#### 概述 (Overview)

在分析新的恶意软件样本时，第一步通常是进行**基础静态分析 (Basic Static Analysis)**。此过程可以看作是对恶意软件的初步评估，旨在不运行它的前提下，尽可能多地了解其属性，如它调用的 API 或是否经过加壳。这一步为后续的深入分析提供了方向和概览。

> 重要提示：隔离环境 (Important Note: Isolated Environment)
> 
> 尽管静态分析在不运行恶意软件的情况下进行，但强烈建议始终在隔离的、专用于恶意软件分析的虚拟机（VM）中执行所有操作。在分析前为虚拟机创建一个干净的快照，并在每次分析后恢复到此快照，以确保安全和环境的一致性。

#### 1. 基础静态分析 (Basic Static Analysis)

##### 检查文件类型 (Checking File Type)

恶意软件作者有时会使用误导性的文件扩展名来欺骗用户。因此，不应仅凭扩展名来判断文件类型。在 Linux 环境中，可以使用 `file` 命令来准确识别。

Bash

```
file <malware_sample>
```

##### 检查字符串 (Checking Strings)

`strings` 命令可以提取并显示二进制文件中所有可读的文本字符串。这些字符串往往能揭示恶意软件功能的关键线索。

- **线索示例**:
    
    - `URLDownloadToFile`: 表明恶意软件可能会从互联网下载文件。
        
    - IP 地址或域名: 揭示其 C2 服务器地址。
        
    - 文件路径: 显示其可能在文件系统中操作的位置。
        
- **命令**:
    Bash
    ```
    strings <malware_sample>
    ```
> **提示**: `strings` 命令的输出可能非常庞大。建议将其输出重定向到一个文件 (`> output.txt`)，然后使用文本编辑器（如 `vim`）进行查看和搜索。

##### 计算哈希值 (Calculating Hashes)

文件哈希是文件的唯一数字指纹，是恶意软件分析中的核心概念。通过哈希值，分析师可以：

- 唯一地标识一个恶意软件样本。
    
- 在线搜索（如 VirusTotal）以查找已有的分析报告。
    
- 与其他研究人员共享样本信息。
    
- **常用哈希算法**: MD5, SHA1, SHA256。
    
- **计算命令 (Linux)**:
    
    Bash 
    ```
    md5sum <malware_sample>
    sha1sum <malware_sample>
    sha256sum <malware_sample>
    ```
    
##### AV 扫描与 VirusTotal (AV Scanning and VirusTotal)
使用杀毒软件扫描或在线平台查询哈希值，可以快速了解该样本是否为已知恶意软件及其分类。
- **最佳实践**: 优先**搜索文件的哈希值**，而不是直接上传样本。只有在确信不会泄露敏感信息（如样本中包含的内部数据）时，才考虑上传。
    
#### 2. PE 文件头分析 (PE File Header Analysis)
**PE (Portable Executable)** 文件头是 Windows 可执行文件的元数据核心，包含了大量有助于分析的信息。

##### 导入与导出表 (Imports and Exports)

- **导入 (Imports)**: PE 文件为了执行特定功能而从其他文件（主要是 Windows 系统 DLL）中调用的函数列表。分析导入表是理解恶意软件行为的**关键步骤**。
    
    - **示例**: 导入 `InternetOpen` 函数意味着程序将进行网络通信；导入 `RegQueryValue` 意味着它将查询注册表。       
- **导出 (Exports)**: PE 文件提供给其他程序使用的函数列表。对于 `.exe` 文件通常很少，主要见于 `.dll` 文件。
    
##### PE 节区 (PE Sections)

PE 文件被划分为不同的节区，每个节区都有特定的用途。

- **`.text`**: 包含程序的 CPU 执行指令，通常被标记为可执行。
    
- **`.data`**: 包含程序的全局变量和数据。
    
- **`.rsrc`**: 包含程序的资源，如图标、图片、菜单等。
    
##### 分析工具 (Analysis Tools)

- **`pecheck`**: 一款命令行工具，可以解析并显示 PE 头的详细信息，包括节区信息、哈希值和完整的导入表。
    
- **`pe-tree`**: 一款基于 GUI 的工具，可以提供更直观的 PE 文件结构视图。
    
#### 3. 基础动态分析 (Basic Dynamic Analysis)

当静态分析无法提供足够信息时（例如，恶意软件被加壳），就需要通过运行样本并观察其行为来进行**基础动态分析 (Basic Dynamic Analysis)**。

##### 沙盒技术 (Sandboxing)

沙盒是一个**隔离的、受监控的**环境，用于安全地执行恶意软件并观察其行为。恶意软件分析沙盒严重依赖虚拟机技术，特别是其快照和恢复功能。

##### 构建分析沙盒 (Building an Analysis Sandbox)

一个有效的恶意软件分析沙盒通常包含以下组件：

- **虚拟机**: 模拟恶意软件的真实目标环境。
    
- **快照功能**: 能够快速恢复到干净的初始状态。
    
- **系统监控软件**:
    
    - **进程**: Procmon, ProcExplorer
        
    - **注册表**: Regshot
        
- **网络监控软件**: Wireshark, tcpdump
    
- **网络环境控制**: 使用虚拟 DNS 和 Web 服务器（如 INetSim）来模拟互联网连接并捕获网络流量。
    
- **安全的文件传输机制**: 用于在虚拟机和宿主机之间传输样本及日志。
    
#### 4. 沙盒实现与服务 (Sandbox Implementations & Services)
##### 开源沙盒 (Open-Source Sandboxes)

- **Cuckoo's Sandbox**: 最知名的开源恶意软件沙盒，拥有庞大的社区和丰富的定制功能。
    
- **CAPE Sandbox**: Cuckoo 的一个高级分支，增加了调试和内存转储等功能，特别适用于脱壳分析。
    
##### 在线沙盒 (Online Sandboxes)

对于快速分析，在线沙盒是一个便捷的选择。

- Any.run
    
- Intezer
    
- Hybrid Analysis
    
> **注意**：与 AV 扫描类似，向公共在线沙盒提交样本可能会暴露敏感信息。请谨慎操作。

#### 5. 反分析技术 (Anti-Analysis Techniques)

恶意软件作者使用各种技术来阻碍分析。

##### 加壳与混淆 (Packing and Obfuscation)

**加壳器 (Packer)** 会对恶意软件的主体进行压缩、加密或混淆。加壳后的恶意软件在静态分析时（如 `strings` 命令）几乎不会暴露任何有用的信息，必须先运行起来（在内存中解开）才能进行有效分析。

##### 沙盒规避 (Sandbox Evasion)

恶意软件会尝试检测自己是否在沙盒中运行，如果是，则会改变行为或直接退出。

- **长时间休眠调用**: 恶意软件在执行任何恶意活动前先“休眠”很长一段时间，试图耗尽自动化沙盒的有限分析时间。
    
- **用户活动检测**: 检查是否存在鼠标移动、键盘输入或最近打开的文档等用户活动迹象。没有这些迹象，就判定为沙盒环境。
    
- **检测虚拟机**: 检查是否存在虚拟机特有的驱动、进程或注册表项（如 VMware Tools、VirtualBox Guest Additions），以此判断是否在 VM 中运行。

在分析新的恶意软件样本时，第一步通常是进行基础静态分析 (Basic Static Analysis)。此过程可以看作是对恶意软件的初步评估，旨在不运行它的前提下，尽可能多地了解其属性，如它调用的 API 或是否经过加壳。这一步为后续的深入分析提供了方向和概览。

手把手教学：恶意软件分析从入门到精通

安全

开发工具

职业发展

恶意软件静态分析指南：通过文件类型检查、字符串提取、哈希计算等方法初步评估样本属性，在隔离环境中安全操作。包含PE文件头解析、动态沙盒分析及反分析技术应对策略，为安全研究人员提供系统分析方法论。

命令行工具

文件系统

服务器

虚拟机

Windows

Linux

4核4G3M云服务器 新用户低至38元/年！

AI驱动 智领未来

域名特惠新用户低至1元！


domain

文章

问答

视频

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

手把手教学：恶意软件分析从入门到精通-腾讯云开发者社区-腾讯云

手把手教学：恶意软件分析从入门到精通

手把手教学：恶意软件分析从入门到精通

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐