如何快速简单有效地判断一个文件是否为病毒

网络安全 专栏收录该内容
6 篇文章 0 订阅

有一些小人,在发布的软件里插些小玩具,当灰客,这个时候就需要用户有一定的识别能力。

本篇文章主要分为两个部分,第一部分是介绍通过一些工具进行手动解析,第二部分是通过一些第三方线上工具自动解析

如果您觉得手动解析不够简单,可以直接跳到第二部分,通过介绍的第三方平台傻瓜式执行

第一部分

先说一下必要的工具:Sandboxie、PEID、OD以及你的杀毒软件

比如说,我从论坛上下载一个别人发布的软件,这时候杀毒软件也许会报毒。这种情况下,先看一下报的病毒名。如果报的是“Win32/Packed.VMProtect.AAA 特洛伊木马 的变种”这样的壳,那么可以稍稍放松下警惕。对于一些壳,杀软脱不了,为了方便,就把这种壳当作病毒来处理。另外,如果是“Win32/Hupigon.NUK 特洛伊木马”以及“Win32/Parite.B 病毒”这类的,就需要注意,这个文件可能被人恶意插入木马,或者被感染过。从杀软报的病毒名基本可以判断出这个文件是真的有问题,还是属于杀软的误报。然而,也有一些例外。比如“Trojan.Win32.Generic.122E105A”,这个一看就是云安全分析出来的病毒,没有什么有效的信息,所以无法通过病毒名判断是否是误判。

根据杀软的信息,可以对该文件的安全性有一个初步的了解。我想不会有人完全信任杀软的,更多的还是信任自己。用PEiD查一下壳,如果是一些简单的压缩壳,就在沙盘中运行OD,脱掉,分析。这时要做的不是一步步跟下去,而是找一下这个文件调用的API。在反汇编窗口右击,查找——当前模块中的名称(标签)。

观察一下API,这时也是有所取舍的。对于字符函数和字符串处理函数这类的,可以忽略过去;对于注册表函数、文件函数则要多加留意。比如说,看到了CreateFile,就在这个函数上下断,注意看有没有对系统敏感位置写入文件。同样,查看字符串也是有效的方式。一般地,可以从字符串找出一些病毒的特征。比如有的灰鸽子会有“客户端安装成功”之类的字样,发现一些邮件地址以及相应密码的。这些都是很可疑的。遇到一些猛壳,脱掉它是很困难的,这时可以借助下沙盘。

让程序在沙盘里完全运行,之后终止所有程序。

查看一下程序生成了什么。

从程序生成的文件基本可以判断是否是病毒了。当然,也不乏一些检测沙盘、虚拟机的小东西。在病毒样本区的页面上方有在线沙盘的链接。分析的结果十分具体,可以用来参考。如果你觉得手工检测太麻烦,可以借助在线沙盘,既快又详细。

引用个例子

对一个带毒外挂的分析,大家可以看看录像,很有学习意义.下面我按照上面说的方法做一下.

先查一下壳,应该是没壳的.

此时我比较喜欢用PEiD的反汇编工具看看字符串,这个功能很方便.

注意选中的部分,很可疑.是一个URL,指向的还是个exe文件.这时应该怀疑这个外挂是个下载器.

下面将它用OD载入(在沙盘或虚拟机中进行),看一看当前模块中的名称(标签),有一个URLDownloadToFileA,这个函数可以实现将一个网络上的文件下载到本地的功能,一般的ShellCode常用到它.

在输入函数上切换断点,运行,可以看出具体的行为.

在此之后要做的就是对下载下来的这个文件进行分析

一般来说微软的程序不会有这样的图标,而一个外挂莫名其妙地下载微软的东西,很奇怪,只能说是欲盖弥彰,所以可以直接毙掉了.

同理,如果用沙盘直接运行,最终会在沙盘里提取到这个文件,会发现在临时目录里.在外挂的目录下还会发现一个隐藏文件,应该就是干净的外挂.

挂的这个马应该变了,与小生附件中的程序已经不同了.

如果你认为很麻烦,可以直接把它扔到在线沙盘里,让机器替你分析.

 

第二部分

几款在线软件行为分析沙盘

1.Anubis是一个提供可控环境来执行用户提交的二进制文件的动态恶意软件分析平台。该系统通过监视关键的Windows API和系统服务调用、跟踪网络数据流、记录网络通讯,实现对二进制文件的分析,并生成综合分析报告。由于它通过公开的网络接口和很多安全组织、反病毒公司获得恶意程序样本,用户群广泛,所以收集到的样品体现了互联网上广泛而多样的恶意程序。
相对于Norman的在线沙盒,来自奥地利的Anubis沙盒界面更加的友好,同时提供的分析资料更加详细。另外分析处理的速度也很快。基本上在2分钟之内就可以搞定。同时如果不方便在线看网页,Anubis也可以把分析报告发送到您的邮箱去,择日再看也是可以的。
服务地址: http://anubis.iseclab.org/index.php

2.Threat Expert是一套高级的自动在线分析系统,用于分析和报告有关电脑病毒,蠕虫,木马,广告软件,间谍软件和其它与电脑安全有关的风险程序,本系统是完全自动的,无需人工干预。
只要将可疑的档案上传到ThreatExpert网站中,它会透过内建的ATAS机制进行档案型为分析与病毒检测,完成后会再提供一个详尽的检测报告。报告内容会包含病毒名称与叙述、风险分类、档案变更细节、记忆体执行细节、登录档修改细节、对外网路连线状态、SMTP流量细节…与其他可疑的行为报告。报告可通过邮箱发送。
服务地址: http://www.threatexpert.com/submit.aspx

3.Comodo Instant Malware Analysis(CIMA)是Comodo推出的云端服务:在线沙盘。可以上传可疑文件(必须是可执行文件),CIMA会实时运行和分析,生成一份详尽的报告,这份报告会记录是否有可疑行为。
CIMA的好处是分析结果马上就可以看到,不像某些在线沙盘,只能用email,需要等待。CIMA 不能处理交互式的程序,就是类似需要点“下一步” 这样的程序。CIMA除了是一个在线病毒分析系统外,同时也是一个病毒收集系统。任何上传的报可疑的文件,将会送到Comodo病毒研究实验室,进行人工分析。
服务地址: http://camas.comodo.com/

4.Norman Sandbox是Norman公司推出的免费在线病毒分析服务, 所谓Sandbox,顾名思义就是创建一个虚拟的环境,让文件在其中执行,通过分析文件的动作来判断该文件是否为恶意程序。 Norman Sandbox除了进行行为检测外,还会对文件进行特征码扫描,因此它是进行病毒(特别是未知)病毒分析、处理的有力工具。
其人工智能虚拟机分析结果包括:
(1)文件是否对硬盘读写,创建了什么文件。
(2)可疑文件是否进行网络连接,连接什么端口
(3)创建了那些系统进程。
(4)相关的可疑文件大小和md5
(5)文件是否加壳压缩
(6)是否是已知病毒
服务地址: http://www.norman.com/security_center/security_tools/

5.GFI Sandbox的前身是CWSandbox,是一个业界领先的动态恶意软件分析工具。其使用方便,只需要填写email后上传文件即可,文件限制在12288kb内。可分析几乎所有的Windows应用程序或文件,包括感染的Office文档,PDF文件,恶意网址,Flash广告和定制的应用程序。
服务地址: http://www.sunbeltsecurity.com/sandbox/

整理汇总前人成果

特别鸣谢原作者是昔流芳

原文地址 https://www.52pojie.cn/thread-69716-1-1.html

参考文章https://blog.csdn.net/super_mimi/article/details/41759087?utm_source=blogxgwz8,来源safecn

  • 2
    点赞
  • 0
    评论
  • 2
    收藏
  • 一键三连
    一键三连
  • 扫一扫,分享海报

文件doc版,可自行转成txt,在手机上看挺好的。 本资源来自网络,如有纰漏还请告知,如觉得还不错,请留言告知后来人,谢谢!!!!! 入门学习Linux常用必会60个命令实例详解 Linux必学的60个命令 Linux提供了大量的命令,利用它可以有效地完成大量的工作,如磁盘操作、文件存取、目录操作、进程管理、文件权限设定等。所以,在Linux系统上工作离不开使用系统提供的命令。要想真正理解Linux系统,就必须从Linux命令学起,通过基础的命令学习可以进一步理解Linux系统。 不同Linux发行版的命令数量不一样,但Linux发行版本最少的命令也有200多个。这里笔者把比较重要和使用频率最多的命令,按照它们在系统中的作用分成下面六个部分一一介绍。 ◆ 安装和登录命令:login、shutdown、halt、reboot、install、mount、umount、chsh、exit、last; ◆ 文件处理命令:file、mkdir、grep、dd、find、mv、ls、diff、cat、ln; ◆ 系统管理相关命令:df、top、free、quota、at、lp、adduser、groupadd、kill、crontab; ◆ 网络操作命令:ifconfig、ip、ping、netstat、telnet、ftp、route、rlogin、rcp、finger、mail、 nslookup; ◆ 系统安全相关命令:passwd、su、umask、chgrp、chmod、chown、chattr、sudo ps、who; ◆ 其它命令:tar、unzip、gunzip、unarj、mtools、man、unendcode、uudecode。 本文以Mandrake Linux 9.1(Kenrel 2.4.21)例,介绍Linux下的安装和登录命令。 immortality按:请用ctrl+f在本页中查找某一部分的内容或某一命令的用法。 -------------------------------------------------------------------------------- Linux必学的60个命令(1)-安装与登陆命令 login 1.作用 login的作用是登录系统,它的使用权限是所有用户。 2.格式 login [name][-p ][-h 主机名称] 3.主要参数 -p:通知login保持现在的环境参数。 -h:用来向远程登录的之间传输用户名。 如果选择用命令行模式登录Linux的话,那么看到的第一个Linux命令就是login:。 一般界面是这样的: Manddrake Linux release 9.1(Bamboo) for i586 renrel 2.4.21-0.13mdk on i686 / tty1 localhost login:root password: 上面代码中,第一行是Linux发行版本号,第二行是内核版本号和登录的虚拟控制台,我们在第三行输入登录名,按“Enter”键在Password后输入账户密码,即可登录系统。出于安全考虑,输入账户密码时字符不会在屏幕上回显,光标也不移动。 登录后会看到下面这个界面(以超级用户例): [root@localhost root]# last login:Tue ,Nov 18 10:00:55 on vc/1 上面显示的是登录星期、月、日、时间和使用的虚拟控制台。 4.应用技巧 Linux 是一个真正的多用户操作系统,可以同时接受多个用户登录,还允许一个用户进行多次登录。这是因Linux和许多版本的Unix一样,提供了虚拟控制台的访问方式,允许用户在同一时间从控制台(系统的控制台是与系统直接相连的监视器和键盘)进行多次登录。每个虚拟控制台可以看作是一个独立的工作站,工作台之间可以切换。虚拟控制台的切换可以通过按下Alt键和一个功能键来实现,通常使用F1-F6 。 例如,用户登录后,按一下“Alt+ F2”键,用户就可以看到上面出现的“login:”提示符,说明用户看到了第二个虚拟控制台。然后只需按“Alt+ F1”键,就可以回到第一个虚拟控制台。一个新安装的Linux系统允许用户使用“Alt+F1”到“Alt+F6”键来访问前六个虚拟控制台。虚拟控制台最有用的是,当一个程序出错造成系统死锁时,可以切换到其它虚拟控制台工作,关闭这个程序。 shutdown 1.作用 shutdown命令的作用是关闭计算机,它的使用权限是超级用户。 2.格式 shutdown [-h][-i][-k][-m][-t] 3.重要参数 -t:在改变到其它运行级别之前,
©️2021 CSDN 皮肤主题: 大白 设计师:CSDN官方博客 返回首页
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、C币套餐、付费专栏及课程。

余额充值