根据安恒APT云端在对来自北美的流量监控过程中，发现一封来自美国的可疑邮件，该邮件的主题是《您收到的优惠券》，发件人名称显示为“天猫”。...根据安恒APT沙箱分析报告显示，该exe样本的主要行为有：写入自启动注册表，增加自启动2；创建网络套接字连接；打开服务控制管理器；创建非常规服务；收集电脑网卡信息；收集计算机名（通过注册表）；获取当前用户名...根据安恒APT沙箱报告可自动分析其行为过程图： 其中关键的恶意行为有释放恶意文件行为，即在打开的过程中还会进一步释放两个其他恶意文件，用于执行后删除文件和拷贝覆盖文件： 进一步对其网络行为分析，发现其建立回传通道的关键服务器两个...安恒APT产品通过内置沙箱虚拟执行环境，可以对各种基于邮件附件传输的样本模拟运行分析，捕获其动态行为、网络行为、进程行为、文件行为、注册表行为等关键信息，识别其中可疑的勒索病毒特点，快速对网络中传输的勒索病毒样本进行预警...声明：本报告中所有分析截图均来自于安恒APT产品自动生成的沙箱分析报告
木马程序主要恶意行为TOP10 通过沙箱分析技术对恶意代码的行为进行分析，发现恶意木马程序的行为通常以收集计算机信息、从资源段释放文件并运行、创建网络套接字连接、枚举局域网资源,用于收集信息等恶意行为为主...图 4-6 “天猫”邮件样例 另外，该邮件还附带了一个附件，附件是压缩包格式，里面包含的样本实际类型为exe。 根据APT沙箱分析报告显示，该exe样本的主要行为有： ?...根据安恒APT沙箱报告可自动分析其行为过程图： ?...图 4-8 “天猫”附件样本动态行为过程 其中关键的恶意行为有释放恶意文件行为，即在打开的过程中还会进一步释放两个其他恶意文件，用于执行后删除文件和拷贝覆盖文件。...图 4-12 样本的某外连站点 可以发现大量恶意的程序存在上面，使用IDA打开恶意的json.dll看见大量恶意的指令，可以控制被黑“肉机”发起DDoS攻击，包含应用层和网络层各种DDoS攻击指令。
2 除了对邮件头欺骗、发件人欺骗、邮件钓鱼和邮件恶意链接检测外，一旦发现包含可疑邮件附件，通过内置沙箱虚拟执行环境，可以对各种基于邮件附件传输的样本模拟运行分析，捕获其动态行为、网络行为、进程行为、文件行为...、注册表行为等关键信息，识别其中可疑的样本特点，快速对网络中传输的恶意样本进行预警，及时通知被攻击方提高安全防范意识，防止出现被感染的情况。...提示：收到一封邮件，来自天猫的双十一优惠卷。 殊不知，另一场邮件门骗局拉开帷幕。。。 ? 但进一步对发件人的邮箱链接分析，发现实际发件人邮箱并非来自阿里巴巴。...根据安恒态势感知APT沙箱分析报告显示，该exe样本的主要行为有：写入自启动注册表，增加自启动2；创建网络套接字连接；打开服务控制管理器；创建非常规服务；收集电脑网卡信息；收集计算机名（通过注册表）；获取当前用户名...根据安恒态势感知APT沙箱报告可自动分析其行为过程图： ? 其中关键的恶意行为有释放恶意文件行为，即在打开的过程中还会进一步释放两个其他恶意文件，用于执行后删除文件和拷贝覆盖文件： ?
以下是安恒信息技术专家在客户现场进行技术支持中捕获到的几起典型案例样本，以及样本进行及时处置的说明。 客户案例一 事件起源： 5月12日晚上22点24分，勒索病毒急剧扩散。...进一步对告警信息进行深入分析，发现5个恶意文件均通过邮件方式传播，在内部沙箱系统中验证典型行为有：遍历文件、打开服务控制管理器、获取当前用户名、通过脚本文件发送HTTP请求、调用加密算法库等，这些行为表明该恶意文件就是我们一直关注的勒索病毒...以下为其中一起事件中样本行为的沙箱分析： ? 事件处理： 1)发现该攻击事件后，安恒信息的技术人员第一时间通知客户，及时对该邮件和附件进行删除。...客户案例五 事件起源： 5月15日下午，部署在某客户网络中的APT设备发现了一个PDF文件，沙箱分析结果显示行为有溢出成功、使用ShellExecute执行恶意文件等敏感行为，经过进一步分析发现，该PDF...进一步分析发现，都具有溢出成功，使用ShellExecute执行恶意文件等敏感行为，该PDF样本包含一个OpenAction，并直接指向ID：5的JS流，然后进一步通过指定服务器下载恶意程序，对本地文件进行加密操作
看见一片大海、一片星空、一片沙漠，是看见吗？正是由于有选择的不看见的能力，忽略过滤排除筛选，去除大量无效信息，才能拨云见日、从茫茫大海星空沙漠中看见更加有价值的东西。...沙箱云监测恶意软件家族 我们通过沙箱云等监测系统，持续关注互联网中的恶意软件的活跃动态。下图是我们通过沙箱云在一段时间内监测到的恶意软件样本的数量和各恶意软件家族占比的情况。...数据来源是用户在沙箱云提交监测的样本，还有我们内部通过样本运营流程检测的数据，大致反映了目前我们已知特征的恶意软件家族的活跃情况。...这首先需要一种针对恶意行为的自动化检测技术。 沙箱 我们使用沙箱技术来应对恶意行为的自动化检测。 什么是沙箱？...，得出评估结论：恶意、可疑或是正常的；与此同时，面向专业分析人员提供得出此评估结论的详细分析依据。
其中负载分析主要是指通过沙盒对样本进行更深层次的分析以发现依靠简单特征无法发现的高级威胁，但在对恶意样本分析的过程中，发现越来越多的逃逸和对抗样本，这些样本在对抗沙箱检测的过程中先会对虚拟机环境进行识别...4.4.3 样本同源性分析技术 样本同源性分析技术是对APT事件追踪关键的一个环节，恶意代码与正常程序的区别在于其运行后会对计算机及网络系统产生危害。...▲ 图 4‑18 勒索病毒行为调用过程 以下是样本同源性分析的具体思路： 通过沙箱可以提取所有样本的具体恶意行为，而其中一些样本是具有相应的规律的，尤其是出自相同的黑客组织，这些同源的恶意代码在具体的行为操作上有着相同或相似的片段...▲ 图 5‑1 勒索病毒分类 5.2 勒索病毒以遍历文件与加密行为为主 通过沙箱分析技术，可以对勒索病毒精准分类判断，通过沙箱取样分析并提取其中的关键行为，包括进程行为、文件行为、网络行为等信息，其中的典型恶意行为排序如下...▲ 图 5‑3 勒索病毒执行过程 在沙箱分析过程中发现了新型勒索病毒样本具备大量的反调试行为，用于对抗调试器的分析。
近日有卡饭网友向火绒提出12个问题，从产品性能到核心技术。这些问题非常棒，无论提问者是网友还是友商，火绒团队都非常愿意一起探讨。我们尝试一一作答如下。 ?...4、样本区测试火绒时很多时候都是扫描未发现风险，双击报毒，请问官方人员，这是怎么回事？这不会对电脑产生危险吗？扫描又不报毒。...火绒官网的“火绒安全解决方案”第三章对此有专门介绍。 5、官方说火绒有未知病毒防御，请问这是指未知病毒被火绒的恶意行为拦截和系统加固阻止了未知病毒的风险行为而使得未知病毒无法破坏电脑吗？...不管是“系统加固”还是别的防御措施，根本上都是基于对病毒行为的认知，因此火绒团队始终将病毒分析作为核心工作来做，而不是获取样本后简单地加库。...12、火绒怎么在样本区检出率很低呢？而智量的检出率却很亮眼，火绒不是有强大的虚拟沙盒吗？请官方人员做个解释。 回答： 关于检出率这个话题，火绒曾在《感谢您的质疑，容我们解释一二》里作过回答。
0012F2A8 处的值被覆盖为了 00630C12，其实，这个值覆盖成什么都行，下面的一个 call 会将该值修改为 00430C12，有兴趣的可以步入进去分析一下为什么。运行到返回地址处 ?...可以看到 00430C12 是 WinExec 的函数地址，用来执行构造的公式内容，下载 joe.src 并执行 接下来分析恶意样本 恶意样本分析 这个病毒非常恶心，经过了复杂的代码混淆，混淆器由 VB...这个 joe.src 样本肯定很多人都拿到了，但是基本上都没有把里面的银行木马拖出来，大部分人都是扔到沙箱里面进行运行，然而目前主流的沙箱并不能检测到这个银行木马的最终释放，剩下的内容，我主要分享脱这个银行木马的思路...最后 dump 出来的银行木马地址如下(只提供银行木马和 shellcode ) https://pan.baidu.com/s/1oV9mcVojEw-qOwARZW7uDg 小结 1、分析之前没有想到这个恶意样本这么复杂...2、这个银行木马藏的太深了，以至于从1月份的样本中提出来的银行木马竟然还能过那么多杀毒软件 3、这个银行木马我没有分析，有兴趣的可以自己玩玩，顺便给信安投个稿
背景 对于威胁情报的分析很大部分都是需要基于恶意样本为载体进行展开分析的，白帽研究员、二进制分析以及逆向研究员在学习和研究过程中，也需要各种类型的恶意样本进行研究分析。...2、https://capesandbox.com/analysis/ 这个平台有各种类型的外挂样本，因为样本更新率很高，样本量也非常多，可以通过关注下载最新的一些恶意样本进行最新攻防方法分析和挖掘最新威胁情报...3、https://tria.ge/reports/public 该平台的恶意样本量还有恶意样本的种类还是比较丰富的，同时也有对应的恶意样本的分析报告，可以结合需要进行获取恶意样本。...国内恶意样本源 1、微步在线云沙箱： https://s.threatbook.com/ 这个微步云沙箱平台的恶意样本也是各种类型都有并且样本量也很多，对恶意样本分析也很详细的。...2、奇安信威胁情报中心: https://ti.qianxin.com/ 这个平台的恶意样本和威胁情报分析还是很不错，对于威胁情报分析奇安信还是很专业的，可以结合前面平台进行分析和恶意样本获取。
该样本是云沙箱漏报的样本，需要人工分析漏报的原因，以及具体的行为分析。...反沙箱技术 该样本在运行初期，会调用 2 次 SetErrorMode 函数，通常我们分析病毒的时候，都是直接就跳过了，并没有往里面深入多想。但这却能成为反沙箱的技术手段。 ?...沙箱运用 cuckoosandbox 里有一段代码，沙箱会预先设置值用于监控错误的发生，这里就用到了 SetErrorMode 并且其中的参数有 SEM_NOALIGNMENTFAULTEX。...（ps：得要参与沙箱开发的才知道沙箱机制会使用这一段代码了） 如第一张图所示，恶意代码进行了 2 次的 SetErrorMode 函数，紧接着就是 cmp 对比。伪 C 代码示意： ?...病毒分析 往下的病毒分析主要就是写分析流程了，当时外网发布的那篇分析文章就十分之详细 样本是个伪装成 PDF 文件的 .exe 程序，拖入 IDA 静态分析在函数列表找到 wWinMain 入口函数 先做了恶意代码运行前的前期铺垫工作
然而11.11果真是一年中最优惠的时候吗？是否值得为了等待双十一的“优惠”而忍受长时间拥挤的物流呢？用数据来告诉你。 ?...双11历史成交量及涨幅情况 一、数据来源： 根据淘宝天猫双11的价格策略：主会场所有的产品在双11当天的价格必须低于9月15日-11月10日成交最低价的9折，并且双11当天的价格必须低于11月12日至12...为了解决这个问题，根据天猫双11主会场30个大类目分类，分别针对这些类目取样500个小分类，并且根据历史价格查询网站采集这15000个样本的在2016年的所有价格，这样就可以得到在2016年双11当天到底是不是最低价格...二、数据分析： 1、从整体来看，在2017年参加双11的产品中，在2016年双11当天是全年最低价的只占17.17%，而高达82.83%的商品在双11当天的价格并不是全年最低价格。...以上只是在价格层面上做分析，但是双十一真正的优惠其实是在满减活动上，这里突出反应的是一些商家可能存在在双11期间提高价格然后在满减上做出大幅度的优惠，所有这点还是需要区别对待的。
我们需要知道这个恶意代码到底做了什么，如何进行有效检测，才能进一步消除它带来的影响。 本文主要通过几个简单的步骤，分享恶意样本分析的基本方法。...---- 1、多引擎在线病毒扫描 找到了一个恶意样本程序，通过多病毒引擎进行安全扫描，可以帮助你判断文件是否为恶意程序。 VirSCAN：免费多引擎在线病毒扫描1.02版，支持47个杀毒引擎。...2、文件哈希值 文件哈希值是恶意代码的指纹，通过它用来确认文件是否被篡改，也可以通过HASH值查找恶意样本，一般我们也可以使用多种哈希验证文件的唯一性。 ?...可通过获取关键信息，来猜测恶意代码的功能。 ? 6、云沙箱分析 将恶意样本上传到微步云沙箱，通过威胁情报、静态和动态行为分析，以发现恶意程序存在的异常。...微步云沙箱： https://s.threatbook.cn/ ? 7、动态行为分析 通过火绒剑对文件行为、注册表行为、进程行为、网络行为进行分析，捕获恶意样本特征。 ?
三、ANY.RUN：https://any.run Any.Run是一种恶意软件分析沙箱服务，研究人员可以利用交互式Windows桌面查看恶意软件的行为，而Any.Run可以记录其网络活动，文件活动和注册表更改...研究人员在新的密码窃取木马垃圾邮件活动中发现，恶意软件会检测是否在Any.Run上运行，如果是恶意软件会自动退出而无法执行，因此沙箱无法对其进行分析。...七、微步在线云沙箱：https://s.threatbook.cn ThreatBook Cloud Sandbox恶意软件分析平台,与传统的反恶意软件检测不同，微步云沙箱提供完整的多维检测服务，通过模拟文件执行环境来分析和收集文件的静态和动态行为数据...用户可以通过简单的操作，上传样本并得知样本的基本信息、可能产生的行为、安全等级等等信息，从而更便捷地识别恶意文件。...大圣云沙箱是一款基于云端架构的高级威胁检测和恶意软件免费分析服务，通过引入沙箱技术对最新高级恶意软件进行虚拟执行、行为捕获等全面深入的分析检测。
Cuckoo Cuckoo(布谷鸟)沙箱是一个开源且免费的自动化的恶意样本分析系统。...，概述该文件在沙箱中执行时的行为,支持分析Windows, macOS, Linux, 和 Android下的恶意文件....当提交样本到cuckoo host后，cuckoo host会调度一个空闲的analysis guest节点，同时将样本传递给所选择的沙箱节点进行自动化分析，分析结束之后将沙箱节点采集到的分析数据进行汇总...等待状态变为reported说明已经分析完成，点击任务可查看分析报告 总结 总体来说cuckoo还是一款比较完善且专业的开源沙箱分析系统, 对于研究分析恶意软件和应急响应人员来说都是一个很不错的选择...稍有差错会导致运行失败 英文界面, 需要使用者具有一定的英语基础 内存分析时间太长, 基本都在半小时左右 更新迭代慢(最新版本为2019年发布) 默认的规则, 样本库对恶意软件的支持较少 对于新的恶意软件需要使用者自己编写
前期准备完成，便可以着手进行样本分析了。 样本可从app.any.run获取，使用邮箱免费注册后，便可以下载该沙箱的公开样本 小c随便在该沙箱选择了一个样本，下载，准备开搞 ?...---- 动态行为 ---- 在样本分析的过程中，首先通过虚拟机，沙箱等运行样本，看样本执行什么样的行为，再根据其行为去分析样本中代码，这样的方式有助于加快分析速度。...通过搜索引擎可知，该命令可将任何脚本、程序或文档设置在任何时间自动执行起来，恶意代码常通过此命令将自身设置到某个时间段运行，以达到在受害者计算机持久化运行的目的。...将释放的dllcheck.exe设置为计划任务，实现持久性 02 外部沙箱 这次选用微步在线沙箱（https://s.threatbook.cn/）运行样本试一下（在以后正式的工作中，最好别将公司安排分析的样本传到外部沙箱...，在实际静态分析恶意代码之前，可先通过查阅同家族样本相关报告，先熟悉该家族木马，再进行详细分析。
调查分析 在查看近期从云中加载恶意软件的攻击事件时，通常可以发现带有附件的垃圾邮件，附件是包含恶意可执行文件的.ISO文件。...通常，受害者的计算机上也不会留下任何痕迹，恶意文件仅停留在内存中，当分析人员查看机器时，恶意代码早已被清除。 ?...技术分析 下载流程 以Legion Loader恶意软件为例，被分析的样本非常小，因此必须要去下载和执行恶意软件。流程如下： ?...攻击者非常了解沙箱，shellcode包含许多技术来检查其是否在沙箱中运行。样本检查了窗口的数量，如果小于12，则静默退出。 ? 动态地解析API函数地址： ?...恶意软件运行完毕不会留下任何痕迹，给分析人员带来很大的难题，他们需要面对一系列的反分析措施以及云端安全功能。
CVE-2018-4878零日漏洞分析 我们对cve-2018-4878漏洞文件流进行分析，发现样本通过操作Flash的com.adobe.tvsdk包中的DRMManager对象进行攻击。...恶意荷载分析 最终执行的恶意荷载会分为两个阶段的程序，第一个阶段是Dropper荷载释放程序，第二个阶段是利用网络云盘进行C&C控制的后门程序。...在1月31日攻击正式对外曝光后，仍然有大量新的中招者向该云盘上传信息，在获取到的截屏信息中，我们发现了大量的病毒检测沙箱和样本分析人员。...从截屏信息中判断，大部分分析人员在根据https://github.com/brianwrf/CVE-2017-4878-Samples 中的样本在进行病毒分析。 ?...在截图排查中，我们还意外发现了疑似国内安全从业者的电脑桌面截屏，可能是其在下载分析样本时不慎中招。 ?
、沙箱做不了的操作；2、样本检查是否存在虚拟化环境、沙箱特征然后不释放恶意代码；然后是如何绕过内存dump的检测：1、我们可以借助一些小技巧来绕过内存dump的查杀，例如，内存dump肯定是有限制的，他不可能无限...）检查沙箱特征不运行：笔者在今年hw的时候分析了一些样本，其中又一些做了一些反虚拟化和反沙箱操作，这里我们直接借鉴，然后稍加增补即可；如这个go写的样本：这里我们直接借鉴一波，cpu个数，ram大小，开机时间的话可以看情况使用...：虚拟沙箱一般为了更快速的运行样本，会劫持sleep函数，来对抗一些企图通过延时运行来逃避检测的恶意样本；利用这特征我们可以检测当前环境是否是沙箱代码实现：/\* 反沙箱 虚拟化 检查...，因为有的沙箱为了让恶意样本运行，会去模拟一些环境来 满足支持恶意样本，比如域名解析，不管恶意样本需要解析什么域名，都会解析成功；我们熟知的WannaCry勒索软件病毒回来域名解析失败之后会造成勒索，因为其尝试解析就是一个根本不存在的域名...所以我们可以借助其sleep的特性来完成动态加解密这一操作；每次sleep之前加密内存种所有恶意代码，sleep之后解密还原内存中的恶意代码；这项技术有两个个难点：1、如何准确的找到其调用sleep的时机
检查恶意软件在主机中的行为，会对研究人员回溯病毒的来源、传播有重大好处。然后研究人员在进行IDA静态恶意软件逆向分析。...沙箱分析—Cuckoo 测试的过程中需要限制样本的影响，研究人员在沙箱解决方案中运行恶意软件样本。沙箱工具通常提供内存转储分析功能，因此可以更好地了解内存中发生的情况。...黑客知道，如果他们的恶意软件样本在虚拟机或沙盒中运行，病毒样本会被轻易的执行、行为检测或者自动化的逆向分析出来，黑客会选择自我保护、伪装。其实黑客与安全研究人员的沙箱之间的攻防战争，从来没有结束过。...沙箱可以在本地部署，并且需要一台主机(管理终端)和多个沙箱客户端(分析用虚拟机)，客户端数量取决于样本数量以及服务器性能。...Cuckoo沙箱有几种报告格式，包括普通格式、MAEC(恶意软件属性枚举和特征)格式。
Linux恶意文件在分析处置过程中，与其他环境恶意文件分析思路大体相同，但仍有其一些特有的特点困扰着linux管理员。...得益于安全社区的努力，目前已有大量在线病毒库提供各类恶意文件签名信息（部分提供样本下载），本次调研数据来源分别来自内外部，收集下外部网站恶意文件样本： http://www.virusign.com/...最终整合内外部数据，取样共2139个linux恶意文件样本，分布如下 ? 0x01....要使用后验判断的方式，避免恶意文件执行造成的风险，就需要采用沙箱或虚拟化技术，本文综合使用了cuckoo, Habo, Noriben三种沙箱，沙箱的部署使用方法不在本文赘述。...； （2）对关键系统命令，关键目录，定时任务进行完整性校验 （3）监控异常文件命名 （4）关注DNS请求，判断是否有可疑域名 （5）来自内网的扫描流量既可能来自别有用心的用户，也可能来自恶意文件，应予以重视
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
云直播
实时音视频
