恶意软件是指由网络犯罪分子设计的恶意程序，可通过创建后门入口来获得对计算设备的访问权，从而窃取个人隐私信息、机密数据，实施对计算机系统的破坏。为了更好地防护恶意软件，避免由恶意软件造成的危害，必须对恶意软件做多元化的分析，以了解恶意软件的类型、性质和攻击方法。

　　恶意软件分析工作最重要的包含在隔离环境下分析木马、病毒、rootkit、勒索软件或间谍软件等恶意软件家族的样本，运用很多方法，根据其行为了解攻击者动机、目的及恶意软件类型和功能等，并创建规则来实施相应的缓解措施。当我们分析受感染的机器或文件时，我们的目标主要包括：

　　有效的恶意软件分析能够在一定程度上帮助安全团队快速检测并防止攻击者实施破坏活动。本文将重点介绍目前常见的恶意软件分析方法及相关工具。

　　静态恶意软件分析包括提取和检查不同二进制组件和可执行文件的静态行为，比如API 标头、引用的DLL、便携式可执行（PE）区域以及更多此类内容。任何有悖于正常结果的偏差都记录在静态调查中。静态分析在不执行恶意软件的情况下完成，而动态分析一般是在受控环境下执行恶意软件来进行。

　　反汇编——程序能移植到新的计算机平台上，通过在不同环境中编译源代码来实现。

　　分析内存工件——在分析内存工件（比如RAM转储、pagefile.sys或hiberfile.sys）期间，检查方能开始识别流氓进程。

　　打包器检测——用于检测打包器、密码器、编译器、打包器加扰器、连接器和安装器。

　　Hybrid-analysis——使用独特的混合分析技术，检测和分析未知威胁。

　　BinText——该文件文本扫描器/提取器可帮助查找深藏在二进制文件中的字符串。

　　Dependency Walker——该免费程序可列出便携式可执行文件的导入和导出模块。

　　Md5deep——这套跨平台工具可计算和审核输入文件的散列（Hash）。

　　PEiD——可针对便携式可执行（PE）文件检测大多数常见的打包器、加密器和编译器等。

　　PEview——可快速轻松地查看32位PE文件和组件对象文件格式（COFF）的结构和内容。

　　动态恶意软件分析是分析师发现恶意软件功能的首选方法。在动态分析中，分析师将构建用作恶意软件分析的虚拟机。分析师将通过沙盒来分析恶意软件，并分析恶意软件生成的数据包数据。在动态分析中，隔离环境以避免恶意软件逃逸非常重要。

　　Procmon——这款先进的监控工具可显示文件系统、注册表和进程/线程的实时活动。

　　Process Explorer——这是一款面向Windows操作系统的系统资源监控工具。

　　Anubis——该动态恶意软件分析平台可在受控环境下执行提交的二进制代码。

　　Comodo Instant Malware Analysis——非常容易使用和理解的在线沙盒服务。

　　Process MonitorRegshot——这款流行的注册表监控工具可显示文件系统、注册表和进程/线程的实时活动。

　　Regshot——这款开源注册表比较工具可迅速获取注册表的快照，并进行比对。

　　Netcat——该计算机网络实用工具使用TCP或UDP协议在网络中读取数据。

　　Wireshark——该免费开源数据包分析器可用于网络故障排查、分析、软件和通信协议开发等。

　　内存取证分析含有关于系统运行时状态的信息，并提供将来自传统取证分析工件（网络、文件系统和注册表）关联起来的功能。

　　恶意软件检测是指扫描计算机和文件以检测恶意软件的过程。它不是单向过程，实际上相当复杂。它结合多款工具和办法来进行检测，检测和清除过程通常在50秒钟内完成，在恶意软件检验测试方面卓有成效。

　　基于特征或模式的匹配：特征是识别特定病毒唯一身份的算法或散列（从文本字符串获取的数字）。

　　启发式分析或主动防御：启发式扫描类似特征扫描，只不过启发式扫描并非寻找特定的特征，而是在程序中寻找典型应用程序中没有的某些指令或命令。

　　基于规则：启发式引擎中做多元化的分析的组件（分析器）从文件中提取某些规则，并将这些规则与恶意代码的一组规则进行比较。

　　行为分析：相比之下，可疑行为分析方法不是试图识别已知病毒，而是监测所有程序的行为。

　　File Scanning Framework——模块化递归式文件扫描解决方案。

　　网络交互分析在专注于网络安全的同时，还监控综合平台，以执行更普通的网络流量分析。被动网络嗅探器/数据包捕获工具可用于检测操作系统、会话、主机名和开放端口等，并不在网络上带来任何流量。可分析以太网、PPP、SLIP、FDDI、令牌环和空接口上的IPv4/6、TCP、UDP、ICMPv4/6、IGMP和Raw流量，采用与数据包嗅探相同的方式理解BPF过滤器逻辑。

　　代码调试器是实用的恶意软件分析工具，允许在底层分析代码。调试器的重要功能是断点（breakpoint）。断点命中时，程序执行被停止，并将控制权交给调试器，允许对当时的环境进行恶意软件分析。调试器可利用专门的中央处理单元（CPU）工具，可以让用户进一步探索程序如何执行任务，并访问被调试程序的环境等。这在分析恶意软件时可能很有用，因为能让用户看到调试器如何尝试检测篡改，并跳过有意插入的垃圾指令。

　　如今，网站暴露在各种威胁面前，受感染的网站将被用作跳板，帮助攻击者达到邪恶目的。比如，URL重定向机制已被大范围的使用在隐蔽地执行基于Web的攻击。重定向是指自动替换访问目的地，一般由Web上的HTTP协议加以控制。除了这种传统方法外，还常常使用自动访问外部Web内容（比如iframe标签）的其他方法。恶意URL分析是通过机器学习等方式，分析URL文本分词词频来检测恶意URL。

　　沙盒是一个重要的安全分析系统，可以隔离程序，防止恶意或失败的项目损害或窥视PC上的任何剩余部分。沙盒是严控的环境，限制了一部分代码可以执行的操作。

　　网域分析是指安全分析师了解背景信息、检查网域和IP地址的过程。网域分析应该包括已找到信息的简要总结，以及使其他人能找到该信息的参考资料。