Defensive malware analyst

何时使用

用于防御目的的可疑样本分析，典型场景：事件响应与取证、威胁情报研究、安全产品（检测规则）开发、学术研究、CTF。目标是理解样本行为、提取 IOC、产出检测规则与分析报告。

不该用（负边界，硬约束）： 编写或分发恶意代码；未授权攻击或渗透；恶意绕过安全产品；搭建 botnet / C2 基础设施；任何未经授权的攻击性操作。开始前必须确认是防御/已授权用途，否则停下并询问。

步骤

按四个阶段递进，先静态后动态，全程在隔离实验环境（断网/仿真网络的虚拟机、可回滚快照）中操作。

阶段 1 — 识别与分类（triage）

file sample.exe                 # 文件类型
sha256sum sample.exe            # 哈希（同时记录 MD5/SHA1）

阶段 2 — 表层信息提取

strings -a sample.exe | head -100   # 明文字符串
FLOSS sample.exe                    # 提取混淆/加密字符串
diec sample.exe                     # Detect It Easy：识别壳
exeinfope sample.exe
rabin2 -i sample.exe                # 导入表
dumpbin /imports sample.exe         # Windows 下导入分析

阶段 3 — 静态分析

1. 用反汇编器加载：Ghidra / IDA Pro / Binary Ninja。
2. 定位入口：Entry point、WinMain、DllMain。
3. 梳理执行流：关键分支与循环。
4. 识别能力：网络、文件、注册表、进程操作。
5. 提取 IOC：C2 地址、文件路径、互斥体（mutex）名。

阶段 4 — 动态分析

1. 环境准备：
   - 安装常见软件的 Windows VM（带快照）
   - Process Monitor、Wireshark、Regshot
   - API Monitor 或 x64dbg（开日志）
   - INetSim / FakeNet 模拟网络（避免真实外连）
2. 执行：
   - 先启动监控工具，再运行样本
   - 观察 5-10 分钟，触发功能（如联网）
3. 记录：网络连接、文件增改、注册表变化、派生进程、持久化机制

指令

• 先澄清目标、约束与必需输入（样本、授权、安全边界、成功标准）；缺失则停下询问。
• 静态优先、动态在隔离环境兜底；先启动监控再执行样本。
• 重点排查三类常见技术并对照提取证据：
  • 持久化：注册表 Run 键（HKCU/HKLM\...\CurrentVersion\Run）、计划任务（schtasks）、服务（CreateService/sc.exe）、WMI 订阅、DLL/COM 劫持、启动文件夹、MBR/VBR。
  • 逃逸：反虚拟机（CPUID/计时）、反调试（IsDebuggerPresent、NtQueryInformationProcess）、反沙箱（Sleep 加速、鼠标活动）、加壳（UPX/Themida/VMProtect）、混淆、进程镂空（process hollowing）、就地取材（PowerShell/certutil）。
  • C2 通信：HTTP(S) 混入、DNS 隧道、DGA、fast flux、Tor/I2P、社交媒体/云服务作信道。
• 脱壳工具：Unipacker、x64dbg+Scylla（重建 IAT）、PE-sieve（检测镂空）、UPX。
• 产出可验证结果：IOC 清单、YARA 规则、结构化报告。输出不替代环境特定的验证与专家复核。

示例

IOC 提取清单（YAML）

Network: { IP(C2服务器), 域名, URL, User-Agent, JA3/JA3S 指纹 }
FileSystem: { 创建的文件路径, 哈希(MD5/SHA1/SHA256), 文件名, mutex 名 }
Registry: { 被改键, 持久化位置 }
Process: { 进程名, 命令行参数, 被注入进程 }

最小 YARA 规则

rule Malware_Generic_Packer
{
    meta:
        description = "Detects common packer characteristics"
        author = "Security Analyst"
    strings:
        $mz = { 4D 5A }
        $upx = "UPX!" ascii
        $section = ".packed" ascii
    condition:
        $mz at 0 and ($upx or $section)
}

报告结构（Markdown）：执行摘要（识别/关键发现/威胁等级）→ 样本信息（哈希、类型大小、编译时间、壳）→ 静态分析（导入导出、可疑字符串、代码发现）→ 动态分析（行为、网络、持久化、逃逸）→ IOC（网络/文件/注册表）→ 建议（检测规则、缓解、修复）。

注意事项

• 始终在隔离环境操作：断网或仿真网络（INetSim/FakeNet）、虚拟机快照、执行后回滚，避免感染扩散或真实外连。
• 动态分析前务必先启动监控工具，否则会漏掉早期行为。
• 样本可能含反沙箱/反调试，行为不触发时考虑触发条件（联网、特定时间、用户交互）。
• 输出仅供防御参考，不替代环境特定的测试与专家复核。
• 始终确认防御/授权用途；触及负边界即拒绝并说明。

互见

• 威胁情报与 IOC 管理、事件响应流程类技能（如有）。
• 逆向工程 / 二进制分析、网络流量取证类技能（如有）。

---

采编自 sickn33/antigravity-awesome-skills（MIT 许可）。