Til dere som vil lære å analysere

[r2d290]

Det kommer inn en del spørsmål, både som pm og i forumet, om hvordan man lærer å analysere logger osv. Derfor tenkte jeg at det ville være greit med en liten veiledning på dette.

 

NB: Denne tråden kan også brukes til generelle spørsmål rundt analyse av logger osv. men ikke kom med spørsmål eller informasjon som inneholder informasjon om hvilke sider og hjelpemidler som blir brukt for å analysere. Slike spørsmål passer best som PM.

 

 

Først må jeg bare påpeke at informasjon om hvordan disse programmene skal bli brukt, ikke skal ligge i offentlige forum, og det er grunnen til at jeg skriver såpass overfladisk som jeg gjør her. Dere vil få mer detaljert informasjon via PM hvis dette er ønskelig.

 

 

Før du begynner

Hva bør du vite?

 

Du bør ha grei kjennskap til datamaskinens oppbygging (hvilke filer som normalt er på maskiner osv.)

Du bør ha evne til å hjelpe andre, samtidig som du kan ta imot hjelp og veiledning fra andre.

Du må kunne lese deg til informasjon på egenhånd, og lære gjennom å lese.

Du må ikke være redd for å spørre om hjelp hvis det er noe du ikke finner ut av.

Du må ha tolmodighet. Det tar lang tid å lære seg dette.

 

 

Når du har begynt

I starten av opplæringsfasen bør du starte med å se grovt gjennom en del tidligere tråder på forumet for å bli kjent med de forskjellige metodene som blir brukt under oppreningsprosessen.

 

Det neste du bør gjøre, er å ta for deg en tråd der en bruker har hatt malware, som noen tidligere har analysert kun ved å bruke HijackThis, og prøve å finne ut hvorfor nettopp disse linjene skulle fikses. Bruk gjerne google for å slå opp.

 

 

 

Når du har satt deg litt inn i systemet, og bestemt deg for at du er villig til å bruke en hel del tid på dette, kan du kontakte meg (eller noen av de andre aktive brukerene på denne delen av forumet) på PM, så vil du få mer informasjon om sider/verktøy som er til hjelp for analyse av logger.

Det finnes også skoler på internett der du kan bli medlem, og melde deg inn i en "skjult" del av forumet, der du prøver deg på virituelle situasjoner, og får tilbakemelding på hvordan du presterte. Når du fullfører eksamen på en av disse skolene, kan du bli medlem av ASAP - "Alliance of Security Analysis Professionals ". Ta kontakt, så kan dere få link en slik skole.

 

 

I mange av trådene bruker vi Combofix til å lage en logg, for deretter å lage et CFScript for å fjerne malware. Dette er en prosess som tar ganske mye lenger tid å lære seg, enn å analysere HijackThis-logg. Dessuten kan du fikse en god del problemer bare ved å bruke HijackThis og et bra anti-spyware program. Derfor mener jeg at du bør vente litt med å lære deg å bruke Combofix. Ikke be brukere om å bruke Combofix før du har lært deg å selv lage CFScript. Combofix er et veldig kraftig program, noe som gjør at det ved galt bruk kan få katastrofale konsekvenser.

 

Når du er klar

Når du føler deg klar til å prøve deg på en ekte logg her på forumet, bør du tenke på følgende punkter:

-Ikke bryt inn i en prosess som noen andre holder på med, så lenge den andre personen som alerede har begynt i en tråd er online. (Untak er dersom du helt sikkert ser at en person har gjort en alvorlig feil.)

-Ikke be en bruker om å fikse/fjerne noe du er usikker på. Da er det bedre at du spør om hjelp

 

Hvis du vil, kan du ta for deg en tråd som ingen andre har begynt på, og skrive følgende kommentar:

Loggen(e) din(e) blir analysert. Vær tolmodig...
[i][list]
[*] Ikke gjør noen flere forsøk på å fjerne malware før du får beskjed på forumet.
[*] Ikke formater PC-en. Det er stor sansynlighet for at vi får løst problemet uten at du trenger å reformatere.
[*] Hold deg til ett forum. Ikke post loggene dine i flere forum, eller be om hjelp fra flere forum samtidig. Hvis du alerede har gjort dette, bør du redigere vekk logg fra et av forumene.
[/list][/i]

 

Hvis du gjør dette, vil de andre forstå at du ønsker å prøve deg på en logg, og holder oss derfor litt tilbake en stund. Du kan da analysere loggen, og deretter sende en PM til en du mener har god nok erfaring, og spørre om de kan kontrollere det du har gjort.

Ikke begynn på et problem som virker for avansert for deg.

 

Du kan gjerne bruke en av disse ferdigbeskjedene for å lage raske og presise tilbakemeldinger.

 

Lykke til

Endret 9. januar 2009 av r2d290

[Programvare]

Super guide. Virkelig bra med noen som bidrar slik som du!

Endret 4. august 2008 av Vintermåne

[Bruker-158599]

Super guide. Virkelig bra med noen som bidrar slik som du!

helt enig! dette har jeg venta på

[maheath]

Ja dere gjør en utrolig bra jobb på forumet.

 

Kom over en kjempebra video som gav meg masse aha-opplevelser, her er live eksempler og forklaring på både spyware og rootikts. Anbefales hvis man har 1 time til overs, men det er ganske teknisk altså:

 

Adwanced malware cleaning - Microsoft TechNet

[r2d290]

Ja dere gjør en utrolig bra jobb på forumet.

 

Kom over en kjempebra video som gav meg masse aha-opplevelser, her er live eksempler og forklaring på både spyware og rootikts. Anbefales hvis man har 1 time til overs, men det er ganske teknisk altså:

 

Adwanced malware cleaning - Microsoft TechNet

Takk for det Skal prøve å se den så fort jeg får rotet meg frem til en windows-pc. Gikk vist ikke an å se filmen i linux

[snippsat]

Kom over en kjempebra video som gav meg masse aha-opplevelser, her er live eksempler og forklaring på både spyware og rootikts. Anbefales hvis man har 1 time til overs, men det er ganske teknisk altså:

Har sett videoen før,det er en grei innføring i process explorer og hvordan du kan finne maleware med den.

Dette er knotete metoder for og fjerne maleware,kan i liten del brukes som online hjelp.

Jeg bruker process explorer som regel etter at pcen er ren for maleware.

Viss en prosess bruker mye av cpuen kraft.

 

Tar med et eksp:

Her er pcen ren for maleware men pcen lagger.

Fant at "PCMService.exe" var syndern med hjelp av process explorer.

https://www.diskusjon.no/index.php?showtopic=987339

 

Så rådet er som i post #1,skal man lære dette må en bruke mye tid på og studere logger.

Kunne et tilegg verktøy som process explorer er en fordel.

Endret 9. september 2008 av SNIPPSAT

[Gavekort]

God tråd, eg kommer troleg til å være aktiv på denne.

 

Men er det nokkon som vet kva eg skal gjøre med O2 filer som ikkje vil sei kva dei gjør og heter?

[r2d290]

God tråd, eg kommer troleg til å være aktiv på denne.

 

Men er det nokkon som vet kva eg skal gjøre med O2 filer som ikkje vil sei kva dei gjør og heter?

Kan du komme med et eksempel, så blir det litt lettere å forklare?

[Gavekort]

Det kan eg!

 

Den som er merkert.

[r2d290]

Du leser om O2-linjer på siden: http://www.bleepingcomputer.com/tutorials/tutorial42.html og går inn på siden som er linket til. Deretter søker du etter CLSID-en, sånn jeg har gjort:

 

http://www.systemlookup.com/lists.php?list...8571CECB&s=

 

Når det står no name og no file, betyr det som oftest at programmet er avinstallert, så det er bare registeroppføringen som er igjen.

[Gavekort]

Tusen takk, Systemlookup er bookmarked.