恶意代码静态分析入门教程

1. 静态分析基础

静态分析技术是研究恶意代码的第一步，指的是分析程序指令与结构来确定功能的过程。主要包括以下技术：

1.1 反病毒引擎扫描

• 使用反病毒软件确认程序样本的恶意性
• 常用沙箱工具：
  • 微步社区
  • VirSCAN
  • VirusTotal

1.2 哈希值：恶意代码的指纹

• 哈希值（hash）是文件的唯一标识
• Windows自带Solitaire程序可计算哈希值
• 也可使用第三方工具计算恶意程序的哈希值

1.3 查找字符串

• 程序包含的字符串可能包括：
  • 打印的消息
  • 连接的URL
  • 文件操作路径
• 常用工具：
  • IDA（交互式反汇编器）
  • OllyDbg（OD）

2. 加壳与混淆技术

2.1 基本概念

• 加壳：压缩或加密可执行文件，运行时由脱壳代码解压缩
• 混淆：隐藏代码执行过程的技术
• 这些技术使文件更难被检测和分析

2.2 检测工具

• PEiD工具（2011年停止更新但仍可使用）
• 用于检查程序是否加壳

3. 文件分析

3.1 PE文件格式

• Windows可执行文件、对象代码和DLL的标准格式
• PE文件结构：
  • 文件头包含代码信息
  • 应用程序类型
  • 所需库函数
  • 空间要求
• PE头信息对恶意代码分析非常重要

3.2 动态链接函数分析

• 使用Dependency Walker工具（包含在Visual Studio中）
• 功能：列出可执行文件的动态链接函数
• 常见DLL及其功能：
  • Kernel32.dll：核心系统功能（内存、文件、硬件操作）
  • Advapi32.dll：核心Windows组件访问（服务管理、注册表）
  • User32.dll：用户界面组件（按钮、滚动条等）

4. 实战分析

4.1 分析未加壳可执行文件步骤

第一步：查壳

• 使用PEiD检查文件是否加壳
• 示例：VC++6.0编译的文件通常不加壳

第二步：分析DLL依赖

• 使用Dependency Walker查看调用的DLL
• 替代工具：lordPE
• 分析调用的DLL功能：
  • Kernel32.dll：核心系统功能
  • ADVAPI32.dll：服务管理和注册表访问

第三步：资源分析

• 使用Resource Hacker工具
• 检查可执行文件中包含的资源

第四步：行为监控

• 使用Process Monitor创建过滤器
• 监控程序运行时行为（如创建的文件）

第五步：IDA详细分析

1. 分析DLL入口点参数（如fdwReason）
2. 跟踪关键函数调用：
   • GetSystemDirectoryW：获取系统目录
   • 字符串操作（如"WlxLoggedOnSAS"）
3. 分析导出函数：
   • WlxLoggedOnSAS：系统登录时调用
   • WlxLoggedOutSAS：系统注销时调用
4. 识别关键操作：
   • 格式化字符串（如"UN %s DM %s PW %s OLD %s"）
   • 文件写入操作（如将时间、日期和登录凭证写入msutil32.sys）

5. 推荐学习资源

• 《恶意代码分析实战》
• 微软开发文档（MSDN）

6. 总结

恶意代码静态分析是一个系统性的过程，需要掌握：

1. 基础技术（哈希、字符串分析）
2. 识别加壳和混淆
3. 理解PE文件结构
4. 熟练使用专业工具（PEiD、Dependency Walker、IDA等）
5. 通过实战积累经验

通过以上方法，可以有效地分析恶意代码的行为和功能，为后续的动态分析和清除工作奠定基础。