malware-analysis

name	malware-analysis
description	Analysis malware, get indicators of compromise (IOCs) and behaviors

恶意程序分析

禁止运行待分析的可执行程序

默认目标

当用户未明确分析目标时，目标如下

如果是远控：

1. 分析持久化方式
2. 定位C2
3. 分析入侵方式

如果是勒索：

1. 收集勒索特征：勒索信、被加密文件后缀、是否修改壁纸、勒索时间
2. 根据勒索特征分析能否恢复 https://www.nomoreransom.org/
3. 分析入侵方式

获取基本信息

使用xanalyzer获取基本信息，包括文件类型、哈希值、PE信息等

# 获取详细信息并保存到文件
xa -f <malware_path> -s

使用diec获取恶意程序的特征信息

diec.exe --heuristicscan --verbose <malware_path>

查看行为

借助沙箱看行为

http://192.168.0.102:8000/

https://www.virustotal.com/gui/file/416c01c8f1851f038371bda07ffda846b809eb1e7df28344e2ee7b208539b1a1/detection
https://www.virustotal.com/gui/file/416c01c8f1851f038371bda07ffda846b809eb1e7df28344e2ee7b208539b1a1/details
https://www.virustotal.com/gui/file/416c01c8f1851f038371bda07ffda846b809eb1e7df28344e2ee7b208539b1a1/relations
https://www.virustotal.com/gui/file/416c01c8f1851f038371bda07ffda846b809eb1e7df28344e2ee7b208539b1a1/behavior

逆向分析

1. 如果文件类型是PE文件 a. 如果文件类型是.NET文件，使用dnSpy反编译 b. 如果文件类型是其他PE文件，使用IDA/Ghidra反编译
2. 如果文件类型是ELF文件，使用IDA/Ghidra反编译

调试分析

1. 如果文件类型是PE文件 a. 如果文件类型是.NET文件，使用dnSpy调试 b. 如果文件类型涉及到驱动，使用WinDbg调试 c. 如果文件类型是其他PE文件，使用x64dbg调试
2. 如果文件类型是ELF文件，使用GDB调试