搜索

[17125] 2021-08-08_恶意软件分析101之文件类型与指纹识别

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-08-08_恶意软件分析101之文件类型与指纹识别 恶 意 软 件 分 析 1 0 1 之 文 件 类 型 与 指 纹 识 别 原 创   s e c 8 7 5   F r e e B u f   2 0 2 1 - 0 8 - 0 8 冰 封 三 尺 非 一 日 之 寒 ， 本 篇 先 交 付 恶 意 软 件 前 置 知 识 的 文 件 类 型 与 指 纹 识 别 ， 来 帮 助 大 家 打 基 础 。 前 置 知 识 前 置 知 识 恶 意 软 件 分 析 的 目 标 是 了 解 恶 意 软 件 的 工 作 方 式 以 及 如 何 检 测 和 杀 死 它 。 恶 意 软 件 是 一 个 广 义 的 术 语 ， 指 的 是 不 同 类 型 的 恶 意 程 序 ： V i r u s   o r   W o r m （ 病 毒 或 蠕 虫 ） ： 自 我 复 制 ， 网 络 传 播 T r o j a n （ 特 洛 伊 木 马 ） B a c k d o o r   /   R e m o t e   A c c e s s   T r o j a n   ( R A T ) （ 后 门 或 远 程 访 问 木 马 ） A d w a r e （ 广 告 软 件 ） ： 强 制 广 告 弹 窗 营 销 B o t n e t （ 僵 尸 网 络 ） ： 大 量 僵 尸 程 序 （ b o t s ） 通 过 C 2 隧 道 等 待 攻 击 者 执 行 D D O S 或 者 其 他 恶 意 活 动 。 n g i n x 的 出 生 就 是 因 为 大 量 僵 尸 程 序 需 要 回 连 控 制 端 ， 而 导 致 它 被 开 发 了 出 来 。 I n f o r m a t i o n   s t e a l e r （ 信 息 窃 密 者 ） ： 意 指 窃 取 银 行 等 敏 感 数 据 的 恶 意 软 件 ， 包 括 键 盘 记 录 器 ， 表 单 抓 取 ， 间 谍 软 件 ， 嗅 探 器 。 R a n s o m w a r e （ 勒 索 软 件 ） ： 加 密 数 据 要 挟 赎 金 R o o t k i t ： 旨 在 表 达 隐 蔽 性 很 强 的 一 种 特 权 持 久 化 后 门 D o w n l o a d e r   o r   d r o p p e r （ 下 载 器 或 投 放 器 ） ： 类 似 于 先 来 一 个 侦 察 兵 ， 然 后 侦 察 兵 再 释 放 出 真 实 的 恶 意 程 序 。 分 阶 段 部 署 与 交 付 恶 意 程 序 。 包 括 但 不 限 于 恶 意 软 件 分 析 的 基 本 术 语 表 ： h t t p s : / / b l o g . m a l w a r e b y t e s . c o m / g l o s s a r y / 恶 意 软 件 分 析 技 术 ： S t a t i c   a n a l y s i s （ 静 态 分 析 ） ： 它 表 示 的 只 是 二 进 制 文 件 在 此 刻 所 反 映 的 反 汇 编 等 信 息 。 也 就 是 说 还 没 执 行 时 ， 它 大 概 是 个 什 么 样 子 ， 有 什 么 信 息 。 D y n a m i c   a n a l y s i s   ( B e h a v i o r a l   A n a l y s i s )   动 态 分 析 （ 行 为 分 析 ） :   在 隔 离 环 境 中 执 行 可 疑 二 进 制 文 件 并 监 控 其 行 为 的 过 程 。 动 态 分 析 结 束 意 味 着 您 真 正 的 将 恶 意 软 件 给 执 行 了 一 遍 。 已 调 试 的 方 式 下 一 步 下 一 步 来 观 察 。 C o d e   a n a l y s i s   （ 代 码 分 析 ） M e m o r y   a n a l y s i s   ( M e m o r y   f o r e n s i c s )   内 存 分 析 ( 内 存 取 证 ) 设 置 实 验 室 环 境 设 置 实 验 室 环 境 V M w a r e   W o r k s t a t i o n ， V M w a r e   F u s i o n （ m a c   o s ） ， V i r t u a l B o x 共 享 文 件 夹 h t t p s : / / w w w . v i r t u a l b o x . o r g / m a n u a l / c h 0 4 . h t m l # s h a r e d f o l d e r s
h t t p s : / / d o c s . v m w a r e . c o m / e n / V M w a r e - W o r k s t a t i o n - P r o / 1 6 . 0 / c o m . v m w a r e . w s . u s i n g . d o c / G U I D - A A C E 0 9 3 5 - 4 B 4 3 - 4 3 B A - A 9 3 5 - F C 7 1 A B A 1 7 8 0 3 . h t m l 禁 用 W i n d o w s   D e f e n d e r   避 免 对 恶 意 样 本 产 生 干 扰 如 果 是 很 严 重 的 一 次 恶 意 样 本 分 析 ， 则 需 要 依 赖 一 个 复 杂 的 实 验 室 环 境 ： 有 服 务 器 ， 有 客 户 端 ， 有 其 他 应 用 程 序 。 您 需 要 高 仿 真 用 户 环 境 试 图 安 慰 恶 意 程 序 ， 让 它 放 下 戒 心 （ 过 渡 潜 伏 期 与 侦 察 期 ） ， 执 行 自 己 的 真 实 目 的 程 序 。 安 全 意 识 T i p s ： 虚 拟 环 境 需 及 时 更 新 ， 采 用 多 层 套 娃 等 提 升 环 境 复 杂 度 （ 比 如 底 层 是 云 虚 拟 平 台 ， 再 起 主 机 ， 主 机 再 起 V i r t u a l B o x ） ： 针 对 环 境 复 杂 度 漏 洞 利 用 的 恶 意 程 序 则 需 已 全 国 之 力 来 对 付 才 行 。 。 网 络 隔 离 ， h o s t - o n l y ， 仅 主 机 模 式 不 要 在 物 理 机 上 连 接 可 移 动 媒 体 可 以 用 l i n u x 环 境 来 分 析 W i n d o w s   恶 意 软 件 ， 如 果 从 虚 拟 机 逃 逸 ， 也 无 法 感 染 到 主 机 。 u b u n t u 环 境 下 的 一 些 推 荐 工 具 ： h t t p : / / r e l e a s e s . u b u n t u . c o m /   u b u n t u 发 行 版 ， 我 们 选 择 的 是 L T S 版 本 ， 桌 面 版 或 者 服 务 器 版 。 I N e t S i m   ( h t t p : / / w w w . i n e t s i m . o r g / i n d e x . h t m l )   模 拟 恶 意 软 件 攻 击 的 各 种   I n t e r n e t   服 务 （ 例 如   D N S   和   H T T P ） 。 $   s u d o   a p t - g e t   u p d a t e $   s u d o   a p t - g e t   i n s t a l l   p y t h o n - p i p $   p i p   i n s t a l l   - - u p g r a d e   p i p $   s u d o   a p t - g e t   i n s t a l l   p y t h o n - m a g i c $   s u d o   a p t - g e t   i n s t a l l   u p x $   s u d o   p i p   i n s t a l l   p e f i l e $   s u d o   a p t - g e t   i n s t a l l   y a r a $   s u d o   p i p   i n s t a l l   y a r a - p y t h o n $   s u d o   a p t - g e t   i n s t a l l   s s d e e p $   s u d o   a p t - g e t   i n s t a l l   b u i l d - e s s e n t i a l   l i b f f i - d e v   p y t h o n   p y t h o n - d e v   l i b f u z z y - d e v $   s u d o   p i p   i n s t a l l   s s d e e p $   s u d o   a p t - g e t   i n s t a l l   w i r e s h a r k $   s u d o   a p t - g e t   i n s t a l l   t s h a r k
安 装 文 档 ： h t t p : / / w w w . i n e t s i m . o r g / p a c k a g e s . h t m l 设 置 静 态 I P 地 址 配 置 I N e t S i m 恶 意 样 本 恶 意 样 本 H y b r i d   A n a l y s i s :   h t t p s : / / w w w . h y b r i d - a n a l y s i s . c o m / K e r n e l M o d e . i n f o :   h t t p : / / w w w . k e r n e l m o d e . i n f o / f o r u m / v i e w f o r u m . p h p ? f = 1 6 V i r u s B a y :   h t t p s : / / b e t a . v i r u s b a y . i o / C o n t a g i o   m a l w a r e   d u m p : h t t p : / / c o n t a g i o d u m p . b l o g s p o t . c o m / A V C a e s a r :   h t t p s : / / a v c a e s a r . m a l w a r e . l u / M a l w r :   h t t p s : / / m a l w r . c o m / V i r u s S h a r e :   $   s u d o   s u #   e c h o   " d e b   h t t p : / / w w w . i n e t s i m . o r g / d e b i a n /   b i n a r y / "   >   / e t c / a p t / s o u r c e s . l i s t . d / i n e t s i m . l i s t #   w g e t   - O   -   h t t p : / / w w w . i n e t s i m . o r g / i n e t s i m - a r c h i v e - s i g n i n g - k e y . a s c   |   a p t - k e y   a d d   - #   a p t   u p d a t e #   a p t - g e t   i n s t a l l   i n e t s i m $   s u d o   g e d i t   / e t c / n e t w o r k / i n t e r f a c e s a u t o   e n s 3 3 i f a c e   e n s 3 3   i n e t   s t a t i c a d d r e s s   1 9 2 . 1 6 8 . 1 . 1 0 0 n e t m a s k   2 5 5 . 2 5 5 . 2 5 5 . 0 $   s u d o   g e d i t   / e t c / i n e t s i m / i n e t s i m . c o n f s e r v i c e _ b i n d _ a d d r e s s   1 9 2 . 1 6 8 . 1 . 1 0 0 d n s _ d e f a u l t _ i p   1 9 2 . 1 6 8 . 1 . 1 0 0 验 证 I N e t S i m 是 否 在 监 听 1 9 2 . 1 6 8 . 1 . 1 0 0 $   s u d o   i n e t s i m
h t t p s : / / v i r u s s h a r e . c o m / t h e Z o o :   h t t p : / / t h e z o o . m o r i r t . c o m / h t t p s : / / z e l t s e r . c o m / m a l w a r e - s a m p l e - s o u r c e s / 静 态 分 析 之 文 件 类 型 静 态 分 析 之 文 件 类 型 遇 见 可 疑 二 进 制 文 件 时 初 始 的 分 析 方 法 是 用 静 态 分 析 ， 提 取 出 有 用 的 信 息 确 定 文 件 类 型 之 文 件 后 缀 名 确 定 文 件 类 型 之 文 件 后 缀 名 确 定 可 疑 二 进 制 文 件 的 文 件 类 型 将 帮 助 您 识 别 恶 意 软 件 的 目 标 操 作 系 统 （ W i n d o w s 、 L i n u x   等 ） 和 体 系 结 构 （ 3 2   位 或 6 4   位 平 台 ） 。 例 如 ， 如 果 可 疑 二 进 制 文 件 的 文 件 类 型 为 P o r t a b l e   E x e c u t a b l e   ( 可 移 植 可 执 行 文 件 , P E ) ， 这 是   W i n d o w s   可 执 行 文 件 （ . e x e 、 . d l l 、 . s y s 、 . d r v 、 . c o m 、 . o c x   等 ） 的 文 件 格 式   ， 那 么 您 可 以 推 断 该 文 件 旨 在 针 对   W i n d o w s   操 作 系 统 。 大 多 数 基 于   W i n d o w s   的 恶 意 软 件 都 是 以   . e x e 、 . d l l 、 . s y s   等 扩 展 名 结 尾 的 可 执 行 文 件 。 攻 击 者 使 用 不 同 的 技 巧 来 隐 藏 他 们 的 文 件 ， 通 过 修 改 文 件 扩 展 名 并 更 改 其 外 观 来 诱 使 用 户 执 行 它 。 可 以 使 用 文 件 签 名 来 确 定 文 件 类 型 ， 而 不 是 依 赖 于 文 件 扩 展 名 。 确 定 文 件 类 型 之 文 件 签 名 确 定 文 件 类 型 之 文 件 签 名 文 件 签 名 是 写 入 文 件 头 的 唯 一 字 节 序 列 。 不 同 的 文 件 有 不 同 的 签 名 ， 可 以 用 来 识 别 文 件 的 类 型 。 W i n d o w s   可 执 行 文 件 ， 也 称 为   P E   文 件 （ 例 如 以   . e x e 、 . d l l 、 . c o m 、 . d r v 、 . s y s   等 结 尾 的 文 件 ） ， 文 件 签 名 为   M Z   或 十 六 进 制 字 符   4 D 5 A   文 件 的 两 个 字 节 。 h t t p : / / w w w . f i l e s i g n a t u r e s . n e t / 我 们 确 切 的 发 现 了 ， 与 e x e 文 件 本 质 上 一 模 一 样 的 P E 文 件 有 很 多 个 。
手 动 方 法 识 别 文 件 类 型 手 动 方 法 识 别 文 件 类 型 通 过 在 十 六 进 制 编 辑 器 中 打 开 文 件 来 查 找 文 件 签 名 。 十 六 进 制 编 辑 器 H x D   h e x   e d i t o r   ( h t t p s : / / m h - n e x u s . d e / e n / h x d / ) 在 l i n u x 下 使 用 x x d 工 具 查 看 十 六 进 制 （ 需 要 安 装 ： y u m   i n s t a l l   v i m - c o m m o n ） x x d   e x p . e x e   |   m o r e
使 用 工 具 识 别 文 件 类 型 使 用 工 具 识 别 文 件 类 型 l i n u x 可 以 使 用 f i l e 命 令 w i n d o w s 中 可 以 使 用   E x p l o r e r   S u i t e   软 件 包 中 的 C F F   E x p l o r e r 工 具 h t t p : / / w w w . n t c o r e . c o m / e x s u i t e . p h p $ f i l e   p a y l o a d . e x e
静 态 分 析 之 恶 意 软 件 指 纹 识 别 静 态 分 析 之 恶 意 软 件 指 纹 识 别 指 纹 识 别 之 哈 希 校 验 指 纹 识 别 之 哈 希 校 验 指 纹 识 别 旨 在 对 可 疑 二 进 制 文 件 的 内 容 生 成 加 密 哈 希 值 。 请 注 意 ： 基 于 文 件 内 容 的 哈 希 ， 本 身 仅 仅 代 表 类 似 于 身 份 的 数 字 ， 需 要 使 用 它 去 “ 警 局 ” 查 询 【 比 如 V i r u s T o t a l 】 是 否 有 违 法 行 为 。 但 没 查 到 不 代 表 它 就 是 正 常 ， 仅 仅 表 示 它 暂 时 没 有 留 下 “ 案 底 ” 。 另 外 ， 修 改 了 文 件 内 容 中 的 任 何 一 个 比 特 ， 哈 希 身 份 将 完 全 不 同 。 它 将 完 全 已 另 一 个 身 份 登 场 。 请 注 意 ： 基 于 哈 希 校 验 的 恶 意 软 件 识 别 是 ， 是 对 已 知 恶 意 软 件 内 容 的 一 种 数 据 匹 配 。 修 改 一 个 请 注 意 ： 基 于 哈 希 校 验 的 恶 意 软 件 识 别 是 ， 是 对 已 知 恶 意 软 件 内 容 的 一 种 数 据 匹 配 。 修 改 一 个 b i t 之 后 ， 它 将 完 之 后 ， 它 将 完 全 已 另 一 个 身 份 登 场 。 全 已 另 一 个 身 份 登 场 。 当 然 ， 您 可 以 基 于 这 里 的 原 理 思 考 一 下 c s 多 人 运 动 工 具 的 p a y l o a d ， 包 括 它 默 认 加 载 与 调 用 的 A P I 函 数 等 ， 如 果 您 不 修 改 的 话 ， 肯 定 有 人 已 经 找 到 它 们 并 生 成 了 指 纹 来 查 杀 。
可 以 参 考 此 处 ， 它 们 指 纹 识 别 了 A P I 函 数 的 哈 希   ： h t t p s : / / d e c o d e d . a v a s t . i o / t h r e a t i n t e l / d e c o d i n g - c o b a l t - s t r i k e - u n d e r s t a n d i n g - p a y l o a d s / 网 站 ： V i r u s T o t a l   h t t p s : / / w w w . v i r u s t o t a l . c o m / g u i / w i n d o w   H a s h M y F i l e s ( h t t p : / / w w w . n i r s o f t . n e t / u t i l s / h a s h _ m y _ f i l e s . h t m l ) p y t h o n 中 的 哈 希   以 下 实 战 环 境 为 k a l i $   m d 5 s u m   l o g . e x e $   s h a 2 5 6 s u m   l o g . e x e $   s h a 1 s u m   l o g . e x e $   p y t h o n P y t h o n   2 . 7 . 1 2   ( d e f a u l t ,   N o v   1 9   2 0 1 6 ,   0 6 : 4 8 : 1 0 ) > > >   i m p o r t   h a s h l i b > > >   c o n t e n t   =   o p e n ( r " l o g . e x e " , " r b " ) . r e a d ( ) > > >   p r i n t   h a s h l i b . m d 5 ( c o n t e n t ) . h e x d i g e s t ( ) 6 e 4 e 0 3 0 f b d 2 e e 7 8 6 e 1 b 6 b 7 5 8 d 5 8 9 7 3 1 6 > > >   p r i n t   h a s h l i b . s h a 2 5 6 ( c o n t e n t ) . h e x d i g e s t ( ) 0 1 6 3 6 f a a a e 7 3 9 6 5 5 b f 8 8 b 3 9 d 2 1 8 3 4 b 7 d a c 9 2 3 3 8 6 d 2 b 5 2 e f b 4 1 4 2 c b 2 7 8 0 6 1 f 9 7 f > > >   p r i n t   h a s h l i b . s h a 1 ( c o n t e n t ) . h e x d i g e s t ( ) 6 2 5 6 4 4 b a c f 8 3 a 8 8 9 0 3 8 e 4 a 2 8 3 d 2 9 2 0 4 e d c 0 e 9 b 6 5
p e s t u d i o   ( h t t p s : / / w w w . w i n i t o r . c o m / )   或 P P E E   ( h t t p s : / / w w w . m z r s t . c o m / ) 。 加 载 二 进 制 文 件 时 ， 会 自 动 从   V i r u s T o t a l   数 据 库 中 查 询 二 进 制 文 件 的 哈 希 值 并 显 示 结 果 ， 如 下 图 所 示 ： 下 载 之 后 ， 记 得 验 证 一 下 哈 希
A V 扫 描 资 源 推 荐 扫 描 资 源 推 荐 【 请 注 意 】 如 果 反 病 毒 扫 描 引 擎 未 检 测 到 可 疑 二 进 制 文 件 ， 并 不 一 定 意 味 着 可 疑 二 进 制 文 件 是 安 全 的 。 这 些 防 病 毒 引 擎 依 靠 签 名 和 启 发 式 方 法 来 检 测 恶 意 文 件 。 恶 意 软 件 作 者 可 以 轻 松 修 改 他 们 的 代 码 并 使 用 混 淆 技 术 来 绕 过 这 些 检 测 ， 这 就 是 为 什 么 需 要 依 靠 S O C ， 或 者 E D R 等 更 多 数 据 关 联 性 上 的 平 台 和 多 维 度 的 应 急 响 应 平 台 的 机 制 。 使 用 哈 希 值 查 询 的 理 由 ： 防 止 机 密 性 的 文 件 上 传 到 公 共 平 台 中 ， 尤 其 您 是 红 队 成 员 的 话 。 V i r u s T o t a l （ h t t p : / / w w w . v i r u s t o t a l . c o m ） 哈 勃   h a b o . q q . c o m 魔 盾   h t t p s : / / m a l d u n . c o m / 在 线 扫 描 仪 ， 例 如 V i r S C A N （ h t t p : / / w w w . v i r s c a n . o r g / ) J o t t i 恶 意 软 件 扫 描 （ h t t p s : / / v i r u s s c a n . j o t t i . o r g / ） O P S W A T 的 M e t a d e f e n d e r （ h t t p s : / / w w w . m e t a d e f e n d e r . c o m / # ! / s c a n - f i l e ） 在 线 沙 箱   h t t p s : / / a p p . a n y . r u n / 奇 安 信 沙 箱   h t t p s : / / s a n d b o x . t i . q i a n x i n . c o m / s a n d b o x / p a g e 指 纹 识 别 之 提 取 字 符 串 指 纹 识 别 之 提 取 字 符 串 攻 防 意 识 ： 字 符 串 是 嵌 入 文 件 中 的   A S C I I   和   U n i c o d e   可 打 印 字 符 。 恶 意 软 件 的 编 写 会 引 入 很 多 功 能 性 上 面 的 需 求 ， 比 如 文 件 行 为 ， 网 络 行 为 ， 进 程 行 为 ， 注 册 表 行 为 等 。 这 些 行 为 中 会 引 入 字 符 串 。 您 编 写 一 个 回 连 的 I P 地 址 ， 域 名 ， 注 册 表 项 等 难 道 不 需 要 使 用 字 符 串 吗 ？ 字 符 串 的 提 取 就 是 旨 在 发 现 这 些 地 方 。 您 只 有 掌 握 了 这 里 的 意 识 之 后 ， 才 会 明 白 ， 好 的 字 符 串 与 坏 的 字 符 串 等 开 源 的 资 源 （ 比 如 y a r a 排 除 所 有 好 的 字 符 串 资 源 ） 如 何 使 用 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理