惡意程序分析方法-精正檢測(cè)技術(shù)
惡意程序分析方法-精正檢測(cè)技術(shù)
惡意程序分析的主要目的是識(shí)別、分析和消除計(jì)算機(jī)系統(tǒng)中的惡意軟件，以保護(hù)用戶的數(shù)據(jù)和隱私。
一、惡意軟件的識(shí)別
1.特征碼識(shí)別：通過檢測(cè)惡意軟件的特征碼，如文件簽名、哈希值等，快速識(shí)別惡意軟件。
2.行為識(shí)別：通過觀察惡意軟件在系統(tǒng)中的行為，如自我復(fù)制、修改系統(tǒng)配置等，判斷惡意軟件的存在。
3.惡意文件類型識(shí)別：針對(duì)常見的惡意文件類型，如腳本文件、可執(zhí)行文件等，進(jìn)行專門的識(shí)別。
二、惡意軟件的分析
1.靜態(tài)分析：通過對(duì)惡意軟件的代碼進(jìn)行靜態(tài)分析，了解其功能、原理和潛在威脅。
2.動(dòng)態(tài)分析：在虛擬環(huán)境中運(yùn)行惡意軟件，觀察其行為，以更深入地了解其危害性。
3.代碼級(jí)分析：運(yùn)用逆向工程技術(shù)，對(duì)惡意軟件的代碼進(jìn)行深入分析，揭示其設(shè)計(jì)思路和實(shí)現(xiàn)細(xì)節(jié)。
三、惡意軟件的處理
1.清除惡意軟件：采用專業(yè)工具和技術(shù)，清除計(jì)算機(jī)系統(tǒng)中的惡意軟件。
2.數(shù)據(jù)恢復(fù)：對(duì)于被惡意軟件破壞的數(shù)據(jù)，進(jìn)行修復(fù)和恢復(fù)。
3.系統(tǒng)修復(fù)：對(duì)惡意軟件造成的系統(tǒng)損壞進(jìn)行修復(fù)，恢復(fù)系統(tǒng)正常運(yùn)行。
四、惡意軟件的預(yù)防
1.安全意識(shí)教育：提高用戶對(duì)網(wǎng)絡(luò)安全的認(rèn)識(shí)，增強(qiáng)防范意識(shí)。
2.安全軟件防護(hù)：安裝專業(yè)的安全軟件，如殺毒軟件、防火墻等，實(shí)時(shí)保護(hù)計(jì)算機(jī)系統(tǒng)。
3.系統(tǒng)更新與維護(hù)：定期更新操作系統(tǒng)和軟件，修復(fù)安全漏洞。
4.數(shù)據(jù)備份：定期備份重要數(shù)據(jù)，以防數(shù)據(jù)丟失或損壞。
實(shí)際例子：
簡(jiǎn)單分析
高速分析技術(shù)結(jié)合日志分析技術(shù)，實(shí)現(xiàn)對(duì)數(shù)據(jù)特征碼的提取以及生成簡(jiǎn)要報(bào)告。
詳細(xì)分析
結(jié)合靜態(tài)分析技術(shù)與動(dòng)態(tài)分析技術(shù)，可實(shí)現(xiàn)對(duì)惡意代碼的深入剖析。通過提取特征碼、詳細(xì)分析報(bào)告，以及專殺工具的開發(fā)，最終獲取C2惡意代碼分析成果。
1、在線反病毒引擎
2、hash獲取 certutil -hashfile 01.惡意代碼基礎(chǔ)知識(shí).exe MD5
或電腦自帶的CRC校驗(yàn)和SHA算法，可以有效地保障數(shù)據(jù)傳輸和存儲(chǔ)的可靠性。
3、查找字符串 hive string ida 火絨劍
4、查殼 pied
該項(xiàng)并無(wú)外殼，若未能找到或顯示其他名稱，則可視為有外殼。
5、導(dǎo)入導(dǎo)出函數(shù)
獲取函數(shù)地址及加載動(dòng)態(tài)鏈接庫(kù)，實(shí)現(xiàn)動(dòng)態(tài)尋找winexec執(zhí)行途徑。創(chuàng)建、寫入及移動(dòng)文件，實(shí)現(xiàn)自身隱蔽。開啟進(jìn)程、創(chuàng)建遠(yuǎn)程線程，實(shí)施遠(yuǎn)程線程注入。搜尋資源、確認(rèn)資源尺寸并加載資源，揭示程序資源段內(nèi)隱藏信息。在釋放可執(zhí)行文件時(shí)完成整個(gè)過程。
執(zhí)行權(quán)限相關(guān)操作。疑為權(quán)限提升。
下載器和啟動(dòng)器——并無(wú)實(shí)質(zhì)惡意功能
6、獲取資源信息
在Windows操作系統(tǒng)中，可執(zhí)行程序主要由DOS頭部與PE頭部組成，這兩個(gè)部分共同構(gòu)成了PE程序的基本結(jié)構(gòu)。
確認(rèn)為下載文件并執(zhí)行，進(jìn)而識(shí)別出下載器。