互聯(lián)網(wǎng)的飛速發(fā)展在給用戶的日常工作生活帶來了巨大方便的同時，也給各種各樣的惡意軟件提供了一片繁衍擴(kuò)散的沃土。媒體上時有關(guān)于某種惡意軟件大規(guī)模流行造成嚴(yán)重?fù)p失的報道。惡意軟件的擴(kuò)散早已引起信息安全業(yè)界的重視，各安全軟件和殺毒軟件廠商都有成型的解決方案。不過惡意軟件的更新?lián)Q代總是走在安全廠商的產(chǎn)品前面，惡意軟件變種的出現(xiàn)速度越來越快，單純使用防殺毒軟件已不能完全保證用戶遠(yuǎn)離惡意軟件。
本文提出一個分析Windows平臺的惡意軟件和可疑文件的參考方法，該方法通過監(jiān)視目標(biāo)樣本的執(zhí)行后的行為觀察，可對目標(biāo)樣本的性質(zhì)、行為及影響進(jìn)行判斷。
惡意軟件的定義：惡意軟件（Malware，malicioussoftware的縮寫），指未經(jīng)用戶允許安裝執(zhí)行，會對用戶及系統(tǒng)運行產(chǎn)生影響和危害的軟件，包括病毒（Virus）、蠕蟲（Worm）、木馬（Trojan）、后門程序（Backdoor/Rootkit）、密碼盜竊程序（Mal.PSW）及其他有以上所列惡意軟件功能的軟件。
分析原理和流程
關(guān)鍵詞定義：
1）惡意軟件樣本：從各種媒介提取到的懷疑是惡意軟件的可執(zhí)行文件、可能包含惡意軟件的壓縮文件、Office文檔等
2）軟件行為：文檔或可執(zhí)行文件被用戶直接或通過其他處理軟件打開時該文件或系統(tǒng)執(zhí)行的操作
樣本分析原理：
在一個可控的Windows測試環(huán)境中，通過使用特定的監(jiān)視工具軟件，對目標(biāo)樣本文件打開后執(zhí)行的操作進(jìn)行記錄，分析記錄的結(jié)果并與已知的惡意軟件行為進(jìn)行對比，判斷目標(biāo)樣本的性質(zhì)和影響，最后提供受該目標(biāo)樣本影響的系統(tǒng)的清理方案。
樣本分析流程：
1）測試環(huán)境搭建
2）分析工具軟件的準(zhǔn)備和安裝
3）目標(biāo)樣本在測試環(huán)境系統(tǒng)上的運行監(jiān)視、數(shù)據(jù)采集
4）結(jié)果處理和文檔記錄
環(huán)境準(zhǔn)備和搭建
1、系統(tǒng)環(huán)境：
測試平臺可選擇使用虛擬機(jī)或者物理機(jī)搭建，兩種選擇的結(jié)果略有不同：如果使用虛擬機(jī)作為平臺，需要先安裝一套虛擬機(jī)軟件，可以選擇VMware（http://www.vmware.com）或VirtualPC（http://www.microsoft.com/windows/virtualpc/）,然后在部署好的虛擬機(jī)中安裝Windows操作系統(tǒng)；如果使用實體機(jī)，直接安裝Windows操作系統(tǒng)即可。Windows安裝完成后，使用WindowsUpdate給測試用操作系統(tǒng)升級，使其達(dá)到最新補(bǔ)丁版本狀態(tài)。
本文使用的測試環(huán)境為VMwareworkstation上的WindowsXPprofessionalSP2英文版，并升級補(bǔ)丁到2006年11月底的最新版本。
2、分析軟件：
1）系統(tǒng)監(jiān)視軟件
a)InstallRite:
InstallRite是一個軟件安裝監(jiān)視復(fù)制工具，可以監(jiān)視軟件安裝時對系統(tǒng)文件、注冊表執(zhí)行的改動。它可以用來監(jiān)視目標(biāo)樣本在執(zhí)行前后系統(tǒng)發(fā)生的改動。InstallRite可以從它的官方網(wǎng)站下載：http://www.epsilonsquared.com/installrite.htm
b)ProcessExplorer:
ProcessExplorer是一個監(jiān)視系統(tǒng)當(dāng)前運行進(jìn)程、進(jìn)程創(chuàng)建、進(jìn)程刪除及獲取指定進(jìn)程詳細(xì)信息的工具，它可以用來分析目標(biāo)樣本對進(jìn)程的操作。ProcessExplorer可以從它的官方網(wǎng)站下載：http://www.microsoft.com/technet/sysinternals/utilities/ProcessExplorer.mspx
c)ProcessMonitor:
ProcessMonitor是ProcessExplorer的升級版本，它除了包含ProcessExplorer的功能外，還增加了文件和注冊表操作監(jiān)視功能,但是它進(jìn)程監(jiān)視功能使用方便性上比不上ProcessExplorer。它可以用來實時監(jiān)視目標(biāo)樣本在執(zhí)行過程中對系統(tǒng)文件、注冊表的操作情況。ProcessMonitor可以從它的官方網(wǎng)站下載：http://www.microsoft.com/technet/sysinternals/processesandthreads/processmonitor.mspx
d)TCPView:
TCPView是一個監(jiān)視網(wǎng)絡(luò)連接與進(jìn)程對應(yīng)關(guān)系的工具，可用于分析目標(biāo)樣本在執(zhí)行時進(jìn)行網(wǎng)絡(luò)操作的情況。TCPView可以從它的官方網(wǎng)站下載：http://www.microsoft.com/technet/sysinternals/utilities/TcpView.mspx
2）嗅探器
a)Ethereal：
Ethereal是一個功能強(qiáng)大的開源網(wǎng)絡(luò)協(xié)議分析軟件，它可用于存儲和分析目標(biāo)樣本進(jìn)行的網(wǎng)絡(luò)傳輸?shù)木唧w內(nèi)容。Ethereal可以從它的官方網(wǎng)站下載：
http://www.ethereal.com/download.html
b)EffeTechHTTPSniffer:
EffeTechHTTPSniffer是一個專長于HTTP流量流量監(jiān)視和分析的嗅探工具，可以用于分析Downloader一類使用HTTP協(xié)議和采用HTTP隧道封裝進(jìn)行通訊封裝的目標(biāo)樣本。EffeTechHTTPSniffer可以從它的官方網(wǎng)站上下載：
http://www.effetech.com/download/
3）系統(tǒng)分析工具
a)RootkitRevealer：
RootkitRevealer是一個功能強(qiáng)大的Rootkit檢測工具，可用于檢測Rootkit類及帶有Rootkit隱藏功能的目標(biāo)樣本。RootkitRevealer可以從它的官方網(wǎng)站下載:
http://www.microsoft.com/technet/sysinternals/utilities/RootkitRevealer.mspx
b)Gmer：
Gmer是一個來自波蘭的Rootkit檢測工具，它的功能比RootkitRevealer稍多一點，檢測的速度更快，可用于檢測Rootkit類及帶有Rootkit隱藏功能的目標(biāo)樣本。Gmer可以從它的官方網(wǎng)站上下載：
http://www.gmer.net/files.php
c)Autoruns:
Autoruns是一個功能強(qiáng)大的啟動項管理工具，它可以直接操作注冊表，管理常見的啟動方式，可用于分析目標(biāo)樣本的自啟動方式。Autoruns可以從它的官方網(wǎng)站上下載：
http://www.microsoft.com/technet/sysinternals/utilities/Autoruns.mspx
d)WinHex:
WinHex是一個功能強(qiáng)大的通用十六進(jìn)制編輯工具，它可以用于對目標(biāo)樣本的內(nèi)容進(jìn)行查看和字符串查找。WinHex可以從它的官方網(wǎng)站下載：
http://www.x-ways.net/winhex/
e)FinalRecovery:
FinalRecovery是一個快速的反刪除工具，它可以用于對目標(biāo)樣本執(zhí)行過程中刪除的文件進(jìn)行恢復(fù)操作。FinalRecovery可以從它的官方網(wǎng)站下載：
http://www.finalrecovery.com/download.htm
3、文檔準(zhǔn)備：
在完成系統(tǒng)環(huán)境和分析軟件的安裝調(diào)試后，應(yīng)該進(jìn)行目標(biāo)樣本的記錄文檔設(shè)計。一個使用表格的記錄文檔的例子如下：

樣本分析記錄表格(1)

樣本分析結(jié)果登記表                      樣本編號：060125A5