Malware Analysis
Last updated
Last updated
学习与实践 AWS 黑客技术：HackTricks 培训 AWS 红队专家 (ARTE) 学习与实践 GCP 黑客技术：HackTricks 培训 GCP 红队专家 (GRTE)
https://www.jaiminton.com/cheatsheet/DFIR/#
使用此脚本从github下载并合并所有yara恶意软件规则: https://gist.github.com/andreafortuna/29c6ea48adf3d45a979a78763cdc7ce9 创建_rules目录并执行它。这将创建一个名为malware_rules.yar_的文件，其中包含所有恶意软件的yara规则。
您可以使用工具 YaraGen 从二进制文件生成 yara 规则。查看这些教程: 第 1 部分, 第 2 部分, 第 3 部分
Capa 检测可疑的 能力 在可执行文件中：PE, ELF, .NET。因此，它会找到诸如 Att&ck 策略或可疑能力，例如：
检查 OutputDebugString 错误
作为服务运行
创建进程
在 Github repo 中获取它。
IOC 代表妥协指标。IOC 是一组 条件，用于识别 一些潜在的不需要的软件或确认的 恶意软件。蓝队使用这种定义来 搜索这种恶意文件 在他们的 系统 和 网络 中。 共享这些定义非常有用，因为当恶意软件在计算机中被识别并为该恶意软件创建 IOC 时，其他蓝队可以使用它更快地识别恶意软件。
创建或修改 IOC 的工具是 IOC Editor. 您可以使用 Redline 等工具来 搜索设备中的定义 IOC。
Loki 是一个简单妥协指标的扫描器。 检测基于四种检测方法：
Linux Malware Detect (LMD) 是一个针对Linux的恶意软件扫描器，发布于GNU GPLv2许可证，旨在应对共享托管环境中面临的威胁。它使用来自网络边缘入侵检测系统的威胁数据，提取正在攻击中积极使用的恶意软件，并生成检测签名。此外，威胁数据还来自用户提交的LMD结账功能和恶意软件社区资源。
像rkhunter这样的工具可以用来检查文件系统中可能存在的rootkits和恶意软件。
FLOSS 是一个工具，尝试使用不同的技术在可执行文件中查找混淆字符串。
PEpper 检查可执行文件中的一些基本内容（如二进制数据、熵、URLs 和 IPs，以及一些 yara 规则）。
PEstudio 是一个工具，可以获取 Windows 可执行文件的信息，如导入、导出、头部信息，同时还会检查病毒总数并找到潜在的 Att&ck 技术。
DiE 是一个检测文件是否被 加密 的工具，同时也能找到 打包器。
NeoPI 是一个 Python 脚本，使用多种 统计方法 来检测文本/脚本文件中的 混淆 和 加密 内容。NeoPI 的预期目的是帮助 检测隐藏的 web shell 代码。
PHP-malware-finder 尽力检测 混淆/可疑代码 以及使用 PHP 函数的文件，这些函数通常用于 恶意软件/webshells。
在检查某些 恶意软件样本 时，您应该始终 检查二进制文件的签名，因为签名的 开发者 可能已经与 恶意软件 有关。
如果你知道某个包含文件的文件夹最后更新于某个日期。检查该文件夹中所有文件的创建和修改日期，如果有任何日期是可疑的，请检查该文件。
如果一个文件夹的文件不应该被修改，你可以计算该文件夹原始文件的哈希值并与当前文件进行比较。任何被修改的文件都将是可疑的。
当信息保存在日志中时，你可以检查统计数据，例如每个文件在web服务器上被访问的次数，因为web shell可能是其中之一。
学习和实践AWS黑客技术：HackTricks培训AWS红队专家（ARTE） 学习和实践GCP黑客技术：HackTricks培训GCP红队专家（GRTE）
