查看: 4341|回复: 11
收起左侧

[分享] 【转自吾爱】如何快速判断一个文件是否为病毒

  [复制链接]
时间看得见
发表于 2017-2-1 22:23:50 | 显示全部楼层 |阅读模式
先说一下写这篇文章的背景和目的。现在吾爱的『原创发布区』和『精品软件区』人气很旺,发布的软件非常多。但也有一些小人,在发布的软件里插些小玩具,当灰客。论坛派专人检测也是很困难的,工作量太大,查不过来,因此很大程度上要靠用户自己识别,于是就有了这篇文章。需要说明一下的是,这篇文章主要是快速辨别正常文件与病毒,我自己也不是专业人员,方法是我自己总结出来的,很业余,不过我觉得还是有些用处的。如果你有更好的办法,欢迎跟帖提出。下面正文开始。

分析一个文件是否为病毒有多种方法,比如用OD这样的调试器,用HIPS都可以达到目的。在这里主要讨论一下快速判断的方法,用最短的时间,最少的知识,来判断一个文件是否安全。

先说一下必要的工具:Sandboxie、PEID、OD以及你的杀毒软件。

比如说,我从论坛上下载一个别人发布的软件,这时候杀毒软件也许会报毒。这种情况下,先看一下报的病毒名。如果报的是“Win32/Packed.VMProtect.AAA 特洛伊木马 的变种”这样的壳,那么可以稍稍放松下警惕。对于一些壳,杀软脱不了,为了方便,就把这种壳当作病毒来处理。另外,如果是“Win32/Hupigon.NUK 特洛伊木马”以及“Win32/Parite.B 病毒”这类的,就需要注意,这个文件可能被人恶意插入木马,或者被感染过。从杀软报的病毒名基本可以判断出这个文件是真的有问题,还是属于杀软的误报。然而,也有一些例外。比如“Trojan.Win32.Generic.122E105A”,这个一看就是云安全分析出来的病毒,没有什么有效的信息,所以无法通过病毒名判断是否是误判。

根据杀软的信息,可以对该文件的安全性有一个初步的了解。我想不会有人完全信任杀软的,更多的还是信任自己。用PEiD查一下壳,如果是一些简单的压缩壳,就在沙盘中运行OD,脱掉,分析。这时要做的不是一步步跟下去,而是找一下这个文件调用的API。在反汇编窗口右击,查找——当前模块中的名称(标签)。


观察一下API,这时也是有所取舍的。对于字符函数和字符串处理函数这类的,可以忽略过去;对于注册表函数、文件函数则要多加留意。比如说,看到了CreateFile,就在这个函数上下断,注意看有没有对系统敏感位置写入文件。同样,查看字符串也是有效的方式。一般地,可以从字符串找出一些病毒的特征。比如有的灰鸽子会有“客户端安装成功”之类的字样,发现一些邮件地址以及相应密码的。这些都是很可疑的。遇到一些猛壳,脱掉它是很困难的,这时可以借助下沙盘。


让程序在沙盘里完全运行,之后终止所有程序。


查看一下程序生成了什么。


从程序生成的文件基本可以判断是否是病毒了。当然,也不乏一些检测沙盘、虚拟机的小东西。在病毒样本区的页面上方有在线沙盘的链接。分析的结果十分具体,可以用来参考。如果你觉得手工检测太麻烦,可以借助在线沙盘,既快又详细。


这样,举个例子吧.

http://www.52pojie.cn/viewthread.php?tid=58683 这是小生对一个带毒外{过}{滤}挂的分析,大家可以看看录像,很有学习意义.下面我按照上面说的方法做一下.

先查一下壳,应该是没壳的.


此时我比较喜欢用PEiD的反汇编工具看看字符串,这个功能很方便.


注意选中的部分,很可疑.是一个URL,指向的还是个exe文件.这时应该怀疑这个外{过}{滤}挂是个下载器.

下面将它用OD载入(在沙盘或虚拟机中进行),看一看当前模块中的名称(标签),有一个URLDownloadToFileA,这个函数可以实现将一个网络上的文件下载到本地的功能,一般的ShellCode常用到它.


在输入函数上切换断点,运行,可以看出具体的行为.

在此之后要做的就是对下载下来的这个文件进行分析(地址竟然还有效..).


一般来说微软的程序不会有这样的图标,而一个外{过}{滤}挂莫名其妙地下载微软的东西,很奇怪,只能说是欲盖弥彰,所以可以直接毙掉了.

同理,如果用沙盘直接运行,最终会在沙盘里提取到这个文件,会发现在临时目录里.在外{过}{滤}挂的目录下还会发现一个隐藏文件,应该就是干净的外{过}{滤}挂.

挂的这个马应该变了,与小生附件中的程序已经不同了.

如果你认为很麻烦,可以直接把它扔到在线沙盘里,让机器替你分析.

比如说我认为下载下来的这个文件nSPack壳比较难脱,或者说我根本不会脱壳,那么就打开http://camas.comodo.com/cgi-bin/submit ,选择文件路径,然后Upload File,静候几分钟,就可以出结果,其它的在线沙盘也是大同小异.

这次找例子找的很麻烦,我没有存样本的习惯,那些发木马的检测出来之后都被封掉了,他们的光辉附件也就找不到了,没有合适的例子.况且拿货真价实的病毒来测也有点不大现实.在论坛找了好久才找到仅存的这个程序,以后如果在遇到发木马的我会拿它当例子讲一讲^_^

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?快速注册

x

评分

参与人数 1人气 +1 收起 理由
天耀群星 + 1 精品文章

查看全部评分

引领五基生活
发表于 2017-2-1 22:42:39 | 显示全部楼层
感谢分享🙏
残缺的神
发表于 2017-2-2 09:51:39 | 显示全部楼层
虽然我有沙盒  不过好专业  小白看不懂
lifan88
发表于 2017-2-4 15:13:51 | 显示全部楼层
这个方法如果不出什么意外的话比HIPS分析得更加透彻和准确
JohnScottZ
发表于 2017-2-5 01:31:58 | 显示全部楼层
多谢,学习了!
伊川书院
发表于 2017-2-5 21:23:25 | 显示全部楼层
最快速的方法是大家都在用的方式:弱眼观察

dg1vg4
发表于 2017-2-5 21:54:32 | 显示全部楼层
技术经验贴,学习了。
北斗
发表于 2017-2-6 01:23:16 来自手机 | 显示全部楼层
多谢分享,学习一下
北斗
发表于 2017-2-6 01:23:32 来自手机 | 显示全部楼层
多谢分享,学习一下
丶晚妆
发表于 2017-2-6 10:32:43 | 显示全部楼层
不明觉厉,希望以后能有更多更加直白的帖子,毕竟这是给小白看的。
您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-3-28 18:41 , Processed in 0.136954 second(s), 18 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表