病毒分析教程第一话--静态特征分析

静态特征分析

---

教程参考自《恶意代码分析实战》
程序来自：http://www.nostarch.com/malware.htm

---

静态特征分析可以说是分析一个病毒的前奏，属于比较简单的分析。分析环节包括：VT检测、编译时间、加壳信息、导入函数、可疑字符串，等等。

---

Lab 1-1

本节实验使用到两个样本Lab01-01.dll和Lab01-01.exe。

VT检测

Lab01-01.dll检出率不算高，仅有31个杀软对它报毒，其中基本是归类到木马（Trojan）。

Lab01-01.exe被37个杀软报毒，同样的，也基本是归类到木马类。

编译时间

很多种PE工具都可以检测出文件的编译时间，其原理也很简单，就是找到Image File Header中的Time Date Stamp字段并将其转换一下。

可能大家有个更简单的方法，就是直接右键属性，查看修改时间。但请看下图，显示的时间是错误的，所以为了保险起见，还是使用上述的方法。

这里大家可能有个疑问，若病毒编译好后作者将此字段修改了，那么岂不是显示出来的时间是错误的？是的，很多病毒作者确实使用这种方法来增强隐蔽