动态分析

动态分析会在受控环境中运行恶意软件，并观察其行为：创建的文件、注册表更改、生成的进程以及网络流量。

它可以揭示样本实际执行的操作，包括因加壳而无法通过静态分析发现的行为。

只能在隔离的沙箱中运行恶意软件：使用带有干净快照的虚拟机，并确保可以恢复到该快照。

使用仅主机网络或虚假网络，使恶意软件无法连接互联网或您的真实系统。绝不要在连接到生产网络的计算机上进行分析。

在引爆样本之前，请为虚拟机创建一个干净的快照。分析完成后恢复到该快照，以清除恶意软件造成的所有更改。

这样，您就可以从完全相同的初始状态反复运行样本。

Procmon（进程监视器）会实时记录文件、注册表和进程活动。按样本的进程名称进行筛选，可以准确显示它访问的内容。

这可以揭示被释放的文件、创建的注册表项和持久化机制。

Process Explorer 和 Process Hacker 可以显示正在运行的进程、父子关系和被注入的线程。

恶意软件经常生成子进程，或注入到 explorer.exe 等合法进程中以隐藏自身。

使用 Wireshark 捕获流量，并使用 INetSim 或 FakeNet-NG 模拟互联网服务。恶意软件会以为自己已连接到服务器，而您可以安全地记录其请求。

这可以暴露命令与控制域名、信标通信和数据外泄尝试。

通过动态分析，您可以收集入侵指标（IOCs）：

• 文件哈希值和被释放的文件名。
• 用于持久化的注册表项。
• C2 域名和 IP 地址。
• 互斥体名称。

IOCs 可以帮助防御人员检测并阻止威胁。

观察恶意软件如何在重启后继续存在。常见方法包括：

• 注册表中的运行键。
• 计划任务。
• 服务。
• 启动文件夹中的条目。

持久化位置是高价值的 IOC，也是应重点清除的目标。

复杂的恶意软件能够检测沙箱并拒绝运行。它可能检查虚拟机痕迹、运行时间过短、CPU 核心数过少或调试器是否存在。

有些恶意软件会延迟执行，或要求用户进行交互。识别这些规避技巧是动态分析的一部分。

Cuckoo Sandbox 等工具以及在线服务（Any.Run、Hybrid Analysis）可以自动引爆样本并生成行为报告。

它们可以加快初步分析，但仔细的人工分析仍能发现自动化工具遗漏的内容，尤其是具有规避能力的样本。

静态分析和动态分析可以相互补充。静态分析揭示功能并提供线索；动态分析确认实际执行的内容。

分析人员通常会在两者之间反复切换：静态发现的字符串会指导动态观察的重点，而观察到的行为则会指向反汇编器中需要阅读的代码。

回想一下，引爆恶意软件之前最关键的安全步骤是什么。

现在您已经了解恶意软件动态分析：

• 在带有干净快照和模拟网络的隔离虚拟机中运行样本。
• 使用 Procmon、Process Explorer 以及 Wireshark + INetSim 进行监控。
• 收集 IOCs 并识别持久化机制。
• 留意反分析规避技巧。

接下来，您将通过反汇编阅读代码本身。