研究程序步骤与方法的OverviewAPT恶意程式分析所需逆向.PDF

2.1研究程序步驟與方法的 Overview (1)研究 APT惡意程式分析所需逆向工程相關技術， (2)蒐集研究 APT惡意程式行為分析所需的相關軟體技術和軟體工具 ， (3) 分析APT惡意程式的感染方法 /感染途徑及控管方法 ， (4)蒐集 APT惡意程式分析所得的有用資訊 ， (5) 建立 IRC 系統的模擬環境， (6) 針對 IRC 系統進行反覘工作之可行性評估， (7)撰寫研究報告 。 2.2 執行成果總覽 2.2.1 APT惡意程式病毒收集 本計畫分析的對象是真實的APT惡意程式執行檔 ，因此首先需收集真實的APT惡意程式執行檔 。 目前已收集十支真實的 APT惡意程式執行檔 ，其中五支是由國家資通安全會報技術服務中心提 供， 兩支是由國家高速網路中心提供，三支是由研究團隊自行蒐集。更詳細的資料請看第三章。 2.2.2 相關軟體技術和軟體工具收集 經過多次反覆的實作比較後，我們選定的反組譯 分析工具主要是 ollyICE (ollyDBG 進階版)和 IDApro 。它們是反編譯軟體，可將.exe 與 .dll 等執行檔案轉成機械碼與組合語言，以供專業 人員分析之用。更詳細的資料請看第 2.3節。 除了反組譯 工具外，我們還使用了下列軟體工具: *查殼工具 -- peid ， *除殼程式，例如 RL!dePacker ， *程式執行監測軟體 -- process monitor ， * 抓packets 工具 -- wireshark 。 更詳細的資料請看第 2.3節。 此外，在分析病毒/惡意程式時，常用的工具 : * autoruns -- 快速知道有否修改登錄檔， * procexp –檢查程式執行狀況啟動何程序( ) ， * icesword 。 2.2.3實際病毒程式執行檔的反組譯分析 我們使用反組譯技術詳細分析了下列三支實際病毒程式執行檔: * ljubavit.exe --詳細資料請看第四章 ， * sy.exe --詳細資料請看第五章 ，and * ss-2.exe --詳細資料請看第六章 。 1 2.2.4 建立 IRCAPT 機制的模擬環境 在現有的 IRC 系統中，建立一個可控制APT中的肉雞的機制 /環境，模擬駭客如何透過 IRC 系 統來控制肉雞，以執行對目標的攻擊。詳細資料請看第七章 。 2.3 相關軟體工具 2.3.1 ollyICE 特性: 功能多樣化的反組譯軟體工具. 反組譯程式碼區 :可將執行檔 (.exe)或動態函數庫 (.dll)反組譯為組合語言的形式 , 暫存器區 :可以隨時監看各個暫存器中的值與旗標 (flag)的改變 , 2 記憶體區域 :查看記憶體中所儲存的 16進位資料與Unicode 、ASCII code, 堆疊區:監控堆疊區域的使用與呼叫 , 3 設定斷點 : 功能強制程式停止以方便追蹤後續動作: , 查看程式使用的 API: 追蹤所使用的 API 與其隸屬於何種動態函數庫, 4 程式所使用的所有動態函數庫 : 功能:追蹤哪個時候會被使用到, 2.3.2 IDApro 5 特性: 功能多樣化的反組譯與流程圖解析軟體工具. 流程圖解析:觀察程式的運作流程 , 反組譯視窗 :反組譯為組合語言以便深入了解程式 , 中央大學前瞻實驗室100 年度計畫──大同大學APT 程式碼反組譯研究 pp. 13/153 2/24/2014 6 記憶體區域 :觀察記憶體區域值的變動 , 查看程式所使用的 API: 了解程式實際對系統的作用,