2-恶意代码分析.pptx

恶意代码分析目录样本类型脚本类分析可执行文件类分析自动化分析技术总结不同的样本类型FilesPDFOLEJSSWFVBSELFPE举例 (Javascript+PE)[root]/ ----compromised site! [flash]/images/shouyetupian-1.swf [flash]/images/shouyetupian.swf [flash]/images/fudongtupian.swf [flash]/images/shouyewenzi.swf [script]http://fbo.UglyA/b.js?google=3x132[script]http://ico.ns02.us/22/boay.htm [exp]http://ico.ns02.us/22/6.htm-------Exploit [script]http://ico.ns02.us/22/ie.jpg [script]http://ico.ns02.us/22/iee.jpg[virus]http://ico.ns02.us/o/xc.exe------- virus to download! [iframe]http://ico.ns02.us/22/medi.htm-------Exploit [flash]http://ico.ns02.us/22/toto.mid -------Exploit [iframe]http://ico.ns02.us/22/7.htm -------Exploit [script]http://ico.ns02.us/22/ie.jpg [script]http://ico.ns02.us/22/iee.jpg [script]http://ico.ns02.us/22/ieee.jpg脚本类样本脚本类样本脚本类样本脚本类样本脚本类样本脚本类样本脚本类样本脚本类样本脚本类样本脚本类样本可执行文件http://ico.ns02.us/o/xc.exe3.1 静态分析3.2 动态分析可执行文件 – 静态分析IDA:可执行文件 – 静态分析IDA:可执行文件 – 静态分析HIEW:可执行文件 – 动态分析虚拟机里面执行样本：HIPS --Process, Files,Registry…Wireshark --Network Traffic FileMon --Files Manipulate….可执行文件 – 动态分析Wireshark显示，此样本从网上下载新文件到本地；HIPS 显示， 此样本会释放一个新的文件并且执行它；可执行文件 – 动态分析下载了一个EXE可执行文件可执行文件 – 动态分析从报文里提取文件!可执行文件 – 动态分析Wireshark 显示，样本下载了5个可执行文件，和一个配置文件!可执行文件 – 动态分析注册为自启动启动其他程序更改IE主页可执行文件 – 动态分析关闭进程安装驱动修改文件自动化样本分析Strings similarity － 字符串相似度PE structure similarity － ＰＥ结构相似度Static Generic detection － 静态启发检测Dynamic generic detection － 动态启发检测Network traffic detection － 网络特征检测自动化分析　－　字符串相似度文件A和B含有的字符串有90%是一样的，如果A是恶意的，那么B很有可能是恶意的。自动分析 – PE结构相似度是否加壳?是否有冗余数据?段的大小?段的数量?…自动分析 – 静态启发自动分析 – 动态启发API函数序列行为序列内存操作序列自动分析 - 网络特征两个文件如果网络流量特征相似，那么这两个文件应该属于同一家族！结合了DPI技术和反病毒技术总结不同文件类型PE/JS/PDF/DOC…静态分析动态分析自动化分析字符串相似度PE结构相似度启发式检测网络流量 谢谢! Questions?