Docker化自动采集&模拟恶意软件环境

概述

一个真实的Linux恶意软件入侵环境，往往包含有病毒文件、病毒进程、恶意启动项、网络通信流量等病毒项，若我们只获得单一的病毒文件，很难还原出恶意软件的整个攻击环境，从而不便于对攻击链进行全面的研究分析，以及产品安全能力测试。下面，介绍一种基于Docker的方法，可以自动化地采集及还原恶意软件的整个攻击场景，以最大程度地模拟主机中毒的环境，方便后续对恶意软件进行研究与分析。

该方法的原理是，使用bash脚本自动化收集中毒主机上的病毒项，然后打包成容器环境，最后通过Docker在本地模拟运行，这时生成的Docker容器就包含了完整的恶意软件环境。

详细步骤

如下，以StartMiner（8220挖矿家族）的中毒环境作为演示，通过命令可以看到主机中包含有恶意定时任务、病毒文件、奇热病毒进程等信息。

采集脚本具体的代码如下，主要采集以下目录的文件：

<