**进程树枚举：**
标签：Autopsy磁盘分析, DAST, SecList, VirusTotal哈希验证, VMware虚拟机, Volatility内存分析, Windows 10取证, 事件响应模拟, 内存取证, 内存获取, 取证工作流程, 后门木马, 哈希验证, 多引擎扫描, 威胁分类, 恶意软件分析, 恶意软件样本确认, 数字取证, 易失性内存分析, 注入器, 磁盘取证, 磁盘成像, 窃取器, 网络安全, 自动化脚本, 远程访问木马, 键盘记录器检测, 隐私保护, 非易失性存储取证, 风险软件