|
|
|
|
移动端

Manalyze:PE文件的静态分析工具

当我的杀毒软件第13次尝试隔离我的病毒样本集时,我决心开发Manalyze。另一方面的原因也是我对杀毒软件日益失望,它们不会解释为什么把某个文件判断为恶意软件。显然,大部分人需要有个杀毒软件来帮他们做决定。

作者:Sphinx来源:FreeBuf|2016-05-17 13:54

年前最后一场技术盛宴 | 1月27日与京东、日志易技术大咖畅聊智能化运维发展趋势!


介绍

当我的杀毒软件第13次尝试隔离我的病毒样本集时,我决心开发Manalyze。另一方面的原因也是我对杀毒软件日益失望,它们不会解释为什么把某个文件判断为恶意软件。显然,大部分人需要有个杀毒软件来帮他们做决定。但我认为很多专家用户,即病毒分析人员可以使用一种能够提供尽可能多信息的工具来分析PE可执行文件,并且由他们自己来做最后的决定。

Manalyze:PE文件的静态分析工具

想要查看此工具生成的样本报告,可访问https://manalyzer.org/。

PE文件的静态分析工具

Manalyze是用C++写的,支持Windows和Linux平台,以GPLv3协议发布。Manalyze是一款针对PE文件的强大分析器,它有灵活的插件架构,能让用户深入分析文件。它能够

能够识别PE的编译器
识别加壳的可执行文件
应用ClamAV签名
查找可疑字符串
寻找恶意的入口组合(即 WriteProcessMemory + CreateRemoteThread)
识别程序中密码算法(跟IDA的findcrypt插件类似)
提交哈希值到VirusTotal
验证authenticode签名(仅Windows)

如何生成

Linux 和 BSD平台(Debian Jessie 和 FreeBSD 10.2测试通过)

$> [sudo or as root] apt-get install libboost-regex-devlibboost-program-options-dev libboost-system-dev libboost-filesystem-devbuild-essential cmake git
$> [alternatively, also sudo or as root] pkg installboost-libs-1.55.0_8 cmake
$> git clone https://github.com/JusticeRage/Manalyze.git&& cd Manalyze
$> cmake .
$> make
$> cd bin && ./manalyze --version

Windows平台

1. 从boost.org获取Boost库,安装CMake

2. 生成boost库

cdboost_1_XX_0 && ./bootstrap.bat && ./b2.exe--build-type=complete --with-regex --with-program_options --with-system--with-filesystem

添加一个BOOST_ROOT环境变量,指向boost_1_XX_0文件夹的路径

3. 下载安装Git

4. git clone https://github.com/JusticeRage/Manalyze.git && cd Manalyze &&cmake

5. Manalyze文件夹中应该有一个VisualStudio项目manalyze.sln。

离线生成

如果你要在没有网络的电脑上生成Manalyze,你要查看以下项目:

Yara

hash-library

将这两个文件放到external文件夹,即external/yara和external/hash-library。然后运行runcmake . -DGitHub=OFF。

二进制文件

Windows x86二进制文件

所有的二进制文件都有证书签名,指纹为:26fc24c12b2d84f77615cf6299e3e4ca4f3878fc。

生成ClamAV规则

由于ClamAV签名数量庞大并且更新频繁,把它们放在二进制文件里显然不合适。当你第一次使用ClamAV插件时,可能会看到这个错误信息:[!]Error: Could not load yara_rules/clamav.yara。要生成一下的话就去bin/yara_rules运行update_clamav_signatures.py。

要更新签名的时候就运行一下这个脚本。

用法

$ ./manalyze.exe --help
Usage:
-h [ --help ] Displays this message.
-v [ --version] Prints the program's version.
--pe arg The PE to analyze. Also accepted as a positional
argument. Multiple files may be specified.
-r [ --recursive] Scan all files in a directory(subdirectories will be
ignored).
-o [ --output ]arg The output format. May be 'raw'(default) or 'json'.
-d [ --dump ]arg Dump PE information. Available choices are any
combination of: all, summary, dos(dos header), pe (pe
header), opt (pe optional header), sections, imports,
exports, resources, version, debug, tls
--hashes Calculate various hashes of the file (may slow down the
analysis!)
-x [ --extract ]arg Extract the PE resources to the target directory.
-p [ --plugins ]arg Analyze the binary with additional plugins. (may slow
down the analysis!)

可用插件:

– clamav:使用ClamAV病毒特征库扫描二进制文件

– compilers: 尝试判断生成二进制文件所使用的编译器

– peid: 返回二进制文件的PEiD签名

– strings: 检测可疑字符串(anti-VM,process names…)

– findcrypt: 识别程序中密码算法

– packer: 检测加壳

– imports: 检查可疑入口

– resources: 分析程序的资源

– authenticode: 检查PE的数字签名是否有效

– virustotal: 在VirusTotal检查样本检测结果

– all: 运行所有可用插件

使用范例

manalyze.exe program.exe

manalyze.exe -dresources -dexports -x out/ program.exe

manalyze.exe –dump=imports,sections –hashes program.exe

manalyze.exe -r malwares/ –plugins=peid,clamav –dump all

样本报告

Manalyze:PE文件的静态分析工具

【编辑推荐】

  1. 一步一步教你加密解密技术——静态分析技术
【责任编辑:蓝雨泪 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

视频课程+更多

计算机网络安全精讲视频课程

计算机网络安全精讲视频课程

讲师:韩立刚13962人学习过

WOT 2016企业安全技术峰会

WOT 2016企业安全技术峰会

讲师:WOT峰会400人学习过

IPsec VPN 原理与实战视频课程

IPsec VPN 原理与实战视频课程

讲师:赵阶旭1047人学习过

读 书 +更多

SQL Server 2005数据挖掘与商业智能完全解决方案

本书以BI解决方案的体系结构为中心,以SQL Server 2005为载体,将着眼点放在数据挖掘和商业智能上,详细讲解了数据报表、数据分析和数据挖...

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊