27、基于网络杀伤链模型的远程访问木马分析

基于网络杀伤链模型的远程访问木马分析

1. 静态分析方法的挑战与动态分析的必要性

在对恶意软件进行分析时，静态分析方法虽取得了不少成果，但也面临着巨大挑战。静态分析方法在处理新的、未知的恶意软件时存在复杂性，这是因为新的恶意软件采用了反问题解决机制和防御技术，阻止代码分支被分析。而且，我们并不总是能够获取恶意软件的代码结构，恶意软件还有可能对其代码结构进行编码，在这些情况下，静态分析方法往往就失去了作用。因此，为了解决这些问题，动态分析方法应运而生。

静态分析可以提取一些特征，在沙箱执行后，恶意软件可能会创建文件和注册表项以驻留在系统中，启动新进程并与控制和命令服务器进行通信。具体的分析结果如下：
- 进程相关 ：能够显示恶意软件创建的进程。
- 域名解析 ：分析过程中解析的域名（将域名转换为 IP 地址的活动）。
- 网络连接 ：建立的网络连接。
- API 调用 ：显示每个进程调用的 API 列表，包含 API 使用场景（如访问网络、系统文件、注册表、服务、集成等）、API 调用时间、API 名称、输入值和 API 参数、API 输出值以及重复次数。
- 系统文件变化 ：显示系统文件的变化（添加新文件、更改文件、删除文件）。
- 注册表变化 ：显示 Windows 注册表的变化。
- 互斥体使用 ：显示创建和使用的互斥体。

网络连接部分的分析结果