常用恶意软件分析方法及工具大合集

在静态分析中，涉及以下几个方面的工作：

1.反汇编——程序可以移植到新的计算机平台上，通过在不同环境中编译源代码来实现。

2.文件指纹——用于识别和跟踪网络上的数据。

3.病毒扫描——删除恶意软件、病毒、间谍软件及其他威胁。

4.分析内存工件——在分析内存工件（比如RAM转储、pagefile.sys或hiberfile.sys）期间，检查方可以开始识别流氓进程。

5.打包器检测——用于检测打包器、密码器、编译器、打包器加扰器、连接器和安装器。

静态分析工具包括：

在动态分析中，需要注意以下几个问题：

•检查单个路径（执行跟踪）

•分析环境可能并非隐形的

•分析环境可能并非全面的

动态分析工具包括：

•Procmon——这款先进的监控工具可显示文件系统、注册表和进程/线程的实时活动。

•Process Explorer——这是一款面向Windows操作系统的系统资源监控工具。

•Anubis——该动态恶意软件分析平台可在受控环境下执行提交的二进制代码。

•Comodo Instant Malware Analysis——比较容易使用和理解的在线沙盒服务。

•Process MonitorRegshot——这款流行的注册表监控工具可显示文件系统、注册表和进程/线程的实时活动。

•ApateDNS——该工具通过易于使用的GUI来控制DNS响应。

•OllyDbg——一款侧重二进制代码分析的x86调试器。

•Regshot——这款开源注册表比较工具可迅速获取注册表的快照，并进行比对。

•Netcat——该计算机网络实用工具使用TCP或UDP协议在网络中读取数据。

•Wireshark——该免费开源数据包分析器可用于网络故障排查、分析、软件和通信协议开发等。

在内存分析中，涉及以下几个方面的工作：

•映像全部的系统内存（不依赖API调用）。

•将进程的整个地址空间映像到磁盘，包括进程的已加载DLL、EXE、堆和堆栈。

•将内存中加载的指定驱动程序或所有驱动程序映像到磁盘。

•加密进程地址空间中的EXE和DLL（MD5、SHA1、SHA256）。

•验证EXE和DLL的数字签名（基于磁盘）。

•针对某个进程，输出内存中的所有字符串。

内存取证分析工具包括：

•WinDbg——Windows系统的内核调试器。

•Muninn ——使用Volatility自动执行部分分析的脚本。

•DAMM ——基于Volatility，针对内存中恶意软件的差异分析。

•FindAES ——查找内存中的AES加密密钥。

•Volatility ——先进的内存取证框架。

恶意软件检测是指扫描计算机和文件以检测恶意软件的过程。它不是单向过程，实际上相当复杂。它结合多款工具和方法进行检测，检测和清除过程通常在50秒钟内完成，在恶意软件检测方面卓有成效。

以下是常见的几种检测方式：

• 基于特征或模式的匹配：特征是识别特定病毒唯一身份的算法或散列（从文本字符串获取的数字）。

• 启发式分析或主动防御：启发式扫描类似特征扫描，只不过启发式扫描并非寻找特定的特征，而是在程序中寻找典型应用程序中没有的某些指令或命令。

• 基于规则：启发式引擎中进行分析的组件（分析器）从文件中提取某些规则，并将这些规则与恶意代码的一组规则进行比较。

• 行为分析：相比之下，可疑行为分析方法不是试图识别已知病毒，而是监测所有程序的行为。

• 基于权重：根据危险程度，对所检测的每个功能赋予某个权重。

• 沙盒：允许文件在受控的虚拟系统（即沙盒）中运行，查看其行为。

恶意软件检测工具包括：

•YARA——分析员的模式匹配工具。

•Yara规则生成器——根据一组恶意软件样本生成YARA规则。

•File Scanning Framework——模块化递归式文件扫描解决方案。

•hash deep——使用多种算法计算摘要散列。

•Loki——基于主机的扫描器，扫描攻陷指标（IOC）。

•Malfunction——在函数层面对恶意软件进行登记和比较。

•MASTIFF——静态分析框架。

网络交互分析工具包括：

•Tcpdump——收集网络流量。

•tcpick——从网络流量中跟踪和重组TCP数据流。

•tcpxtract——从网络流量中提取文件。

•Wireshark——网络流量分析工具。

•CapTipper——恶意HTTP流量管理器。

•Chopshop——协议分析和解码框架。

•CloudShark——基于Web的工具，用于分析数据包和检测恶意软件流量。

调试工具包括：

•obj dump——GNU Binutils 的一部分，用于Linux二进制代码的静态分析。

•OllyDbg——Windows可执行文件的汇编级调试器。

•FPort——报告实时系统中敞开的TCP/IP和UDP端口，并将它们映射到对应的应用程序。

•GDB——GNU调试器。

•IDA Pro——Windows反汇编器和调试器，有免费评估版。

•Immunity Debugger——用于分析恶意软件的调试器，附有Python API。

如今，网站暴露在各种威胁面前，受感染的网站将被用作跳板，帮助攻击者达到邪恶目的。比如，URL重定向机制已被广泛用于隐蔽地执行基于Web的攻击。重定向是指自动替换访问目的地，一般由Web上的HTTP协议加以控制。除了这种传统方法外，还经常使用自动访问外部Web内容（比如iframe标签）的其他方法。恶意URL分析是通过机器学习等方式，分析URL文本分词词频来检测恶意URL。

恶意URL分析工具包括：

•Firebug——用于Web开发的Firefox扩展件。

•Java Decompiler——反编译和检查Java应用程序。

•jsunpack-n——模拟浏览器功能的javascript解包器。

•Krakatau——Java 反编译器、汇编器和反汇编器。

•Malzilla——分析恶意网页。

沙盒分析工具包括：

•firmware.re——可以拆解、扫描和分析几乎任何固件包。

•Hybrid Analysis——基于VxSandbox的在线恶意软件分析工具。

•IRMA——用于分析可疑文件的异步可定制分析平台。

•Cuckoo Sandbox——开源自托管的沙盒和自动分析系统。

•cuckoo-modified——使用GPL许可证的Cuckoo Sandbox的修改版。

•PDF Examiner——分析可疑的PDF文件。

•ProcDot——图形化恶意软件分析工具包。

•Recomposer——将二进制代码安全地上传到沙盒的帮助脚本。

•Sand droid——自动完整的安卓应用程序分析系统。

网域分析工具包括：

•SpamCop——基于IP的垃圾邮件阻止列表。

•SpamHaus——基于网域和IP的阻止列表。

•Sucuri SiteCheck——免费的网站恶意软件和安全扫描器。

•TekDefense Automatic——用于收集有关URL、IP或散列的OSINT工具。

•URLQuery——免费的URL扫描器。

•IPinfo——通过搜索在线资源，收集有关IP或网域的信息。

•Whois——免费在线whois搜索。

•Mail checker——跨语言的临时电子邮件检测库。