病毒检测技术的取证应用.pdf

病毒检测技术的取证应用-- 外延化的广谱检测引擎和技术体制 感谢安全焦点的兄弟们长久以来对Antiy Labs 的帮助和支持 作者：_江海客__ 日期： 纲要 技术对比 走向取证的自发性发展 样本的分析体制与新探索 技术现状 一、技术对比 概念对比 反 毒技术，是以一 取证技术是一个非常 的内容和行为识别 广阔的领域，但究其 方法为基础，通过一 某些具体技术如入侵 组引擎的运行，验证 现场分析中寻找后门 被检测对象是否符合 和木马程序，遭遇数 某种指定内容或者行 据破坏后分析是否由 为描述，或其组合。 病毒造成等等。 从而判别被检测对象 是否为病毒的技术。 其技术目的是验证程 序的“有害性”。 从表观上看取证领域的部分技术与病 毒检测技术有类似之处。 技术相似 首先，相关的取证技术的部分环节与反病 产品的性质一样，需要在大量的数据中， 确 其中符合某种定义的信息的存在。 其次，从广义的理论领域来说，都可以视 为信息指纹技术的相关分支。 不同点 取证系统应最少的影响现场，不应影响文件的最 后访问时间，而这在反病毒系统中则不需要考 虑。反病毒软件不仅要检测病毒，也要能够清除 和遏制病毒，而取证系统则不需要清除处理。 取证产品的检测范围要比反病毒软件更广泛，反 病毒软件在报警上比较慎重，因 对类似商用 spyware、远程控制工具等等，都不 检测，而取 证产品则需要找到更多的信息。 同时，取证系统需要更深入的关联分析，取证技 术最终是要确 某个事件背后的逻辑关系，如确 一个程序是否为有害程序，对反病毒产品来 说，这本身既是一个目的，而在取证技术来说， 这只是一个手段。 取证需求分析 寻找指 格式文件 寻找指 功能文件 寻找指 内容文件 需求和对应技术 相关需求 对应技术 寻找指 格式文件 格式识别技术 寻找指 功能文件 特征码识别技术，高 速匹配扫描技术 寻找指 内容文件 格式还原技术，内容 抽取技术、高速匹配 技术 反病毒引擎已经解决上面问题 图片引自Kaspersky Labs 引擎工 示例 二、取证应用的自发性发展 问题与挑战 检测范围的自然扩大 AV辩证法面临的挑战 检测实例 某反病毒产品检测mirc的分析 名称 mirc客户端 版本 5.90 编译器BC 说明: mIRC客户端有一整套具有网络功能的脚本语言， 广泛被蠕虫、黑客工具 者和供给者利用，经常 和隐藏程序端口的工具Hides/Reveals application windows一同出现。今年PSEXEC投送蠕虫族中半 数以上采用了这个组合。 主要检测机理 得到一个扫描文件对象后，首先通过一个 格式检测模块（smart ）判 文件类型，如 为PE文件，则文件类型返回“08”，将文件 交给PE预处理引擎，预处理引擎将对PE文 件进一步