26、Linux系统恶意软件分析全攻略

Linux系统恶意软件分析全攻略

1. 自动化恶意软件分析框架

自动化行为分析过程是高效分类和处理恶意代码样本，快速获取样本情报的有效解决方案。近年来，不少研究人员开发了自动化恶意软件分析框架，这些框架将众多流程和工具结合并自动化，用于集体监控和报告目标恶意代码样本的运行时行为。虽然很多工具是为Linux平台开发的，但目前还没有能处理ELF文件的自动化恶意软件分析框架。不过，这些工具在文件分析过程中，对在了解样本的文件类型、目标操作系统、性质和用途之前对可疑文件进行分类很有帮助。

2. 在线恶意软件分析沙箱

将恶意软件样本提交到在线恶意软件分析沙箱，是快速获取可疑程序行为分析概述或作为相关调查工具的有用分析选项。虽然目前没有能处理Linux ELF文件的在线恶意软件分析沙箱，但这些服务可作为预分析分类平台，用于识别文件类型和感兴趣的文件。

2.1 在线恶意软件扫描器特点

• 在线恶意软件扫描器在模拟互联网或“沙盒”网络中执行和处理恶意软件，通常会为提交方提供一份详细报告，说明沙盒系统和网络中捕获的系统和网络活动。
• 提交包含个人、敏感、专有或其他机密信息的样本，可能违反受害公司的公司政策，或侵犯与该信息相关的所有权、隐私或其他公司或个人权利。在将此类样本提供给第三方检查之前，应寻求适当的法律指导。

3. 嵌入式工件提取与静态分析

成功执行恶意代码样本（如有混淆代码，需先提取）后，重新检查样本中的嵌入式工件，并对样本进行更深入的静态分析。使用相关工具、技术和协议重新分析可执行文件，尤其要关注字符串、符号信息和文件元数据，这些可能揭示程序的目的和功