analyzing-linux-elf-malware

分析 Linux ELF 恶意软件

适用场景

• Linux 服务器或容器被攻陷，发现可疑 ELF 二进制文件
• 分析 Linux 僵尸网络（Mirai、Gafgyt、XorDDoS）、挖矿程序或勒索软件
• 调查针对云基础设施、Docker 容器或 Kubernetes Pod 的恶意软件
• 逆向工程 Linux rootkit 和内核模块
• 分析为 Linux x86_64、ARM 或 MIPS 架构编译的跨平台恶意软件

不适用于 Windows PE 二进制文件分析；请使用 PEStudio、Ghidra 或 IDA 分析 Windows 恶意软件。

前置条件

• Ghidra 或支持 Linux ELF 的 IDA，用于反汇编和反编译
• Linux 分析虚拟机（推荐 Ubuntu 22.04），已安装开发工具
• strace、ltrace 和 GDB，用于动态分析和调试
• GNU binutils 中的 readelf、objdump 和 nm，用于静态检查
• Radare2，用于快速二进制分类和脚本化分析
• Docker，用于隔离的基于容器的恶意软件执行

工作流程

步骤 1：识别 ELF 二进制文件属性

检查 ELF 头部和基本属性：

# 文件类型识别
file suspect_binary

# 详细 ELF 头部分析
readelf -h suspect_binary

# 节头部
readelf -S suspect_binary

# 程序头部（段）
readelf -l suspect_binary

# 符号表（如未去符号表）
readelf -s suspect_binary
nm suspect_binary 2>/dev/null

# 动态链接信息
readelf -d suspect_binary
ldd suspect_binary 2>/dev/null  # 仅在匹配架构上使用！

# 计算哈希值
md5sum suspect_binary
sha256sum suspect_binary

# 检查打包/UPX
upx -t suspect_binary

# 基于 Python 的 ELF 分析
from elftools.elf.elffile import ELFFile
import hashlib

with open("suspect_binary", "rb") as f:
    data = f.read()
    sha256 = hashlib.sha256(data).hexdigest()

with open("suspect_binary", "rb") as f:
    elf = ELFFile(f)

    print(f"SHA-256：      {sha256}")
    print(f"类型：          {elf.elfclass}-bit")
    print(f"字节序：        {'小端' if elf.little_endian else '大端'}")
    print(f"机器架构：      {elf.header.e_machine}")
    print(f"文件类型：      {elf.header.e_type}")
    print(f"入口点：        0x{elf.header.e_entry:X}")

    # 检查是否去符号表
    symtab = elf.get_section_by_name('.symtab')
    print(f"已去符号表：    {'是' if symtab is None else '否'}")

    # 节熵值分析
    import math
    from collections import Counter
    for section in elf.iter_sections():
        data = section.data()
        if len(data) > 0:
            entropy = -sum((c/len(data)) * math.log2(c/len(data))
                          for c in Counter(data).values() if c > 0)
            if entropy > 7.0:
                print(f"  [!] 高熵节：{section.name}（{entropy:.2f}）")