从入门开始：恶意代码的那些事（1）

介绍

▼恶意代码

任何以某种方式对用户、计算机或网络造成破坏的软件或代码，都可以被认为是恶意代码。

▼分类

反病毒引擎扫描

针对可疑文件进行扫描服务，主要通过检测样本程序关键行为、进程行为、文件行为、网络行为、注册表行为等等，判别文件行为是否为恶意代码程序。

▼行为分析

环境搭建

在开始分析恶意代码过程中难免需要动态分析， 你不知道你所分析的恶意代码程序会给你带来怎样的惊喜？所以我们需要建立一个安全环境，这里主要是通过“vmware 虚拟机”创建一个分析恶意代码的虚拟环境。

而恶意代码程序有时会依靠互联网连接，来进行自身更像、获取命令、接受控制以及运行其他功能。并且有的恶意代码会检测自身是否正在虚拟机中运行，并表现出不同行为来阻扰分析。这里暂时不考虑这些较为复杂的情况，仅仅介绍一下简单的分析恶意代码的虚拟环境搭建。

▼虚拟机创建

▼硬件设置

虚拟机设备中”USB 控制器”、 “网卡适配器”移除了，并且禁用了共享文件夹。主要是为了避免在分析带感染行为的恶意样本的时候，恶意样本向外感染传播。

▼优化配置

在安装好了操作系统和恶意代码分析工具，我们可以建立一个初始快照。这个初始化快照主要是作为你的干净状态的基础镜像。也就是说，在我们分析完恶意代码后，可以把分析环境恢复到基础镜像快照，便于再次恶意代码分析。为了能够更好的分析恶意代码，除了安装纯净的系统镜像文件之外，还可以将系统性能设置进行修改。

▼其他

虚拟机调试分析程序的时候，假如发现程序在虚拟机中运行会提示： “Soory, this application cannt rununder a Virtual Machine.“

解决方案

打开对应的虚拟机配置文件 .VMX 格式（如 Windows XP Professional.vmx）,记事本编辑 在尾部加入以下代码。

信息收集

▼哈希值

每一个恶意代码样本都一个唯一的哈希值。而在恶意代码分析中 MD5 校验最为常用。对可疑样本进行分析的过程中，通过”MD5 校验工具”计算可疑样本的 MD5、SHA1、CRC32 的值与已知的病毒样本 MD5、SHA1、CRC32进行匹配。如果匹配上则可以对样本标”黑”，没有匹配上则需要进一步对可疑样本分析，因为存在病毒程序再变种的可能。

▼字符串

恶意代码样本程序中都会包含一些字符串， 我们可以通过提取程序中所包含的字符串对样本的行为做一个简单的分析。

Strings工具

一款能够提取程序所包含的字符串小工具。

例子

这里通过自己编写的一个弹窗小程序，我们通过“Strings.exe”提取这个小程序所包含的字符串信息，可以发现提取的字符串中包含了“MessageBoxW”API函数和编译程序的路径信息。

▼外壳信息

有时候在提取分析恶意程序的字符串的时候，发现所提取的字符串都是些无意义的字符串，遇到这种情况很有可能是恶意程序被加壳或者代码混淆了，导致我们不能通过提取字符串获取到有价值的信息。

换句话说，当我们在对恶意程序提取字符串的时候，发现它的字符串很少时，它就很有可能是加壳或是代码混淆了。而加壳或者代码混淆后至少会包含“LoadLibrary”和“GetProcAddress”函数，这两个函数是用来加载和使用其他函数功能的。

壳是什么

壳指的是可执行文件所具有的压缩、加密、保护作用的东西。

壳的类型

1. 压缩壳：减小软件体积大小，加密保护不是重点。
2. 加密壳：种类比较多，不同的壳侧重点不同，一些壳单纯保护程序，另一些壳提供额外的功能，如提供注册机制、使用次数、时间限制等。

查壳工具

例子

这里主要通过PEID对程序进行查壳，发现程序所加的壳为UPX。它是一款应用程序专用压缩、解压缩软件，支持 EXE、COM、DLL、SYS、OCX 等多种文件格式的压缩。UPX 加壳后程序的区块名称被修改为UPX0、UPX1、RSRC。

脱壳

一些恶意代码程序里有一段专门负责保护软件不被修改或反编译的程序。它们一般都是先于程序运行，拿到控制权，然后完成它们保护恶意代码程序、加大分析难度的任务。为了进一步分析的恶意代码程序我们需要去掉恶意代码程序所加的壳，脱壳的方式主要有手工脱壳和自动脱壳。

手工脱壳

手工脱壳的常用方法：

1. 单步跟踪法
2. ESP 定律
3. 两次断点法
4. 一步到达 OEP
5. 最后一次异常法
6. 模拟跟踪法
7. “SFX”法
8. 出口标志法

自动脱壳

关于自动脱壳其实网上也有很多公开的自动化脱壳程序和脱壳脚本。

例子

这里通过利用UPX脱壳脚本对一个被加了UPX壳的程序进行脱壳， 将程序载入OD中通过插件中的ODbgScript导入脱壳脚本。

▼API 函数

假设我们知道一个恶意代码程序导入了URLDownloadtoFile函数，我们便可以初步判断该程序会从网上下载一些内容到本地，那么该程序就很可能是下载者。而在分析恶意代码程序的时候，我们可以利用 Dependency Walker工具获取可执行程序的动态链接函数。

常见的动态链接库文件

Kernel32.dll

User32.dll

shell32.dll

Advapi32.dll

例子

再次用自己编写的一个弹窗小程序，我们通过“Dependency Walker”工具获取可执行程序的动态链接函数。发现在“USER32.DLL”中有“MessageBoxW”API 函数，也就是说程序执行会调用“MessageBoxW”这个API函数。

▼PE 文件格式

我们所分析的恶意代码程序都是些Windows可执行文件、对象代码和DLL，它们的格式都为可移植执行文件格式，也就是我们常说的PE文件格式。而在PE结构中又包含了很多Windows操作系统加载器管理可执行代码所必要的信息。

关于PE文件结构的文章网上都有很多，这里就不再冗余。对PE结构感兴趣的同学可以看一看《Windows PE权威指南》，这本书主要讲的是 Windows PE文件格式的原理及其编程技术，书中的实例也涵括了 PE 文件格式在加密与解密、软件汉化、逆向工程、反病毒等安全领域的应用。

PE 文件格式示意图

由于图片较大，可能在阅读上会造成一定的不便。这里将 PE 文件格式示意图的图片地址也贴出来，感兴趣的同学可以自己下载下来看。

区块信息

PE文件头中有更多我们需要获取的信息，PE文件格式包括一个PE文件头，随后跟着一系列的分节。文件头中包含了有关文件本身的元数据。而头部之后是文件的一些实际部分，每个分节都包含了有用的信息。

有时候区块的名称会被篡改，而导致区块的名称被篡改最有可能的原因就是程序加壳了。换句话说，当我们在分析恶意代码程序的过程中发现程序区块的名称存在异样，那么程序就很有可能是被加壳了。

例子

这里列出了一些加壳程序的区块信息，没有列出来的大家可以通过在网上下载加壳程序自己进行加壳操作，再通过前面介绍的查壳工具来观察区块信息。

UPX

ASProtect

ASPack

Themida

编译信息

“IMAGE_NT_HEADERS”中的映像文件头（IMAGE_FILE_HEADER）中“Time Date Stamp”可以获取可执行文件是什么时候编译的。

当然这里的编译时间仅仅是静态分析过程提供参考的信息，毕竟编译时间是可以恶意篡改的。就比如 Delphi程序都是采用统一的编译时间，都是1992年6月19日。

入口信息

在”IMAGE_OPTIONAL_HEADER”中第七个成员“AddressOfEntryPoint“，它持有OEP的RVA。

我们用过二进制编辑器中，我们通过手动查找”IMAGE_OPTIONAL_HEADER”中第七个成员 AddressOfEntryPoint，发现是正确的。

资源信息

资源区块包含有可执行文件所用的资源， 而这些内容并不是可执行的， 比如图标、 图片、 菜单项和字符串等。Resource Hacker 工具主要用来浏览.rsrc 节，我们可以通过这个工具看到字符串、图标和菜单，而现实的菜单项和程序所使用的是一致的。

总体来说”Resource Hacker”这款工具使用起来还是挺简单的，所以这里就不详细解释了，至于怎么利用”Resource Hacker”工具这款工具就因人而异了。

▼总结

这次主要介绍初级的静态文件分析方法，通过简单的分析可以初步获取恶意代码程序的静态文件特征。如果有什么欠妥的地方，欢迎交流。感恩！

【via@xi2omin9】本文系投稿文章，未经授权请勿转载！