主页 / unix / 问题 / 565613
Accepted
Yimin Rong
Asked: 2020-02-04 12:42:58 +0800 CST

为反恶意软件提供商创建受感染机器的 VM

  • 772

我们最近遭受了网络攻击，破坏了我们的一些计算机。我们留下一个未修复的待调查。虽然我们的反恶意软件提供商对查看计算机以检查感染后果非常感兴趣，但我们不能冒险在我们的网络中打开它。

相反，如果可能的话，我想创建一个安装了紧凑型 Linux 的可引导 USB，在安全的环境中引导机器，然后从 Linux 创建它所连接的受感染机器的 VM。反恶意软件提供商表示，现有受感染机器的 VM 完全令人满意。

这可能吗？如果重要的话，受感染的机器是 Windows 10（它还会是什么？）。

总结下面的答案，是的，这是可能的，但不是微不足道的，而且更容易直接发送硬盘（如果他们接受，我的不会）。

live-usb virtual-machine

3 个回答

  1. Best Answer

    最安全的方法是将机器引导到具有足够大的持久存储区域以安装 VirtualBox 的实时发行版。

    需要的东西：目标系统、带有持久存储的 Live Distro USB、用于存储克隆的 USB

    在未插入/移除所有网卡的情况下启动，如果无法拔出/移除有线/无线网卡，则在打开目标机器之前更改其拥有/有权访问的路由器的所有 wifi 密码，以防万一失败直接启动到现场发行版。确保安装了所有需要的媒体，即。目标、存储和实时分发...

    开机系统

    根据需要更改 BIOS 引导顺序以引导至实时发行版。检查制造商手册以进入 BIOS。

    进入 live 发行版后，找出被克隆系统的驱动器路径以及您希望在其上存储映像的驱动器。你可以用lsblk这个。

    在 live 发行版上安装 VirtualBox。sudo su - apt-get install virtualbox

    然后执行以下命令：

    VBoxManage convertfromraw /path/to/drive/to/clone /path/to/store/on/MyImage.vdi --format VDI

    存储映像的驱动器应与实时发行版和被克隆的驱动器分开。

    • 1

  2. 1.当然可以创建一个带有可引导 Linux 的 USB，特别是为了这个特定目的。事实上，有几个 Linux 发行版专门用于涉及取证分析和数据恢复的任务。如果您在一家以技术为导向的公司，手头应该总是有几个“救援工具包”可用，即带有救援 USB 的安全盒、操作系统映像、脚本/数据库的任何模板，以使您尽快启动和运行，无论是由于网络攻击或物理火灾。

    请提供有关您正在处理的攻击/系统损坏类型的一些信息，我将使用适当的分发更新此答案以进行分析/恢复。

    2.创建受感染系统的虚拟机应该是最后的方法。我的意思是你可以使用虚拟机来研究感染（以类似于在非常安全的实验室中研究致命病毒的方式），通过故意用给定的恶意软件感染干净的虚拟机。

    • 首先，当您完全不知道自己在处理什么时，它可能不允许您正确检查当前未知的网络威胁或确定您公司存在的攻击媒介。
    • 其次，连接到受感染/受损的虚拟机理论上总是可以将主机暴露给“某种”类型的“攻击”向量。攻击可能是无害的，但它可能是一些未知/未发现/未修补的类型。过去发现了许多 VM 漏洞，未来的VM 公告中也会发现许多。因此，进行分析的救援/主机操作系统始终是可丢弃的系统（独立硬件、活动 USB 记忆棒等）是一个好主意。
    • 如果您还不了解和理解您正在处理的实际威胁，并且最好有一种方法来堵住漏洞，那么请始终期待最坏的情况。始终尽量减少攻击能够以任何方式重新启动/继续的机会。

    每天，都有新的零日漏洞被积极搜索和发现，您的机器可能刚刚接触到一些全新的东西，以至于安全专家仍在对其进行分析。

    3.

    虽然我们的安全提供商对查看计算机非常感兴趣，但我们不能冒险在我们的网络中打开它。

    我不知道该怎么做，但是如果您的安全提供商希望您的公司/您设置它以进行测试，我强烈建议你们找到一个新的安全提供商。这有无数的原因，但你们应该关注的最重要的是法律，即当前和未来的责任，以及监管链问题（如果这是由现任/前任员工完成的，因为它通常是）。

    • 0

  3. 反恶意软件提供商让我注意到了这个可能会起作用的VMWare 产品。将尝试并在此处发布结果，以使每个人都受益。

    编辑：这不是我要找的！将按照评论者的建议使用dcfldd.

    • 0

相关问题