惡意程序分析方法-精正檢測技術
惡意程序分析方法-精正檢測技術
惡意程序分析的主要目的是識別、分析和消除計算機系統(tǒng)中的惡意軟件，以保護用戶的數(shù)據(jù)和隱私。
一、惡意軟件的識別
1.特征碼識別：通過檢測惡意軟件的特征碼，如文件簽名、哈希值等，快速識別惡意軟件。
2.行為識別：通過觀察惡意軟件在系統(tǒng)中的行為，如自我復制、修改系統(tǒng)配置等，判斷惡意軟件的存在。
3.惡意文件類型識別：針對常見的惡意文件類型，如腳本文件、可執(zhí)行文件等，進行專門的識別。
二、惡意軟件的分析
1.靜態(tài)分析：通過對惡意軟件的代碼進行靜態(tài)分析，了解其功能、原理和潛在威脅。
2.動態(tài)分析：在虛擬環(huán)境中運行惡意軟件，觀察其行為，以更深入地了解其危害性。
3.代碼級分析：運用逆向工程技術，對惡意軟件的代碼進行深入分析，揭示其設計思路和實現(xiàn)細節(jié)。
三、惡意軟件的處理
1.清除惡意軟件：采用專業(yè)工具和技術，清除計算機系統(tǒng)中的惡意軟件。
2.數(shù)據(jù)恢復：對于被惡意軟件破壞的數(shù)據(jù)，進行修復和恢復。
3.系統(tǒng)修復：對惡意軟件造成的系統(tǒng)損壞進行修復，恢復系統(tǒng)正常運行。
四、惡意軟件的預防
1.安全意識教育：提高用戶對網(wǎng)絡安全的認識，增強防范意識。
2.安全軟件防護：安裝專業(yè)的安全軟件，如殺毒軟件、防火墻等，實時保護計算機系統(tǒng)。
3.系統(tǒng)更新與維護：定期更新操作系統(tǒng)和軟件，修復安全漏洞。
4.數(shù)據(jù)備份：定期備份重要數(shù)據(jù)，以防數(shù)據(jù)丟失或損壞。
實際例子：
簡單分析
高速分析技術結合日志分析技術，實現(xiàn)對數(shù)據(jù)特征碼的提取以及生成簡要報告。
詳細分析
結合靜態(tài)分析技術與動態(tài)分析技術，可實現(xiàn)對惡意代碼的深入剖析。通過提取特征碼、詳細分析報告，以及專殺工具的開發(fā)，最終獲取C2惡意代碼分析成果。
1、在線反病毒引擎
2、hash獲取 certutil -hashfile 01.惡意代碼基礎知識.exe MD5
或電腦自帶的CRC校驗和SHA算法，可以有效地保障數(shù)據(jù)傳輸和存儲的可靠性。
3、查找字符串 hive string ida 火絨劍
4、查殼 pied
該項并無外殼，若未能找到或顯示其他名稱，則可視為有外殼。
5、導入導出函數(shù)
獲取函數(shù)地址及加載動態(tài)鏈接庫，實現(xiàn)動態(tài)尋找winexec執(zhí)行途徑。創(chuàng)建、寫入及移動文件，實現(xiàn)自身隱蔽。開啟進程、創(chuàng)建遠程線程，實施遠程線程注入。搜尋資源、確認資源尺寸并加載資源，揭示程序資源段內隱藏信息。在釋放可執(zhí)行文件時完成整個過程。
執(zhí)行權限相關操作。疑為權限提升。
下載器和啟動器——并無實質惡意功能
6、獲取資源信息
在Windows操作系統(tǒng)中，可執(zhí)行程序主要由DOS頭部與PE頭部組成，這兩個部分共同構成了PE程序的基本結構。
確認為下載文件并執(zhí)行，進而識別出下載器。