malware-detect

name	malware-detect
description	恶意软件检测 — 可疑文件和进程分析（YARA）
when-to-use	当需要检测主机上的恶意软件、分析可疑文件或进程时
allowed-tools	read_file,list_files,rg,bash
user-invocable	true
argument-hint	[target_path]
arguments	["target_path"]

恶意软件检测

目标

检测主机上的恶意软件，分析可疑文件和进程，识别恶意行为。

检测流程

1. 可疑进程识别

• 进程列表分析：ps aux --sort=-%cpu
• 异常特征：
  • 进程名为随机字符串
  • 从临时目录运行（/tmp, /dev/shm, /var/tmp）
  • 异常的父子进程关系
  • 高 CPU/内存占用且无合理解释
  • 删除了可执行文件的进程：ls -la /proc/[pid]/exe
• 进程文件检查：ls -la /proc/[pid]/exe && cat /proc/[pid]/cmdline

2. 文件分析

哈希比对：

• 计算文件哈希：sha256sum <file>
• 与已知恶意哈希比对（VirusTotal API 或本地库）

Strings 分析：

• 提取可读字符串：strings <file> | head -100
• 搜索可疑字符串：IP 地址、URL、系统命令、加密函数

YARA 扫描（如可用）：

yara -r <rules_file> <target_path>

常用规则集：https://github.com/Yara-Rules/rules

文件类型验证：

• file <filename> — 检查实际文件类型是否与扩展名匹配
• ELF 分析：readelf -h <file>

3. 持久化机制检查

• Crontab：crontab -l -u root + 检查 /etc/cron.* 目录
• Systemd 服务：检查可疑 service/timer unit
• RC 脚本：cat /etc/rc.local
• Shell 初始化：检查所有用户的 .bashrc, .profile
• 内核模块：lsmod 查找未知模块
• LD_PRELOAD：cat /etc/ld.so.preload

4. 网络行为分析

• C2 通信特征：定期的外连请求、非标准端口、DNS 隧道
• 连接检查：ss -antp | grep ESTABLISHED
• DNS 查询异常：高频 DNS 查询、长域名（DNS 隧道特征）
• 外连 IP 信誉检查

5. Rootkit 检测

• 使用 chkrootkit（如可用）：chkrootkit
• 使用 rkhunter（如可用）：rkhunter --check
• 手动检查：
  • 比对 ps 和 /proc 目录
  • 检查系统调用是否被劫持
  • 检查 /etc/ld.so.preload

处置建议

1. 隔离受感染主机
2. 保全证据（内存dump、磁盘镜像）
3. 清除恶意文件和持久化机制
4. 修复入侵入口
5. 监控是否有复发