惡意程式分析入門：在安全環境中學習逆向工程

目錄

1. 惡意程式分析概述

2. 建構安全的分析環境

3. 基礎逆向工程概念

4. 靜態分析技術與工具

5. 動態分析技術與工具

6. 常見惡意程式行為分析

7. 分析報告撰寫與分享

8. 實戰演練案例

9. 進階學習資源與方向

10. 法律與倫理考量

1. 惡意程式分析概述

1.1 什麼是惡意程式分析？

惡意程式分析是一門結合逆向工程、系統知識和安全技術的專業領域，旨在理解惡意軟體的行為、功能、意圖和影響。分析師透過系統化的方法拆解惡意程式，揭示其運作機制、傳播方式、持久性技術以及最終目標。

1.2 分析的重要性

在當今數位時代，惡意程式已成為網路安全的主要威脅之一。惡意程式分析不僅有助於：

• 開發檢測簽名和防護機制

• 理解攻擊者的戰術、技術和程序（TTPs）

• 協助事件回應和損害評估

• 為法律行動收集證據

• 提升整體網路安全防護能力

1.3 分析類型概覽

惡意程式分析主要分為兩大類：

靜態分析：在不執行程式的情況下檢查惡意程式，包括：

• 檔案結構分析

• 反組譯與反編譯

• 字串和資源提取

• 熵值計算和雜湊比對

動態分析：在受控環境中執行惡意程式並觀察其行為：

• 系統監控（檔案、註冊表、網路活動）

• 記憶體分析

• API呼叫追蹤

• 行為模式識別

2. 建構安全的分析環境

2.1 環境隔離原則

安全分析環境的首要原則是隔離。惡意程式不應有機會感染實際的工作系統或網路。

物理隔離：

• 專用分析設備，不連接公司主要網路

• 實體隔離的網路環境

• 硬體開關控制網路連接

邏輯隔離：

• 虛擬化環境（VMware、VirtualBox、Hyper-V）

• 容器化技術（Docker，但風險較高）

• 軟體定義的網路隔離

2.2 虛擬化環境配置

虛擬機器設定：

1. 使用快照功能：在乾淨系統狀態建立快照，分析後可快速還原

2. 禁用共享功能：關閉剪貼簿、檔案共享等VM與主機的交互功能

3. 隔離網路：

   • 使用僅主機（Host-Only）網路

   • 或使用內部網路（Internal Network）

   • 必要時使用模擬網際網路服務的蜜罐環境

分析專用作業系統：

• REMnux：專為惡意程式分析設計的Linux發行版

• Flare VM：Windows環境的惡意程式分析工具集

• 自訂輕量級Windows/Linux安裝

2.3 網路環境控制

虛擬網路配置：

• 使用虛擬網路編輯器創建隔離的網路環境

• 配置模擬服務（偽DNS、HTTP、SMTP等）

• 使用Inetsim或FakeNet-NG等工具模擬網路服務

流量監控與控制：

• Wireshark：網路封包捕獲與分析

• tcpdump：命令列封包分析工具

• Burp Suite：HTTP/HTTPS流量攔截與分析

2.4 防護措施

主機保護：

• 定期更新主機系統和虛擬化軟體

• 使用主機防火牆限制虛擬機對外連接

• 禁用不必要的服務和功能

分析環境保護：

• 在虛擬機中使用帳戶權限限制

• 配置Windows群組原則限制惡意行為

• 使用工具如Process Hacker或System Explorer監控系統狀態

3. 基礎逆向工程概念

3.1 計算機架構基礎

x86/x64架構：

• 暫存器（Register）：EAX、EBX、ECX、EDX、ESP、EBP、EIP等

• 記憶體定址模式

• 堆疊（Stack）與堆積（Heap）結構

• 呼叫慣例（Calling Conventions）：cdecl、stdcall、fastcall

組合語言基礎：

• 常見指令：MOV、PUSH、POP、CALL、JMP、CMP、TEST

• 算術與邏輯運算

• 控制流程指令

• 函數呼叫與返回

3.2 可執行檔格式

PE格式（Windows）：

• DOS頭部（MZ頭）

• PE檔案頭（Signature、File Header、Optional Header）

• 節區（Sections）：.text、.data、.rdata、.rsrc等

• 導入表（Import Table）與導出表（Export Table）

• 資源段（Resources）

ELF格式（Linux）：

• ELF頭部

• 程式頭表與節區頭表

• 符號表與字串表

• 重定位資訊

3.3 作業系統概念

Windows API：

• Kernel32.dll：核心系統服務

• User32.dll：使用者介面功能

• Advapi32.dll：註冊表和服務管理

• Ntdll.dll：原生API介面

處理程序與執行緒：

• 處理程序記憶體空間

• 執行緒排程與同步

• 動態連結庫（DLL）載入機制

持久性機制：

• 註冊表自動啟動項

• 服務安裝

• 排程任務

• 檔案關聯劫持

4. 靜態分析技術與工具

4.1 初步檢查與分類

檔案識別：

• file命令（Linux）：識別檔案類型

• TrID：檔案類型識別工具

• ExifTool：檢查檔案元數據

雜湊計算：

• MD5、SHA-1、SHA-256：用於檔案唯一識別和比對

• SSDEEP：模糊雜湊，識別相似檔案

熵值分析：

• 檢測加壓縮或加密內容

• 高熵值可能指示加殼或加密

4.2 反組譯與反編譯

反組譯工具：

• IDA Pro：業界標準，功能強大

• Ghidra：NSA開源逆向工程工具

• radare2：開源命令列逆向工程框架

• Binary Ninja：現代化逆向工程平台

反編譯工具：

• Ghidra：內建反編譯功能

• IDA Pro + Hex-Rays：高品質反編譯

• RetDec：開源反編譯器

• dnSpy：.NET程式反編譯工具

4.3 字串分析

可列印字串提取：

• strings命令：提取可列印字串序列

• FLOSS（FireEye Labs Obfuscated String Solver）：識別混淆字串

• 編碼字串識別：Base64、XOR、ROT13等

字串分析的價值：

• 識別C2（命令與控制）伺服器網址

• 發現API函數名稱

• 找到錯誤訊息和調試資訊

• 發現配置數據

4.4 資源分析

PE資源提取：

• Resource Hacker：可視化資源編輯器

• PE Explorer：PE檔案資源檢視器

• resources命令（Ghidra腳本）

常見資源類型：

• 圖示、游標、點陣圖

• 對話框、功能表

• 版本資訊

• 嵌入式二進位檔案

4.5 加殼與混淆檢測

加殼識別：

• PEiD：傳統加殼識別工具

• Exeinfo PE：現代加殼識別工具

• Detect It Easy（DIE）：多功能偵測工具

常見加殼類型：

• UPX：開源可執行檔壓縮器

• ASPack：商業壓縮加殼工具

• VMProtect：虛擬化保護加殼

• Themida：商業保護套件

去殼技術：

• 手動去殼：使用調試器尋找原始進入點（OEP）

• 自動去殼工具：unpacker腳本和插件

• 記憶體傾印：執行加殼程式後傾印記憶體

5. 動態分析技術與工具

5.1 系統監控工具

檔案系統監控：

• Process Monitor（ProcMon）：即時檔案、註冊表、程序活動監控

• API Monitor：API呼叫追蹤

• FileActivityWatch：檔案活動監控

註冊表監控：

• Regshot：註冊表快照比對工具

• Process Monitor：即時註冊表活動監控

網路活動監控：

• Wireshark：完整的網路封包分析

• TCPView：處理程序網路連接檢視

• Fiddler：HTTP/HTTPS流量代理

5.2 調試器與分析工具

調試器：

• x64dbg：開源Windows調試器

• OllyDbg：傳統Windows調試器

• WinDbg：Microsoft官方調試器

• GDB：Linux調試器

記憶體分析：

• Volatility：開源記憶體取證框架

• Rekall：記憶體取證工具

• WinDbg：Windows記憶體分析

行為分析沙箱：

• Cuckoo Sandbox：開源自動化惡意程式分析系統

• Joe Sandbox：商業沙箱分析平台

• Hybrid Analysis：免費線上沙箱服務

5.3 API 監控與掛鉤

API監控原理：

• DLL注入技術

• API函數掛鉤（Hooking）

• 調試斷點

實用工具：

• API Monitor：詳細API呼叫監控

• Rohitab's API Monitor：輕量級API監控器

• Frida：動態插樁工具框架

5.4 惡意程式交互分析

模擬用戶交互：

• 自動化點擊和輸入

• 模擬網路服務回應

• 觸發特定條件行為

環境感知繞過：

• 檢測虛擬環境和沙箱

• 識別分析工具存在

• 要求特定用戶交互

6. 常見惡意程式行為分析

6.1 傳播機制

電子郵件附件：

• 偽裝為文件、發票、履歷表

• 使用社會工程技巧誘使用戶執行

漏洞利用：

• 軟體漏洞（如瀏覽器、Office、PDF閱讀器）

• 服務漏洞（如SMB、RDP）

• 零日漏洞攻擊

可移動媒體：

• 自動執行功能（Autorun）

• 偽裝為正常檔案或資料夾

網路共享：

• 弱密碼攻擊

• 共享資料夾傳播

6.2 持久性技術

註冊表自動啟動：

• Run鍵值

• RunOnce鍵值

• 映像檔劫持（IFEO）

服務安裝：

• 創建Windows服務

• 服務DLL劫持

排程任務：

• 通過任務排程器創建定期執行任務

• 利用系統維護任務

檔案關聯劫持：

• 修改檔案類型關聯

• 瀏覽器助手物件（BHO）

6.3 逃避與隱蔽技術

反分析技術：

• 檢測虛擬機環境（檢查處理程序、硬體特徵）

• 識別調試器和分析工具

• 檢測用戶交互和系統活動

混淆與加密：

• 字串加密

• 控制流程扁平化

• 虛擬機保護

• 多態和變形技術

無檔案惡意程式：

• PowerShell腳本

• 記憶體駐留

• 註冊表或WMI儲存

6.4 命令與控制（C2）通訊

通訊協議：

• HTTP/HTTPS：偽裝為正常網路流量

• DNS：隧道技術傳輸數據

• SMTP/IRC：傳統C2通道

• 社交媒體與雲端服務：使用合法服務

通訊模式：

• 定時信標（Beaconing）

• 拉取（Pull）與推送（Push）模式

• 域生成演算法（DGA）

• 快速流量（Fast Flux）技術

6.5 數據竊取與破壞

信息收集：

• 鍵盤記錄

• 螢幕截圖

• 檔案搜尋與過濾

• 憑據竊取（瀏覽器、郵件客戶端、FTP等）

數據外傳：

• 壓縮與加密

• 分塊傳輸

• 隱藏通道（Steganography）

破壞性行為：

• 資料加密（勒索軟體）

• 資料破壞（Wiper惡意程式）

• 系統破壞（MBR覆寫）

7. 分析報告撰寫與分享

7.1 報告結構與內容

執行摘要：

• 惡意程式基本信息

• 主要發現和影響評估

• 建議行動

技術分析：

• 靜態分析結果

• 動態分析結果

• 行為時間線

• IOC（入侵指標）清單

結論與建議：

• 風險評估

• 檢測建議

• 緩解措施

• 預防建議

7.2 IOC（入侵指標）提取

檔案指標：

• 雜湊值（MD5、SHA-1、SHA-256）

• 檔案名稱和路徑

• 檔案大小和時間戳

網路指標：

• IP位址和網域名稱

• URL模式

• 用戶代理字串

• 通訊協議和端口

主機指標：

• 註冊表鍵值

• 檔案路徑和名稱

• 處理程序名稱

• 服務名稱

7.3 分享與協作平台

惡意程式庫：

• VirusTotal：檔案與網址掃描

• MalwareBazaar：惡意程式研究交換平台

• Hybrid Analysis：線上沙箱分析

威脅情報平台：

• AlienVault OTX：開源威脅情報

• MISP：威脅情報共享平台

• ThreatConnect：威脅情報平台

社群與論壇：

• Malwarebytes Labs

• BleepingComputer

• Reddit r/Malware

• 專業安全會議（Black Hat、DEF CON等）

8. 實戰演練案例

8.1 案例一：簡單的下載器惡意程式

樣本信息：

• 檔案名稱：invoice.exe

• MD5：a1b2c3d4e5f678901234567890123456

• 檔案大小：2.3 MB

分析環境準備：

1. 創建Windows 10虛擬機快照

2. 配置Host-Only網路

3. 安裝Process Monitor、Process Explorer、Wireshark

4. 設定模擬網路服務（Inetsim）

靜態分析步驟：

1. 使用Exeinfo PE確認為UPX加殼的32位元PE檔案

2. 使用UPX脫殼工具去除壓縮殼

3. 在IDA Pro中載入脫殼後檔案

4. 識別主要函數和匯入表

5. 提取可讀字串，發現可疑URL

動態分析步驟：

1. 在虛擬機中執行惡意程式

2. 使用Process Monitor監控檔案和註冊表活動

3. 觀察網路連線嘗試

4. 捕獲下載的第二階段惡意程式

5. 分析記憶體中的惡意程式

發現與結論：

• 惡意程式偽裝為發票檔案

• 從C2伺服器下載並執行勒索軟體

• 在註冊表Run鍵中建立持久性

• 提供IOC和緩解建議

8.2 案例二：網路蠕蟲分析

樣本信息：

• 檔案名稱：svchost.exe（偽裝）

• SHA-256：abc123...

• 檔案大小：512 KB

分析重點：

1. 傳播機制分析

2. 橫向移動技術

3. 漏洞利用方法

4. 持久性機制

分析過程：

1. 使用Ghidra進行反編譯分析

2. 識別SMB漏洞利用代碼

3. 分析密碼爆破模組

4. 追蹤橫向移動腳本

5. 識別C2通訊協議

8.3 案例三：無檔案惡意程式分析

樣本信息：

• PowerShell腳本

• 通過惡意文件下載

• 記憶體中執行

分析挑戰：

1. 無持久檔案存在

2. 使用合法系統工具

3. 高度混淆的腳本

分析方法：

1. 解碼和去混淆PowerShell腳本

2. 分析腳本執行流程

3. 監控記憶體活動

4. 追蹤網路通訊

5. 分析持久性技術（WMI、註冊表）

9. 進階學習資源與方向

9.1 推薦書籍

入門書籍：

• 《Practical Malware Analysis》by Michael Sikorski and Andrew Honig

• 《The Art of Memory Forensics》by Michael Hale Ligh et al.

• 《Mastering Malware Analysis》by Alexey Kleymenov and Amr Thabet

進階書籍：

• 《Rootkits and Bootkits》by Alex Matrosov et al.

• 《Windows Internals》by Mark Russinovich et al.

• 《The IDA Pro Book》by Chris Eagle

9.2 線上課程與培訓

免費資源：

• Malware Unicorn的逆向工程教程

• OALabs的YouTube頻道

• OpenSecurityTraining.info課程

• SANS網誌和網路研討會

付費培訓：

• SANS FOR610：惡意程式逆向工程

• Offensive Security的EXP-301：Windows用戶態漏洞利用開發

• 各種安全會議的培訓課程

9.3 實戰平台與實驗室

CTF挑戰：

• Flare-On挑戰（FireEye每年舉辦）

• MalwareTech挑戰

• Practical Malware Analysis Labs

實驗環境：

• 自建惡意程式分析實驗室

• 使用預建虛擬機（REMnux、Flare VM）

• 雲端實驗環境（AWS、Azure中的隔離環境）

9.4 專業認證

相關認證：

• GIAC逆向工程惡意程式（GREM）

• Certified Malware Analyst（CMA）

• Offensive Security Certified Expert（OSCE）

9.5 研究與發展方向

新興技術分析：

• IoT惡意程式分析

• 移動平台惡意程式（Android/iOS）

• macOS和Linux惡意程式

• 雲端環境惡意活動

高級分析技術：

• 機器學習在惡意程式檢測中的應用

• 行為分析與威脅狩獵

• 供應鏈攻擊分析

• 國家級攻擊（APT）分析

10. 法律與倫理考量

10.1 法律框架

智慧財產權：

• 軟體逆向工程的合法性因地區而異

• 合理使用原則的適用

• 授權協議的限制

電腦濫用法規：

• 未經授權的訪問限制

• 惡意軟體分發的法律責任

• 研究與防禦的例外情況

10.2 道德準則

負責任的研究：

• 僅在合法擁有的系統上分析惡意程式

• 防止惡意程式意外擴散

• 尊重隱私和數據保護

資訊共享責任：

• 負責任地披露漏洞

• 適當分享威脅情報

• 保護敏感資訊

10.3 最佳實踐

分析環境管理：

• 嚴格控制惡意樣本存取

• 定期清理和消毒分析環境

• 記錄所有分析活動

樣本處理：

• 安全儲存惡意程式樣本

• 使用密碼保護樣本檔案

• 僅在隔離環境中處理樣本

研究發表：

• 匿名化敏感資訊

• 提供有用的緩解建議

• 避免提供攻擊詳情

10.4 職業道德

能力與責任：

• 只在能力範圍內進行分析

• 承認知識限制

• 持續學習和提升技能

社會責任：

• 使用技能保護而非傷害

• 促進網路安全意識

• 支持執法和防禦社群

結語

惡意程式分析是一門不斷發展的學科，需要持續學習和實踐。初學者應從基礎開始，逐步建立分析技能，並始終在合法和道德框架內進行研究。通過系統化的學習路徑和實踐經驗，分析師可以發展出識別、分析和應對惡意威脅的能力，為網路安全防護做出貢獻。

記住，惡意程式分析不僅是技術挑戰，更是對耐心、創造力和系統思維的考驗。每一次分析都是學習的機會，每一份報告都有助於建立更安全的數位環境。

安全第一，道德至上，持續學習。

附錄：常用工具快速參考

注意事項：本文件僅供教育目的，讀者應在合法授權範圍內進行惡意程式分析，並遵守所有適用法律和道德準則。