搜索

[15820] 2020-09-06_手工搭建简易的Linux恶意脚本分析系统

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-09-06_手工搭建简易的Linux恶意脚本分析系统 手 工 搭 建 简 易 的 L i n u x 恶 意 脚 本 分 析 系 统 深 信 服 安 全 团 队   F r e e B u f   2 0 2 0 - 0 9 - 0 6 概 述 概 述 L i n u x 环 境 下 的 恶 意 软 件 大 部 分 以 s h e l l 脚 本 作 为 母 体 文 件 进 行 传 播 ， 而 且 ， 同 一 个 病 毒 家 族 所 使 用 的 的 恶 意 脚 本 往 往 具 有 极 高 相 似 性 ， 新 变 种 的 脚 本 大 部 分 是 在 旧 变 种 脚 本 的 基 础 上 进 行 修 改 ， 新 增 或 替 换 部 分 关 键 恶 意 代 码 ， 同 时 ， 不 同 家 族 之 间 的 恶 意 脚 本 也 可 能 出 现 代 码 互 相 借 鉴 ， 部 分 重 合 的 情 况 。 该 如 何 揭 示 病 毒 家 族 中 恶 意 脚 本 之 间 的 关 系 呢 ？ 接 下 来 ， 我 们 就 通 过 手 工 搭 建 一 个 简 易 的 恶 意 脚 本 分 析 系 统 ， 来 实 现 对 恶 意 脚 本 之 间 关 系 的 研 究 。 系 统 功 能 系 统 功 能 系 统 的 功 能 如 下 ， 主 要 为 3 个 ： 使 用 y a r a 检 测 脚 本 对 应 的 病 毒 家 族 。 计 算 脚 本 与 样 本 库 中 每 个 样 本 的 相 似 度 。 提 取 脚 本 新 增 / 改 动 的 恶 意 代 码 。 通 过 以 上 3 个 环 节 ， 就 能 检 测 出 该 脚 本 所 属 的 家 族 ， 与 其 最 相 似 的 样 本 ， 以 及 新 改 动 的 恶 意 代 码 ， 从 而 快 速 定 位 到 本 次 病 毒 变 种 更 新 的 恶 意 项 （ C & C 域 名 / 文 件 路 径 / 进 程 名 等 ） 。
使 用 方 法 使 用 方 法 系 统 结 构 由 3 部 分 组 成 ， y a r a 规 则 库 、 病 毒 样 本 库 、 功 能 代 码 ， 后 者 运 行 后 会 读 取 规 则 和 样 本 内 容 进 行 检 测 。 系 统 运 行 效 果 如 下 ， 测 试 的 脚 本 为 7 月 份 新 发 现 的 H 2 M i n e r 新 变 种 ， 该 变 种 与 1 月 份 变 种 e x . s h 的 相 似 度 为 9 7 % ， 与 5 月 份 变 种 s a . s h 的 相 似 度 为 9 3 % 。 同 时 ， 相 比 于 1 月 份 的 变 种 新 增 了 1 8 行 代 码 ， 更 改 了 8 行 代 码 。 然 而 ， 待 检 测 的 脚 本 有 可 能 是 新 的 病 毒 家 族 ， 已 有 的 y a r a 规 则 无 法 匹 配 成 功 ， 这 时 候 系 统 会 遍 历 该 脚 本 与 样 本 库 中 每 一 个 样 本 的 相 似 度 ， 筛 选 出 相 似 度 最 高 的 家 族 。
系 统 运 行 完 成 后 ， 会 生 成 一 个 h t m l 报 告 ， 用 于 可 视 化 显 示 脚 本 之 间 的 具 体 差 异 。 显 示 效 果 如 下 ， 高 亮 显 示 脚 本 与 相 似 样 本 间 具 体 的 新 增 / 更 改 / 删 除 恶 意 代 码 行 。
原 理 分 析 原 理 分 析 3 个 核 心 功 能 分 别 由 y a r a _ s c a n 函 数 、 c h e c k _ s i m i l a r i t y 函 数 、 p a r s e _ m o d i f i c a t i o n 函 数 实 现 ， 若 c h e c k _ s i m i l a r i t y 没 有 计 算 出 相 似 度 高 的 关 联 样 本 ， 则 不 执 行 p a r s e _ m o d i f i c a t i o n 函 数 。 y a r a _ s c a n 函 数 函 数 通 过 y a r a 库 ， 调 用 r u l e _ d b 里 的 y a r a 规 则 对 目 标 脚 本 进 行 扫 描 ， 返 回 匹 配 到 病 毒 家 族 名 。
目 前 支 持 的 检 测 的 病 毒 家 族 如 下 。 c h e c k _ s i m i l a r i t y 函 数 函 数 调 用 开 源 d i f f l i b 库 的 S e q u e n c e M a t c h e r 函 数 进 行 文 本 相 似 度 计 算 ， 筛 选 出 相 似 百 分 比 最 高 的 样 本 。 P S ： 若 前 面 y a r a 检 测 出 对 应 的 病 毒 家 族 ， 则 只 计 算 该 家 族 目 录 下 的 样 本 相 似 度 ， 否 则 ， 计 算 所 有 家 族 样 本 的 相 似 度 。
样 本 按 照 发 现 日 期 进 行 存 放 ， 便 于 整 理 其 中 关 系 。 p a r s e _ m o d i f c a t i o n 函 数 函 数 最 后 ， 使 用 d i f f l i b . c o n t e x t _ d i f f 函 数 提 取 差 异 （ 新 增 / 更 改 / 删 除 ） 代 码 ， 并 使 用 d i f f l i b . H t m l D i f f 生 成 详 细 报 告 。
总 结 总 结 L i n u x 恶 意 脚 本 大 部 分 没 有 进 行 混 淆 ， 使 用 开 源 库 d i f f l i b 进 行 文 本 比 较 是 个 简 单 高 效 的 方 法 ， 通 过 该 系 统 ， 可 以 快 速 的 分 析 新 型 恶 意 脚 本 的 更 新 部 分 ， 以 及 与 其 他 病 毒 家 族 脚 本 的 关 系 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理