4、恶意软件静态分析技术详解

恶意软件静态分析技术详解

1. 在线扫描工具及风险

在线扫描工具如 VirSCAN（http://www.virscan.org/）、Jotti Malware Scan（https://virusscan.jotti.org/）和 OPSWAT’s Metadefender（https://www.metadefender.com/#!/scan-file），允许使用多个杀毒扫描引擎对可疑文件进行扫描，部分工具还支持哈希查找。

在使用杀毒扫描器扫描二进制文件或提交二进制文件到在线杀毒扫描服务时，需考虑以下因素和风险：
- 检测误判 ：若可疑二进制文件未被杀毒扫描引擎检测到，并不意味着它是安全的。杀毒引擎依赖签名和启发式方法检测恶意文件，恶意软件作者可修改代码和使用混淆技术绕过检测。
- 信息共享风险 ：将二进制文件上传到公共网站时，提交的文件可能会与第三方和供应商共享。可疑二进制文件可能包含敏感、个人或组织专有信息，因此不建议将机密调查中的二进制文件提交到公共杀毒扫描服务。可使用加密哈希值（MD5、SHA1 或 SHA256）在基于网络的杀毒扫描服务的现有数据库中搜索。
- 扫描结果公开 ：将二进制文件提交到在线杀毒扫描引擎后，扫描结果会存储在其数据库中，且大部分扫描数据公开可查询。攻击者可利用搜索功能查询样本哈希，若样本被检测到，可能会改变策略以避免检测。

2. 字符串提取

字符串是嵌入文件中的 ASCII 和 Unicode 可打印字符序列。提取字符串能为程序功能和可疑二进制文件相关指标提供线索，如文件名、U