搜索

[13817] 2019-03-02_Pftriage：如何在恶意软件传播过程中对恶意文件进行分析

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-18
2019-03-02_Pftriage：如何在恶意软件传播过程中对恶意文件进行分析 P f t r i a g e ： 如 何 在 恶 意 软 件 传 播 过 程 中 对 恶 意 文 件 进 行 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 3 - 0 2 今 天 给 大 家 介 绍 的 是 一 款 可 以 在 恶 意 软 件 传 播 过 程 中 帮 助 研 究 人 员 分 析 和 追 踪 恶 意 文 件 的 强 大 工 具 。 今 天 给 大 家 介 绍 的 是 一 款 可 以 在 恶 意 软 件 传 播 过 程 中 帮 助 研 究 人 员 分 析 和 追 踪 恶 意 文 件 的 强 大 工 具 。 p f t r i a g e p f t r i a g e 这 款 P y t h o n 工 具 可 以 帮 助 研 究 人 员 在 恶 意 软 件 的 分 发 过 程 中 对 恶 意 文 件 进 行 追 踪 和 分 析 ， 并 快 速 查 看 文 件 属 性 和 内 容 ， 以 帮 助 我 们 更 好 地 了 解 恶 意 软 件 的 运 行 分 发 机 制 。 除 此 之 外 ， 该 工 具 还 可 以 分 析 恶 意 软 件 的 功 能 ， 并 从 中 提 取 出 常 见 的 恶 意 标 识 符 。 依 赖 组 件 依 赖 组 件 1 、   p e f i l e 2 、   f i l e m a g i c 注 ： m a c O S 用 户 可 以 使 用 下 列 命 令 安 装 l i b m a g i c ： 工 具 使 用 工 具 使 用 详 细 信 息 详 细 信 息 显 示 详 细 信 息 ， 可 以 使 用 - s 或 - - s e c t i o n s ， 或 者 使 用 - v 来 查 看 更 加 详 细 的 分 析 数 据 。 $ b r e w   i n s t a l l   l i b m a g i c u s a g e : p f t r i a g e   [ o p t i o n s ] S h o w i n f o r m a t i o n   a b o u t   a   f i l e   f o r   t r i a g e . p o s i t i o n a l a r g u m e n t s :     f i l e                                     T h e   f i l e   t o   t r i a g e . o p t i o n a l a r g u m e n t s :     - h ,   - - h e l p                         s h o w   t h i s   h e l p   m e s s a g e   a n d   e x i t     - i ,   - - i m p o r t s                   D i s p l a y   i m p o r t   t r e e     - s ,   - - s e c t i o n s                 D i s p l a y   o v e r v i e w   o f   s e c t i o n s .   F o r   m o r e d e t a i l e d   i n f o                                                 p a s s   t h e   - v   s w i t c h     - - r e m o v e o v e r l a y               R e m o v e   o v e r l a y   d a t a .     - - e x t r a c t o v e r l a y             E x t r a c t   o v e r l a y   d a t a .     - r ,   - - r e s o u r c e s               D i s p l a y   r e s o u r c e   i n f o r m a t i o n     - R ,   - - r i c h                         D i s p l a y   R i c h   H e a d e r   i n f o r m a t i o n     - D   D U M P _ O F F S E T ,   - - d u m p   D U M P _ O F F S E T                                                 D u m p   d a t a   u s i n g   t h e p a s s e d   o f f s e t   o r   ' A L L ' .   C u r r e n t l y                                                 o n l y   w o r k s   w i t h r e s o u r c e s .     - e ,   - - e x p o r t s                   D i s p l a y   e x p o r t s     - a ,   - - a n a l y z e                   A n a l y z e   t h e   f i l e .     - v ,   - - v e r b o s e                   D i s p l a y   v e r s i o n .     - V ,   - - v e r s i o n                   P r i n t   v e r s i o n   a n d   e x i t . - - - - S e c t i o n   O v e r v i e w   ( u s e   - v   f o r   d e t a i l e d   s e c t i o n   i n f o )     - - - -     N a m e               R a w   S i z e         R a w   D a t a   P o i n t e r     V i r t u a l   A d d r e s s           V i r t u a l   S i z e                 E n t r o p y                           H a s h   . t e x t             0 x 0 0 0 1 2 2 0 0     0 x 0 0 0 0 0 4 0 0                 0 x 0 0 0 0 1 0 0 0                     0 x 0 0 0 1 2 1 d 8                     6 . 7 1 1 6 8 5 5 5 1 7 7               f f 3 8 f c e 4 f 4 8 7 7 2 f 8 2 f c 7 7 b 4 e f 2 2 3 f d 7 4   . r d a t a           0 x 0 0 0 0 5 a 0 0     0 x 0 0 0 1 2 6 0 0                 0 x 0 0 0 1 4 0 0 0                     0 x 0 0 0 0 5 9 1 a                     4 . 8 1 7 1 9 4 8 9 0 2 2               b 0 c 1 5 e e 9 b f 8 4 8 0 a 0 7 0 1 2 c 2 c f 2 7 7 c 3 0 8 3   . d a t a             0 x 0 0 0 0 1 a 0 0     0 x 0 0 0 1 8 0 0 0                 0 x 0 0 0 1 a 0 0 0                     0 x 0 0 0 0 a b 8 0                     5 . 2 8 8 3 8 4 9 5 0 7 2               5 d 9 6 9 a 8 7 8 a 5 1 0 6 b a 5 2 6 a a 2 9 9 6 7 e f 8 7 7 f   . r s r c             0 x 0 0 0 0 2 2 0 0     0 x 0 0 0 1 9 a 0 0                 0 x 0 0 0 2 5 0 0 0                     0 x 0 0 0 0 2 1 4 4                     7 . 9 1 9 9 4 6 8 9 6 0 3               d 3 6 1 c a f f e a d b 9 3 4 c 9 f 6 b 1 3 b 2 4 7 4 c 6 f 0 f   . o v e r l a y       0 x 0 0 0 0 9 b 3 0     0 x 0 0 0 1 b c 0 0                 0 x 0 0 0 0 0 0 0 0                     0 x 0 0 0 0 0 0 0 0                     0                                       N / A
资 源 资 源 显 示 资 源 数 据 ， 可 以 使 用 - r 或 - - r e s o u r c e s 参 数 。 注 ： 使 用 - D 参 数 可 以 提 取 出 特 定 偏 移 量 的 资 源 信 息 。 导 入 导 入 使 用 - i 或 - - i m p o r t s 参 数 可 以 显 示 导 入 的 数 据 或 模 块 ： 导 出 导 出 使 用 - e 或 - - e x p o r t s 参 数 可 以 显 示 导 出 数 据 ： R i c h   H e a d e r 详 细 数 据 详 细 数 据 使 用 - R 或 - - r i c h 参 数 可 以 显 示 R i c h H e a d e r 详 细 数 据 ： 元 数 据 元 数 据 如 果 命 令 行 没 有 传 递 任 何 配 置 选 项 参 数 的 话 ， 工 具 可 以 显 示 完 整 的 文 件 和 版 本 元 数 据 ： 恶 意 文 件 分 析 恶 意 文 件 分 析 P F T r i a g e 可 以 执 行 简 单 的 文 件 分 析 来 帮 助 研 究 人 员 识 别 恶 意 字 符 ： 项 目 地 址 项 目 地 址 P F T r i a g e ： h t t p s : / / g i t h u b . c o m / i d i o m / p f t r i a g e * 参 考 来 源 ： 参 考 来 源 ： k i t p l o i t ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M - - - - R e s o u r c e   O v e r v i e w   - - - -     T y p e :   C O D A T A     N a m e               L a n g u a g e                 S u b L a n g                           O f f s e t             S i z e                 C o d e   P a g e       T y p e     0 x 6 8               L A N G _ R U S S I A N         R U S S I A N                           0 x 0 0 0 2 5 0 e 0     0 x 0 0 0 0 0 c e e   0 x 0 0 0 0 0 4 e 4     0 x 6 9               L A N G _ R U S S I A N         R U S S I A N                           0 x 0 0 0 2 5 d d 0     0 x 0 0 0 0 1 1 e 6   0 x 0 0 0 0 0 4 e 4     T y p e :   R T _ M A N I F E S T     N a m e               L a n g u a g e                 S u b L a n g                           O f f s e t             S i z e                 C o d e   P a g e       T y p e     0 x 1                 L A N G _ E N G L I S H         E N G L I S H _ U S                     0 x 0 0 0 2 6 f b 8     0 x 0 0 0 0 0 1 8 b   0 x 0 0 0 0 0 4 e 4 [ * ] L o a d i n g   F i l e . . .   - - - -   I m p o r t s   - - - -   N u m b e r   o f   i m p o r t e d   m o d u l e s :   4     K E R N E L 3 2 . d l l     | - -   G e t P r o c e s s H e a p     | - -   H e a p F r e e     | - -   H e a p A l l o c     | - -   S e t L a s t E r r o r     | - -   G e t L a s t E r r o r     W S 2 _ 3 2 . d l l     | - -   g e t a d d r i n f o     | - -   f r e e a d d r i n f o     | - -   c l o s e s o c k e t   O r d i n a l [ 3 ]   ( I m p o r t e d   b y O r d i n a l )     | - -   W S A S t a r t u p   O r d i n a l [ 1 1 5 ]   ( I m p o r t e d   b y O r d i n a l )     | - -   s o c k e t   O r d i n a l [ 2 3 ]   ( I m p o r t e d   b y   O r d i n a l )     | - -   s e n d   O r d i n a l [ 1 9 ]   ( I m p o r t e d   b y   O r d i n a l )     | - -   r e c v   O r d i n a l [ 1 6 ]   ( I m p o r t e d   b y   O r d i n a l )     | - -   c o n n e c t   O r d i n a l [ 4 ]   ( I m p o r t e d   b y   O r d i n a l )     o l e 3 2 . d l l     | - -   C o C r e a t e I n s t a n c e     | - -   . . . [ * ] L o a d i n g   F i l e . . .     - - - -   E x p o r t s   - - - -   T o t a l   E x p o r t s :   5   A d d r e s s         O r d i n a l       N a m e   0 x 0 0 0 0 1 1 5 1   1                   F i n d R e s o u r c e s   0 x 0 0 0 0 1 1 0 3   2                   L o a d B I T M A P   0 x 0 0 0 0 1 1 3 7   3                   L o a d I C O N   0 x 0 0 0 0 1 0 e 9   4                   L o a d I M A G E   0 x 0 0 0 0 1 1 1 d   5                   L o a d S T R I N G W [ * ] L o a d i n g   F i l e . . . - - R i c h   H e a d e r   D e t a i l s   - -     C h e c k s u m :   0 x 2 b 4 1 e 6 a 9   I d   P r o d u c t                   C o u n t       B u i l d   I d   B u i l d   - -   - - - - - - -                   - - - - -       - - - - - - - -   - - - - -   1 5 0   A l i a s O b j 9 0 0           1             2 0 4 1 3           < U n k n o w n >   1 3 2   U t c 1 5 0 0 _ C P P           3 6           2 1 0 2 2           9 . 0   2 0 0 8   1 4 9   M a s m 9 0 0                   1 7           2 1 0 2 2           9 . 0   2 0 0 8   1 2 3   I m p l i b 8 0 0               3             5 0 7 2 7           1 1 . 0   2 0 1 2   1     I m p o r t 0                   1 0 2           0                 < U n k n o w n >   1 3 1   U t c 1 5 0 0 _ C               1 2 3         2 1 0 2 2           9 . 0   2 0 0 8   1 4 5   L i n k e r 9 0 0               1             2 1 0 2 2           9 . 0   2 0 0 8 [ * ] L o a d i n g   F i l e . . . [ * ] P r o c e s s i n g   F i l e   d e t a i l s . . .     - - - - F i l e   S u m m a r y   - - - -     G e n e r a l           F i l e n a m e                   s a m a p l e . e x e           M a g i c   T y p e               P E 3 2   e x e c u t a b l e   ( G U I )   I n t e l   8 0 3 8 6 ,   f o r M S   W i n d o w s           S i z e                           1 3 5 1 6 8           F i r s t   B y t e s             4 d   5 a   9 0   0 0   0 3   0 0   0 0   0 0   0 4   0 0   0 0   0 0   f f   f f 0 0   0 0     H a s h e s           M D 5                             8 e 8 a 8 f e 8 3 6 1 c 7 2 3 8 f 6 0 d 6 b b f d b d 3 0 4 a 8           S H A 1                         5 5 7 8 3 2 e f e 1 0 d a f f 3 f 5 2 8 a 3 c 3 5 8 9 e b 5 a 6 d f d 1 2 4 4 7           S H A 2 5 6                     1 1 8 9 8 3 b a 4 e 1 c 1 2 a 3 6 6 d 7 d 6 e 9 4 6 1 c 6 8 b f 2 2 2 e 2 b 0 3 f 3 c 1 2 9 6 0 9 1 d e e 9 2 a c 0 c c 9 d d 8           I m p o r t   H a s h             0 2 3 9 f d 6 1 1 a f 3 d 0 e 9 b 0 c 4 6 c 5 8 3 7 c 8 0 e 0 9           s s d e e p                           H e a d e r s           S u b s y s t e m                 I M A G E _ S U B S Y S T E M _ W I N D O W S _ G U I           L i n k e r   V e r s i o n       1 2 . 0   -   ( V i s u a l   S t u d i o   2 0 1 3 )           I m a g e   B a s e               0 x 4 0 0 0 0 0           C o m p i l e   T i m e           T h u   J u n   2 3   1 6 : 0 4 : 2 1   2 0 1 6   U T C           C h e c k s u m                   0           F i l e n a m e                   s a m p l e . e x e           E P   B y t e s                   5 5   8 b   e c   5 1   8 3   6 5   f c   0 0   8 d   4 5   f c   5 6   5 7 5 0   e 8   6 4           S i g n a t u r e                 0 x 4 5 5 0           F i r s t   B y t e s             4 d   5 a   9 0   0 0   0 3   0 0   0 0   0 0   0 4   0 0   0 0   0 0   f f   f f 0 0   0 0           S e c t i o n s                   4           E n t r y   P o i n t             0 x 1 3 9 d e           P a c k e d                       F a l s e           S i z e                           1 3 5 1 6 8           C h a r a c t e r i s t i c s                                             I M A G E _ F I L E _ 3 2 B I T _ M A C H I N E                                           I M A G E _ F I L E _ E X E C U T A B L E _ I M A G E                                             I M A G E _ F I L E _ R E L O C S _ S T R I P P E D [ * ] L o a d i n g   F i l e . . . [ * ] A n a l y z i n g   F i l e . . . [ * ] A n a l y s i s   C o m p l e t e . . .       [ ! ]   C h e c k s u m                 I n v a l i d   C h e c k S u m     [ ! ]   A n t i D e b u g               A n t i D e b u g   F u n c t i o n   i m p o r t   [ G e t T i c k C o u n t ]     [ ! ]   A n t i D e b u g               A n t i D e b u g   F u n c t i o n   i m p o r t [ Q u e r y P e r f o r m a n c e C o u n t e r ]     [ ! ]   I m p o r t s                   S u s p i c i o u s   A P I   C a l l   [ T e r m i n a t e P r o c e s s ]     [ ! ]   A n t i D e b u g               A n t i D e b u g   F u n c t i o n   i m p o r t [ S e t U n h a n d l e d E x c e p t i o n F i l t e r ]     [ ! ]   A n t i D e b u g               A n t i D e b u g   F u n c t i o n   i m p o r t [ I s D e b u g g e r P r e s e n t ]

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理