恶意软件分析_andrototal-CSDN博客

阅览目录

回到顶部

0 初衷

GitHub这一份黑客技能列表很不错，包含了多个方向的安全。但目前我关注只有逆向工程与恶意代码，所以其他的被暂时略过。
虽然很感谢作者的辛勤付出，但并不打算复制粘贴全套转载。逐条整理是为了从大量资源里梳理出自己觉得实用性很高的东西。

《Awesome-Hacking》
https://github.com/Hack-with-Github/Awesome-Hacking

Awesome Hacking系列-恶意代码分析

恶意软件分析：包括恶意软件收集、开源威胁情报、检测、沙箱等
https://github.com/rshipp/awesome-malware-analysis

回到顶部

1 恶意软件分析

这是基于Awesome-Hacking列表工具中的一部分工具，需要注册用户或是不常用的工具不进行记录。

1.1 梳理恶意软件分析的工具集合

匿名软件
- Shadowsocks 这是我常用的
蜜罐
- 目前没有需要用到蜜罐的需求
恶意软件样本库
- Contagio - 近期的恶意软件样本和分析的收集(注意：需要FQ)
  http://contagiodump.blogspot.com/
- Exploit Database - Exploit 和 shellcode 样本
  Exploit Database - Exploits for Penetration Testers, Researchers, and Ethical Hackers
- MalwareDB - 恶意软件样本库
  http://malwaredb.malekal.com/
- Tracker h3x - 勒索者恶意软件下载地址和C&C域名的聚合
  Malware Corpus Tracker - Malware Families
- VX Vault - 恶意软件样本的C&C域名与IP
  VX Vault
开源威胁情报
- AlienVault Open Threat Exchange - 威胁情报的共享与合作
  AlienVault - Open Threat Exchange
- Combine - 一款可以从公开的信息源中得到威胁情报信息（MaxMind GeoIP ASN Database、MaxMind GeoIP Database、Farsight Security's DNSDB）
  https://github.com/mlsecproject/combine
- Fileintel - 文件情报，可以把病毒HASH保存在文本文件提交给Virustotal等网站进行查询，生成报表
  https://github.com/keithjjones/fileintel
- Hostintel - 主机情报，可以把IPH保存在文本文件提交给IP查询网址进行查询，生成列表（Country、Postal、City、State）
  https://github.com/keithjjones/hostintel
- ThreatCrowd - 带有图形可视化的威胁搜索引擎
  https://www.threatcrowd.org/
- Cybercrime tracker - 多个僵尸网络的活动跟踪
  CyberCrime
- Internet Storm Center (DShield) - 日志和可搜索的事件数据库，并且带有 Web API(非官方 Python 库).
  SANS Internet Storm Center
- malc0de - 搜索事件数据库
  http://malc0de.com/database/
- Malware Domain List - 搜索和分享恶意软件 URL
  Malware Domain List
- Ransomware overview - 勒索软件的概述列表
  https://docs.google.com/spreadsheets/d/1TWS238xacAto-fLKh1n5uTsdijWdCEsGIM0Y0Hvmc5g/pubhtml
- threatRECON - Threat Recon™是由Wapack Labs开发的免费网络威胁情报分析服务（搜索指标，每月最多一千次）
  Threat Recon — Wapack Labs
检测与分类
- AnalyzePE - Windows PE 文件的分析器
  https://github.com/hiddenillusion/AnalyzePE
- ClamAV - 开源反病毒引擎
  ClamAVNet
- Detect-It-Easy - 用于确定文件类型的程序
  https://github.com/horsicq/Detect-It-Easy
- PEV - 为正确分析可疑的二进制文件提供功能丰富工具的 PE 文件多平台分析工具集
  pev - the PE file analysis toolkit
- TrID - 文件识别
  Marco Pontello's Home - Software - TrID
- YARA - 分析师利用的模式识别工具
  YARA - The pattern matching swiss knife for malware researchers
- Yara rules generator - 基于恶意样本生成 yara 规则，也包含避免误报的字符串数据库
  https://github.com/Neo23x0/yarGen
在线扫描与沙盒
- APK Analyzer - APK 免费动态分析
  Automated Malware Analysis - Joe Sandbox Cloud Basic
- AndroTotal - 利用多个移动反病毒软件进行免费在线分析 App
  https://andrototal.org/scan/result/Ys5J9S-WSba36K5b4OosNQ
- AVCaesar - Malware.lu 在线扫描器和恶意软件集合
  Home - AVCaesar
- Cryptam - 分析可疑的 Office 文档
  Cyber Threat Intelligence and Detection - Maldocs and Threat Intelligence Tools
- cuckoo-modified - GPL 许可证的 Cuckoo 沙盒的修改版，由于法律原因作者没有将其分支合并
  https://github.com/brad-accuvant/cuckoo-modified
- cuckoo-modified-api - 用于控制 cuckoo-modified 沙盒的 Python API
  https://github.com/brad-accuvant/cuckoo-modified
- Document Analyzer - DOC 和 PDF 文件的免费动态分析
  Automated Malware Analysis - Joe Sandbox Cloud Basic
- DRAKVUF - 动态恶意软件分析系统
  https://github.com/tklengyel/drakvuf
- File Analyzer - 免费 PE 文件动态分析
  Automated Malware Analysis - Joe Sandbox Cloud Basic
- firmware.re - 解包、扫描、分析绝大多数固件包
  firmware · ǝɹ - Free Online Firmware Unpacker, Scanner, Analyser - Firmware Genomics/Genome Project - Firmware Vulnerability and Backdoor Discovery - Firmware Mounting, Modification, Loading and Emulation - Embedded and Internet-of-Things Security
- Hybrid Analysis - 由 VxSandbox 支持的在线恶意软件分析工具
  Free Automated Malware Analysis Service - powered by Falcon Sandbox
- Jotti - 免费在线多反病毒引擎扫描器
  Jotti's malware scan
- Limon - 分析 Linux 恶意软件的沙盒
  https://github.com/monnappa22/Limon
- Malheur - 恶意行为的自动化沙盒分析
  https://github.com/rieck/malheur
- Malwr - 免费的在线 Cuckoo 沙盒分析实例(但是会共享样本，分析的也只是静态)
  https://malwr.com/analysis/
- Metadefender.com - 扫描文件、哈希或恶意软件的 IP 地址
  MetaDefender Cloud | Advanced threat prevention and detection
- NetworkTotal - 一个分析 pcap 文件的服务，使用配置了 EmergingThreats Pro 的Suricata 快速检测病毒、蠕虫、木马和各种恶意软件
  https://www.networktotal.com/index.html
- Noriben - 使用 Sysinternals Procmon 收集恶意软件在沙盒环境下的进程信息
  https://github.com/Rurik/Noriben
- PDF Examiner - 收集可疑的 PDF 文件
  Cyber Threat Intelligence and Detection - Maldocs and Threat Intelligence Tools
- Sand droid - 自动化、完整的 Android 应用程序分析系统
  SandDroid
- VirusTotal - 免费的在线恶意软件样本和 URL 分析
  VirusTotal
网络ip、域名分析
- Dig - 免费的在线 dig 以及其他网络工具
  https://networking.ringofsaturn.com/Tools/dig.php
- dnstwist - 用于检测钓鱼网站和公司间谍活动的域名排名网站
  https://github.com/elceef/dnstwist
- IPinfo - 通过搜索在线资源收集关于 IP 或域名的信息
  https://github.com/hiddenillusion/IPinfo/blob/master/IPinfo.py
- MaltegoVT - 让 Maltego 使用 VirusTotal API，允许搜索域名、IP 地址、文件哈希、报告
  https://github.com/michael-yip/MaltegoVT
- SenderBase - 搜索 IP、域名或网络的所有者
  https://talosintelligence.com/reputation_center/lookup?search=chinahope.net#email-history
- TekDefense Automator - 收集关于 URL、IP 和哈希值的 OSINT 工具
  TekDefense - Automater
- Whois - DomainTools 家免费的 whois 搜索
  Whois Lookup, Domain Availability & IP Search - DomainTools
网页恶意软件分析
- Firebug - Firefox Web 开发扩展
  Firebug
- Java Decompiler - 反编译并检查 Java 的应用
  Java Decompiler
- jsunpack-n - 一个 javascript 解压软件，可以模拟浏览器功能
  https://github.com/urule99/jsunpack-n
- Krakatau - Java 的反编译器、汇编器与反汇编器
  https://github.com/Storyyeller/Krakatau
- Malzilla - 分析恶意 Web 页面
  Malzilla - malware hunting tool
- xxxswf - 分析 Flash 文件的 Python 脚本
  http://hooked-on-mnemonics.blogspot.jp/2011/12/xxxswfpy.html
文档和Shellcode
- AnalyzePDF - 分析 PDF 并尝试判断其是否是恶意文件的工具
  https://github.com/hiddenillusion/AnalyzePDF
- diStorm - 分析恶意 Shellcode 的反汇编器
  http://i53.hatenablog.jp/entry/2015/04/27/171932
  diStorm disassembler library
- JS Beautifier - JavaScript 脱壳和去混淆
  Online JavaScript beautifier
- JS Deobfuscator - 对那些使用 eval 或 document.write 的简单 Javascript 去混淆
  www.kahusecurity.com/2015/new-javascript-deobfuscator-tool/
- malpdfobj - 解构恶意 PDF 为 JSON 表示
  https://github.com/9b/malpdfobj
- OfficeMalScanner - 扫描 MS Office 文档中的恶意跟踪
  www.reconstructer.org
- olevba - 解析 OLE 和 OpenXML 文档，并提取有用信息的脚本
  http://www.decalage.info/python/olevba
- Origami PDF - 一个分析恶意 PDF 的工具
  https://code.google.com/archive/p/origami-pdf/
- PDF Tools - Didier Stevens 开发的许多关于分析 PDF 的工具
  PDF Tools | Didier Stevens
- PDF X-Ray Lite - PDF 分析工具，PDF X-RAY 的无后端版本
  https://github.com/9b/pdfxray_lite
- peepdf - 用来探索可能是恶意的 PDF 的 Python 工具
  http://eternal-todo.com/tools/peepdf-pdf-analysis-tool
- QuickSand - QuickSand 是一个紧凑的 C 框架，用于分析可疑的恶意软件文档，以识别不同编码流中的漏洞，并定位和提取嵌入的可执行文件
  https://www.quicksand.io/
- Spidermonkey - Mozilla 的 JavaScript 引擎，用来调试可疑 JS 代码
  https://developer.mozilla.org/en-US/docs/Mozilla/Projects/SpiderMonkey
文件提取
- 目前没有需要用到文件提取的需求
去混淆
- Balbuzard - 去除混淆(XOR、ROL等)的恶意软件分析工具
  https://bitbucket.org/decalage/balbuzard/wiki/Home
- de4dot - .NET 去混淆与脱壳
  https://github.com/0xd4d/de4dot
- ex_pe_xor 和 iheartxor - Alexander Hanel 开发的用于去除单字节异或编码的文件的两个工具
  http://hooked-on-mnemonics.blogspot.jp/2014/04/expexorpy.html
  http://hooked-on-mnemonics.blogspot.jp/p/iheartxor.html
- FLOSS - FireEye 实验室的混淆字符串求解工具，使用高级静态分析技术来自动去除恶意软件二进制文件中的字符串
  https://github.com/fireeye/flare-floss
- NoMoreXOR - 通过频率分析来猜测一个 256 字节的异或密钥
  https://github.com/hiddenillusion/NoMoreXOR
- PackerAttacker - Windows 恶意软件的通用隐藏代码提取程序
  https://github.com/BromiumLabs/PackerAttacker
- unpacker - 基于 WinAppDbg 的自动 Windows 恶意软件脱壳器
  https://github.com/malwaremusings/unpacker/
- unxor - 通过已知明文攻击来猜测一个异或密钥
  https://github.com/tomchop/unxor/
- VirtualDeobfuscator - 虚拟逆向分析工具
  https://github.com/jnraber/VirtualDeobfuscator
- XORBruteForcer - 爆破单字节异或密钥的 Python 脚本
  http://eternal-todo.com/var/scripts/xorbruteforcer
- XORSearch 和 XORStrings - Didier Stevens 开发的用于寻找异或混淆后数据的两个工具
  XORSearch & XORStrings | Didier Stevens
- xortool - 猜测异或密钥和密钥的长度
  https://github.com/hellman/xortool
调试和逆向工程
- angr - UCSB 的安全实验室开发的跨平台二进制分析框架
  https://github.com/angr/angr
- BAP - CMU 的安全实验室开发的跨平台开源二进制分析框架
  https://github.com/BinaryAnalysisPlatform/bap
- barf - 跨平台、开源二进制分析逆向框架
  https://github.com/programa-stic/barf-project
- binnavi - 基于图形可视化的二进制分析 IDE
  https://github.com/google/binnavi
- Capstone - 二进制分析反汇编框架，支持多种架构和许多语言
  https://github.com/aquynh/capstone
- dnSpy - .NET 编辑器、编译器、调试器
  https://github.com/0xd4d/dnSpy
- Evan's Debugger (EDB) - Qt GUI 程序的模块化调试器
  Codef00 - Projects
- Fibratus - 探索、跟踪 Windows 内核的工具
  https://github.com/rabbitstack/fibratus
- FPort - 实时查看系统中打开的 TCP/IP 和 UDP 端口，并映射到应用程序
  Free Tools | McAfee Downloads
- GDB - GNU 调试器
  http://www.sourceware.org/gdb/
- GEF - 针对开发人员和逆向工程师的 GDB 增强版
  https://github.com/hugsy/gef
- hackers-grep - 用来搜索 PE 程序中的导入表、导出表、字符串、调试符号
  https://github.com/codypierce/hackers-grep
- IDA Pro - Windows 反汇编和调试器，有免费评估版
  IDA Pro – Hex Rays
- Immunity Debugger - 带有 Python API 的恶意软件调试器
  http://debugger.immunityinc.com/
- ltrace - Linux 可执行文件的动态分析
  ltrace
- objdump - GNU 工具集的一部分，面向 Linux 二进制程序的静态分析
  https://en.wikipedia.org/wiki/Objdump
- OllyDbg - Windows 可执行程序汇编级调试器
  OllyDbg v1.10
- PANDA - 动态分析平台
  https://github.com/moyix/panda
- PEDA - 基于 GDB 的 Pythton Exploit 开发辅助工具，增强显示及增强的命令
  https://github.com/longld/peda
- pestudio - Windows 可执行程序的静态分析
  Winitor
- plasma - 面向 x86/ARM/MIPS 的交互式反汇编器
  https://github.com/joelpx/plasma
- PPEE (puppy) - 专业的 PE 文件资源管理器
  PPEE - Professional PE Explorer
- Process Explorer - 高级 Windows 任务管理器
  Process Explorer - Windows Sysinternals | Microsoft Docs
- Process Monitor - Windows 下高级程序监控工具
  Process Monitor - Windows Sysinternals | Microsoft Docs
- PSTools - 可以帮助管理员实时管理系统的 Windows 命令行工具
  PsTools - Windows Sysinternals | Microsoft Docs
- Pyew - 恶意软件分析的 Python 工具
  https://github.com/joxeankoret/pyew
- Radare2 - 带有调试器支持的逆向工程框架
  radare
- RetDec - 可重定向的机器码反编译器，同时有在线反编译服务和 API
  RetDec :: Home
- ROPMEMU - 分析、解析、反编译复杂的代码重用攻击的框架
  https://github.com/vrtadmin/ROPMEMU
- SMRT - Sublime 3 中辅助恶意软件分析的插件
  https://github.com/pidydx/SMRT
- strace - Linux 可执行文件的动态分析
  strace download | SourceForge.net
- Triton - 一个动态二进制分析框架
  Triton - Dynamic Binary Analysis Framework
- Udis86 - x86 和 x86_64 的反汇编库和工具
  https://github.com/vmt/udis86
- Vivisect - 恶意软件分析的 Python 工具
  https://github.com/vivisect/vivisect
- X64dbg - Windows 的一个开源 x64/x32 调试器
  https://github.com/x64dbg/
网络
- Bro - 支持惊人规模的文件和网络协议的协议分析工具
  The Zeek Network Security Monitor
- BroYara - 基于 Bro 的 Yara 规则集
  https://github.com/hempnall/broyara
- CapTipper - 恶意 HTTP 流量管理器
  https://github.com/omriher/CapTipper
- chopshop - 协议分析和解码框架
  https://github.com/MITRECND/chopshop
- Fiddler - 专为 Web 调试开发的 Web 代理
  Fiddler | Web Debugging Proxy and Troubleshooting Solutions
- Hale - 僵尸网络 C&C 监视器
  https://github.com/pjlantz/Hale
- INetSim - 网络服务模拟。建设一个恶意软件分析实验室十分有用
  INetSim: Internet Services Simulation Suite - Project Homepage
- Laika BOSS - Laika BOSS 是一种以文件为中心的恶意软件分析和入侵检测系统
  https://github.com/lmco/laikaboss
- Malcom - 恶意软件通信分析仪
  https://github.com/tomchop/malcom
- Maltrail - 一个恶意流量检测系统，利用公开的黑名单来检测恶意和可疑的通信流量，带有一个报告和分析界面
  https://github.com/stamparm/maltrail
- mitmproxy - 拦截网络流量通信
  mitmproxy - an interactive HTTPS proxy
- Moloch - IPv4 流量捕获，带有索引和数据库系统
  https://github.com/aol/moloch
- NetworkMiner - 有免费版本的网络取证分析工具
  http://www.netresec.com/?page=NetworkMiner
- ngrep - 像 grep 一样收集网络流量
  http://ngrep.sourceforge.net/
- PcapViz - 网络拓扑与流量可视化
  https://github.com/mateuszk87/PcapViz
- Tcpdump - 收集网络流
  TCPDUMP/LIBPCAP public repository
- tcpick - 从网络流量中重构 TCP 流
  tcpick: a tcp stream sniffer, tracker and capturer
- tcpxtract - 从网络流量中提取文件
  tcpxtract
- Wireshark - 网络流量分析工具
  Wireshark · Go Deep.
内存取证
- 目前没有需要用到内存取证的需求
Windows 神器
- AChoir - 一个用来收集 Windows 实时事件响应脚本集
  https://github.com/OMENScan/AChoir
- python-evt - 用来解析 Windows 事件日志的 Python 库
  https://github.com/williballenthin/python-evt
- python-registry - 用于解析注册表文件的 Python 库
  http://www.williballenthin.com/registry/
- RegRipper (GitHub) - 基于插件集的工具
  (no title)
存储和工作流
- 目前没有需要用到这类工具的需求
杂项
- 目前没有需要用到这类工具的需求

1.2 相关资源

书籍
基础恶意软件分析阅读书单
- Malware Analyst's Cookbook and DVD ->中文版本《恶意软件分析诀窍与工具箱》打击恶意代码的工具和技术
- Practical Malware Analysis ->中文版本《恶意代码实战解析》剖析恶意软件的手边书
-Practical Reverse Engineering ->中文版本《逆向工程实战》中级逆向工程
- Real Digital Forensics - 计算机安全与应急响应
- The Art of Memory Forensics - 在 Windows、Linux 和 Mac 系统的内存中检测恶意软件和威胁
- The IDA Pro Book -> 《IDA Pro权威指南(第2版)》世界上最流行的反汇编器的非官方指南
- The Rootkit Arsenal -> 《Rootkit：系统灰色地带的潜伏者》从反取证角度，深入、系统解读rootkit的本质和核心技术，以及如何构建属于自己的Rootkit武器，包含大量模块化示例
Twitter
- Adamb @Hexacorn
  https://twitter.com/Hexacorn
- Andrew Case @attrc
  https://twitter.com/attrc
- Binni Shah @binitamshah
  https://twitter.com/binitamshah
- Claudio @botherder
  https://twitter.com/botherder
- Dustin Webber @mephux
  https://twitter.com/mephux
- Glenn @hiddenillusion
  https://twitter.com/hiddenillusion
- jekil @jekil
  https://twitter.com/jekil
- Jurriaan Bremer @skier_t
  https://twitter.com/skier_t
- Lenny Zeltser @lennyzeltser
  https://twitter.com/lennyzeltser
- Liam Randall @hectaman
  https://twitter.com/hectaman
- Mark Schloesser @repmovsb
  https://twitter.com/repmovsb
- Michael Ligh (MHL) @iMHLv2
  https://twitter.com/iMHLv2
- Monnappa @monnappa22
  https://twitter.com/monnappa22
- Open Malware @OpenMalware
  https://twitter.com/OpenMalware
- Richard Bejtlich @taosecurity
  https://twitter.com/taosecurity
- Volatility @volatility
  https://twitter.com/volatility
其他
- /r/Malware - 恶意软件的子版块
  https://www.reddit.com/r/Malware
- /r/ReverseEngineering - 逆向工程子版块，不仅限于恶意软件
  https://www.reddit.com/r/ReverseEngineering