恶意代码分析技术

Posted 2020-08-20 linuxsec

1、恶意代码分析技术

   恶意代码分析有两类方法：静态分析和动态分析。静态分析方法是在没有运行恶意代码时对其进行分析的技术，而动态分析方法则需要运行恶意代码，而这两类技术又进一步分析基础技术和高级技术。

1）、静态分析技术基础技术

   静态分析基础技术包括检查可执行文件但不查看具体指令的一些技术。静态分析基础技术可以确认一个文件是否是恶意的，提供有关其功能的信息，有时还会提供一些信息让你能够生成简单的网络特征码。

2）、动态分析基础技术

   动态分析基础技术涉及运行恶意代码并观察系统的行为，以移除感染，产生有效的检测特征码，或者两者。然而，在你可以安全运行恶意代码之前，你必须建立一个安全的环境，能够让你在避免对你的系统与网络带来的风险的前提下，研究运行的恶意代码。

3）、静态分析高级技术

   静态分析高级技术，主要对恶意代码内部机制的逆向工程，通过将可执行文件装载到反汇编器中，查看程序指令，来发现恶意代码到底做什么。这些指令时被CPU执行的，所以静态分析高级技术能够告诉你程序具体做了哪些事情。需要掌握汇编语言、代码结构、windows操作系统概念等专业知识。

4）动态分析高级技术

   动态分析高级技术则是用调试器来检查一个恶意可执行程序运行时刻的内部状态。动态分析高级技术提供了从可执行文件中抽取详细信息的另一个路径。

2、恶意代码的类型

   后门：恶意代码将自身安装到一台计算机来允许攻击者访问。后门程序通常让攻击者只需很少的认证甚至无须认证，便可连接到远程计算机上，并可以在本地系统执行命令。

   僵尸网络：与后门类似，也允许攻击者访问系统。但是所有被同一个僵尸网络感染的计算机将会从一台控制命令服务器接收到相同的命令。

   下载器：这是一类只是用来下载其他恶意代码的恶意代码。下载器通常是在攻击者获得系统的访问时首先进行安装的。下载器程序会下载和安装其他的恶意代码。

   间谍软件：这是一类从受害者计算机上收集信息并发送给攻击者的恶意代码。比如嗅探器、密码哈希采集器、键盘记录器等。这类恶意代码通常用来获取E-mail、在线网银等账号的访问信息。

   启动器：用来启动其他恶意程序的恶意代码。

   内核套件：设计用来隐藏其他恶意代码的恶意代码。内核套件通常是与其他恶意代码（如后门）组合工具套装，来允许为攻击者提供远程访问，并且使代码很难被受害者发现。

   勒索软件：设计成吓唬受感染的用户，来勒索他们购买某些东西的恶意代码。

   发送垃圾邮件的恶意代码：这类恶意代码在感染用户计算机之后，便会使用系统与网络资源来发送大量的垃圾邮件。

   蠕虫或计算机病毒：可以自我复制和感染其他计算机的恶意代码。

总结：恶意代码分析通用规则。首先，不要过于陷入细节。其次，可以使用不同的工具和方法。