malware-analysis-methodology

恶意软件分析方法论

红队价值：理解样本如何被分析 → 知道哪些特征会暴露 → 改进免杀和 OPSEC

⛔ 深入参考

• PE/ELF 静态分析详细命令与脚本 → references/static-analysis.md
• 动态分析与沙箱对抗 → references/dynamic-analysis.md

---

Phase 0: 样本处理与安全准备

⛔ NEVER 在非隔离环境执行样本！

# 计算哈希
sha256sum sample.bin
md5sum sample.bin

# 基础识别
file sample.bin
strings -n 6 sample.bin | head -50

# 检查是否加壳
upx -t sample.bin         # UPX
die sample.bin            # Detect It Easy

决策：

样本类型？
├─ PE (Windows) → Phase 1A
├─ ELF (Linux) → Phase 1B
├─ Mach-O (macOS) → Phase 1C
├─ Shellcode/内存 dump → Phase 2（直接动态分析）
└─ 脚本（PS1/VBS/JS/Python）→ 直接静态阅读代码

Phase 1A: PE 静态分析

# PE 头信息
python3 -c "
import pefile
pe = pefile.PE('sample.exe')
print(f'Compiled: {pe.FILE_HEADER.TimeDateStamp}')
print(f'Sections: {len(pe.sections)}')
for s in pe.sections:
    print(f'  {s.Name.decode().strip(chr(0)):8} Entropy:{s.get_entropy():.2f} VSize:{s.Misc_VirtualSize}')
print(f'Imports: {len(pe.DIRECTORY_ENTRY_IMPORT)}')
for entry in pe.DIRECTORY_ENTRY_IMPORT:
    print(f'  {entry.dll.decode()}')
"

关键 Import 特征映射：

Import API	功能推断
VirtualAlloc + WriteProcessMemory	进程注入
CreateRemoteThread	远程线程注入
WinHttpOpen / InternetOpenA	网络通信/C2
CryptEncrypt / BCryptEncrypt	加密（可能是勒索软件）
RegSetValueEx + RunKey	持久化
NtQueryInformationProcess	反调试
IsDebuggerPresent	反调试
GetTickCount / QueryPerformanceCounter	沙箱检测

Phase 1B: ELF 静态分析

readelf -h sample          # ELF 头
readelf -S sample          # 节表
readelf -d sample          # 动态链接
nm sample 2>/dev/null      # 符号表（未 strip 时）

# 高熵节 = 可能加密/压缩
python3 -c "
from elftools.elf.elffile import ELFFile
import math
from collections import Counter
with open('sample','rb') as f:
    elf = ELFFile(f)
    for s in elf.iter_sections():
        data = s.data()
        if len(data) > 100:
            entropy = -sum((c/len(data))*math.log2(c/len(data)) for c in Counter(data).values())
            if entropy > 7.0:
                print(f'[!] 高熵: {s.name} entropy={entropy:.2f}')
"

Phase 2: 动态分析决策

目标：观察样本运行时行为
├─ 有沙箱环境 → 直接投递（AnyRun/Cuckoo/CAPE）
├─ 本地 VM → strace/procmon + 网络抓包
└─ 仅有样本无法执行 → 纯静态（Ghidra/IDA）

Windows 动态分析：

1. Procmon 过滤进程名 → 文件/注册表/网络操作
2. Wireshark/fakenet → C2 通信
3. API Monitor → 关键 API 调用序列

Linux 动态分析：

strace -f -e trace=network,process,file -o trace.log ./sample
ltrace -f -o ltrace.log ./sample
# 另一终端监控
ss -tlnp    # 监听端口
ss -tnp     # 外连

Phase 3: IOC 提取清单

⛔ 必须提取以下所有类型 IOC：

• 文件哈希（MD5 + SHA256）
• 网络指标（IP/域名/URL/URI 路径）
• 文件系统指标（创建/修改的文件路径）
• 注册表指标（Windows）
• 进程指标（进程名、命令行、父子关系）
• 持久化机制（启动项/计划任务/服务/cron）
• MITRE ATT&CK TTP 映射

Phase 4: 红队反思（OPSEC 审查）

分析完成后，从红队视角反思：

该样本暴露了哪些特征？
├─ 静态特征 → 特定字符串/Import/节名/编译时间
├─ 行为特征 → 进程注入方式/持久化手法/C2 模式
├─ 网络特征 → User-Agent/URI 模式/心跳间隔
└─ 内存特征 → 未加密字符串/固定 XOR key/特征字节序列

→ 用于改进自身工具的免杀设计

工具速查

用途	工具
PE 分析	pefile, pestudio, CFF Explorer
ELF 分析	readelf, pyelftools, radare2
反编译	Ghidra, IDA Pro, Binary Ninja
字符串提取	FLOSS (FireEye), strings
沙箱	AnyRun, CAPE, Cuckoo
网络	Wireshark, FakeNet-NG
YARA	yara-python, yarGen