2-恶意代码分析研讨.pptx

恶意代码分析 目录 样本类型 脚本类分析 可执行文件类分析 自动化分析技术 总结 PDF OLE ELF JS VBS SWF PE Files 不同的样本类型 举例 (Javascript+PE) [root]/ ----compromised site! [flash]/images/shouyetupian-1.swf [flash]/images/shouyetupian.swf [flash]/images/fudongtupian.swf [flash]/images/shouyewenzi.swf [script]http://fbo.UglyA/b.js?google=3x132 [script]http://ico.ns02.us/22/boay.htm [exp]http://ico.ns02.us/22/6.htm -------Exploit [script]http://ico.ns02.us/22/ie.jpg [script]http://ico.ns02.us/22/iee.jpg [virus]http://ico.ns02.us/o/xc.exe ------- virus to download! [iframe]http://ico.ns02.us/22/medi.htm -------Exploit [flash]http://ico.ns02.us/22/toto.mid -------Exploit [iframe]http://ico.ns02.us/22/7.htm -------Exploit [script]http://ico.ns02.us/22/ie.jpg [script]http://ico.ns02.us/22/iee.jpg [script]http://ico.ns02.us/22/ieee.jpg 脚本类样本 脚本类样本 脚本类样本 脚本类样本 脚本类样本 脚本类样本 脚本类样本 脚本类样本 脚本类样本 脚本类样本 可执行文件 http://ico.ns02.us/o/xc.exe 3.1 静态分析 3.2 动态分析 IDA: 可执行文件 – 静态分析 IDA: 可执行文件 – 静态分析 HIEW: 可执行文件 – 静态分析 虚拟机里面执行样本： HIPS --Process, Files,Registry… Wireshark --Network Traffic FileMon --Files Manipulate …. 可执行文件 – 动态分析 Wireshark显示，此样本从网上下载新文件到本地； HIPS 显示， 此样本会释放一个新的文件并且执行它； 可执行文件 – 动态分析 下载了一个EXE可执行文件 可执行文件 – 动态分析 从报文里提取文件! 可执行文件 – 动态分析 Wireshark 显示，样本下载了5个可执行文件，和一个配置文件! 可执行文件 – 动态分析 注册为自启动 启动其他程序 更改IE主页 可执行文件 – 动态分析 关闭进程 安装驱动 修改文件 可执行文件 – 动态分析 自动化样本分析 Strings similarity － 字符串相似度 PE structure similarity － ＰＥ结构相似度 Static Generic detection － 静态启发检测 Dynamic generic detection － 动态启发检测 Network traffic detection － 网络特征检测 自动化分析　－　字符串相似度 文件A和B含有的字符串有90%是一样的，如果A是恶意的，那么B很有可能是恶意的。 自动分析 – PE结构相似度 是否加壳? 是否有冗余数据? 段的大小? 段的数量? … 自动分析 – 静态启发 自动分析 – 动态启发 API函数序列 行为序列 内存操作序列 自动分析 - 网络特征 两个文件如果网络流量特征相似，那么这两个文件应该属于同一家族！ 结合了DPI技术和反病毒技术 不同文件类型 PE/JS/PDF/DOC… 静态分析 动态分析 自动化分析 字符串相似度 PE结构相似度 启发式检测 网络流量 总结 谢谢! Questions?