逆向工程在分析恶意代码通信地址中的应用.PDFVIP

2011东南大学校庆研究生学术报告会

逆向工程在分析恶意代码通信地址中的应用

吕少阳

（东南大学计算机科学与工程学院，南京，210000）

摘要：为了分析僵尸网络控制器的地址，本文提出了利用逆向工程分析恶意代码通信地址的方法。本文针对现有利用

沙盒分析恶意代码通信地址的方法存在的不足提出了逆向工程分析。首先介绍了利用逆向工程分析恶意代码通信地址的

优势及原理和所使用工具。随后提出了逆向工程分析恶意代码通信地址的两种方法，介绍了两种方法的特点、适用情况

以及技术难点和实现方法。最终利用两种方法分别对恶意代码样本进行了实验分析，结果表明两种方法都成功分析出了

恶意代码样本通信地址。

关键词：逆向工程；恶意代码；僵尸网络；静态分析；动态分析

AnalysisofCommunicationAddressofMaliciousSoftware

UsingResverseEngineering

LvShaoyang

(SchoolofComputerScienceandEngineering,SoutheastUniversity,Nanjing,210000)

Abstract:Togettheaddressesofbotnetcontrollers,themethodofanalysisofcommunicationaddressofmalicioussoftwareusing

reverseengineeringisgiveninthispaper.FormakinguptheinsufficiencyofusingSandboxtoanalysethecommunicationaddress

ofmalware,thispapersuggestusingreverseengineeringtodothat.First,theadvantageandthetheoryofusingreverseengineering

toAnalysethecommunicationaddressofmalwareandthethetoolsofdoingthatareintroduced.Second,twomethodofanalysisof

communicationaddressofmalicioussoftwareusingreverseengineeringaregiven.Thefeatureandtheapplicablecaseandthe

difficultyoftwomethodarealsogiven.Basedonthetwomethod,amalwaresampleisanalysedexperimentally.Experimental

resultsmanifestthatthetwomethodsareuseful.

Keywords:ReverseEngineering;Malware;Botnet;StaticAnalysis;DynamicAnalysis

CNCERT／CC对僵尸网络的定义是僵尸网对其进行沙盒（sandbox）分析。主要过程是将

络是攻击者利用互联网秘密建立的可以集中控制需要分析的恶意代码程序放入沙盒环境运行，监

的计算机群．其组成通常包括被植入僵尸程序的视并记录其在沙盒环境中的行为，从而得到恶意

计算机群、一个或多个控制器及控制者的控制终代码试图连接的通信地址。该方法实现原理较简

端等。恶意代码一方面通过各种途径感染网络上单，但是由于