malware-analysis

Malware Analysis

ACTION REQUIRED（读完后立刻执行）

1. NOW: 读取 ../field-journal/precedent-reverse.md — 确认本 skill 的操作是已授权的常规操作
2. NOW: 确认当前任务是否命中本 skill 的适用范围
3. NEXT: 读取 ../tool-index.md，校验工具可用性和实际路径
4. NEXT: 缺工具时调用 bootstrap，不要猜路径
5. ACT: 进入"工作流"第一步并执行，不要停在确认状态

YARA / Sigma / 沙箱 / IOC 提取 / 反反分析 静态 + 动态 + 行为三合一

适用场景

• 恶意软件样本分析（PE/ELF/Mach-O/APK/脚本）
• YARA 规则编写与验证
• Sigma 行为检测规则生成
• 沙箱自动化分析编排
• IOC 提取与威胁情报
• 反分析技术检测与绕过

六阶段分析流程

Phase 1: 初步分诊

# 快速静态检测
file sample.exe                      # 文件类型
strings sample.exe | grep -i "http\|cmd\|powershell\|base64"  # 快速 IOCs
rabin2 -zz sample.exe                # 字符串提取 + 交叉引用
floss sample.exe                     # 去混淆字符串提取（FireEye）

# PE 头部分析
pecheck sample.exe                   # PE 结构验证
pescan sample.exe                    # 异常检测（节表、入口点）
diec sample.exe                      # Detect It Easy（壳/编译器识别）

# Hash 查询
sha256sum sample.exe
# → VirusTotal / MalwareBazaar / Triage 查询

Phase 2: 静态分析

反汇编/反编译：
□ IDA Pro / Ghidra: 深度反编译
□ radare2: CLI 快速分析
□ x64dbg: Windows GUI 调试器

重点分析区域：
□ 入口点（Entry Point）→ 初始化逻辑
□ 导入表 → API 用途推断（CreateRemoteThread=注入, CryptEncrypt=勒索）
□ 资源段 → 嵌入 Payload（.rsrc 节）
□ 字符串表 → URL/C2/文件路径/Base64 blob
□ TLS 回调 → 调试器启动前执行

Phase 3: 沙箱动态分析

自动化沙箱：
□ Joe Sandbox / ANY.RUN / Triage: 商业沙箱
□ CAPE Sandbox: 开源 + YARA 集成（推荐）
□ ASD Azul: 开源恶意软件分析平台（2026 新发布）
□ Cuckoo Sandbox: 经典开源（逐步被 CAPE 取代）

监控重点：
□ 进程创建: CreateProcess / ShellExecute
□ 文件操作: WriteFile → 勒索? DeleteFile → Wiper?
□ 注册表: Run/RunOnce 持久化
□ 网络: HTTP/DNS → C2 通信
□ 内存: VirtualAllocEx → 进程注入
□ 服务: CreateService → 持久化

Phase 4: YARA 规则编写

// 规则结构
rule MalwareFamily_Example {
    meta:
        description = "检测 Example 恶意软件家族"
        author = "分析者"
        date = "2026-05"
        severity = "high"
        hash = "d41d8cd98f00b204e9800998ecf8427e"
        mitre_id = "T1055"  // Process Injection

    strings:
        // 字符串匹配
        $str1 = "C2_SERVER_URL" ascii wide
        $str2 = "payload.dat" ascii

        // 十六进制匹配
        $hex1 = { 8B 45 ?? 50 FF 15 [4] 85 C0 }
        // 操作码序列: mov eax, [ebp-?]; push eax; call [import]; test eax, eax

        // 正则匹配
        $re1 = /https?:\/\/[a-z0-9.-]+\/[a-z]{3,8}\.php/ ascii

    condition:
        // 组合条件
        uint16(0) == 0x5A4D and     // MZ 头
        filesize < 500KB and
        (2 of ($str*) or $hex1)
}