腾讯开源恶意软件分析工具 HaboMalHunter
jopen 8年前
<p style="text-align: center;"><a href="/misc/goto?guid=4958988167333003630" title="QQ"><img alt="腾讯开源恶意软件分析工具 HaboMalHunter" src="https://simg.open-open.com/show/948dd5e7261f8a03e4bddf7080946f42.png" /></a></p> <p>1 月 17 日，腾讯宣布正式开源恶意软件分析工具 HaboMalHunter。</p> <p>HaboMalHunter 是哈勃分析系统的开源子项目，用于 Linux 平台下进行自动化分析、文件安全性检测的开源工具。使用该工具能够帮助安全分析人员简洁高效的获取恶意样本的静态和动态行为特征。分析结果中提供了进程、文件、网络和系统调用等关键信息。</p> <p><strong>功能清单</strong></p> <p>开源代码支持 Linux x86/x64 平台上的 ELF 文件的自动化静态动态分析功能。</p> <p><strong>静态分析</strong></p> <ol> <li> <p>基础信息：包括文件 md5，名称，类型，大小和 SSDEEP 等信息。</p> </li> <li> <p>依赖 so 信息：对于动态链接的文件，输出依赖的 so 信息。</p> </li> <li> <p>字符串信息</p> </li> <li> <p>ELF 头信息，入口点</p> </li> <li> <p>IP 和端口信息</p> </li> <li> <p>ELF 段信息，节信息和 hash 值</p> </li> <li> <p>源文件名称</p> </li> </ol> <p><strong>动态分析</strong></p> <ol> <li> <p>动态运行启动结束信息：耗时等</p> </li> <li> <p>进程信息：clone 系统调用，execve 调用，进程创建结束等</p> </li> <li> <p>文件操作信息：打开，读取，修改，删除等文件 IO 操作</p> </li> <li> <p>网络信息：TCP, UDP, HTTP, HTTPS, SSL 等信息</p> </li> <li> <p>典型恶意行为：自删除，自修改和自锁定等</p> </li> <li> <p>API 信息：getpid, system, dup 等 libc 函数调用</p> </li> <li> <p>syscall 序列信息</p> </li> </ol> <p style="text-align:center"><img alt="腾讯开源恶意软件分析工具 HaboMalHunter" src="https://simg.open-open.com/show/5ce9c17e470dbc527ba4707aa217cf84.png" /></p> <p>目前该项目已完成使用 volatility 和 LiME 进行内存分析，以及将输出的 json 数据格式转化成为 HTML 页面进行展示等功能，未来将会增加更多的病毒规则(./util/yara/malware)。</p> <p>来自: <a href="/misc/goto?guid=4958998393862698157" id="link_source2">开源中国社区</a></p>