大家好，用行动证明自己的安全分析师们！🕵️♂️
直到上次，我们已经掌握了不实际运行恶意软件，而是对其进行仔细拆解的“静态分析”。我们通过查看代码，预测“嗯，这家伙计划窃取文件”。
但仅凭猜测是抓不到罪犯的。现在是时候获取物证了！今天，我们将进行“动态分析(Dynamic Analysis)”的实操，即实际运行恶意软件，并像CCTV一样记录它在操作系统中犯下的所有恶行。
拿起我们强大的武器ProcMon(Process Monitor)，突袭恶意软件的犯罪现场吧！🚨
🛑 0. [必读] 确保绝对安全区域！
在正式开始之前，我们再次强调安全守则。
⚠️ 警告：切勿在主机PC（您当前使用的计算机）上运行！必须在VMware、VirtualBox等虚拟机环境中进行。实操前，务必为虚拟机拍摄“快照(Snapshot)”。这是为了在运行恶意软件后，能够一键干净地恢复受感染的状态。
1. 🛠️ 准备物品：恶意软件监控小组套装
您需要Sysinternals Suite工具。（可从微软官方网站免费下载）
- Process Monitor (ProcMon)： 实时记录文件、注册表、进程活动的CCTV。
- Process Explorer (Procexp)： 以树状结构显示当前运行进程的高级任务管理器。
- Wireshark (可选)： 捕获网络数据包的工具（今天我们专注于ProcMon）。
2. 📸 [实操步骤 1] 卧底开始：ProcMon设置
在运行恶意软件之前，必须先打开监控摄像头(ProcMon)。然而，ProcMon会记录Windows的所有操作，因此每秒会累积数千条日志。“过滤(Filtering)”是必不可少的！
- 运行ProcMon： 以管理员权限运行procmon.exe。
- 暂停捕获： 点击放大镜图标(🔎)暂时停止捕获。（用于初始设置）
- 设置过滤器 (Ctrl + L)：
- 根据恶意软件文件名设置过滤器。
- Process Name is malware.exe (您的恶意软件文件名) Include
- 点击Add按钮 -> 点击OK。
现在ProcMon已准备好只记录“那个家伙”的行为。
3. ▶️ [实操步骤 2] 捕捉犯罪现场：运行恶意软件
这是紧张的时刻。终于，我们按下了运行按钮。
- 开始ProcMon捕获： 再次点击放大镜图标(🔎)（X标记消失）开始录制。
- 运行Process Explorer： 将其放在旁边，准备观察进程树。
- 执行恶意软件！： 双击malware.exe。💣
- 观察：
- 看起来什么都没发生吗？
- 看看ProcMon屏幕。日志会疯狂地滚动！
- 在Process Explorer中，检查恶意软件是否生成了子进程(cmd.exe, powershell.exe)。
- 停止执行： 让它充分运行约1-2分钟后，点击ProcMon放大镜图标停止捕获。
4. 🕵️♀️ [实操步骤 3] 分析证据：解读日志
现在我们需要从收集到的数千行日志中找出“决定性证据”。让我们利用ProcMon工具栏中的5个图标，按类别进行分析。
① 📂 文件系统活动 (File System Activity)
- 图标： 公文包形状
- 观察要点：
- CreateFile / WriteFile： 是否创建了新文件？（例如：释放C:Temppayload.exe，创建readme.txt勒索信）
- DeleteFile： 是否删除了原始文件？（勒索软件的典型特征）
- ReadFile： 是否读取了我的重要文档(My Documents)？（尝试窃取信息）
② ⚙️ 注册表活动 (Registry Activity)
- 图标： 立方体形状
- 观察要点： 尝试获取“持久性(Persistence)”
- 查找RegSetValue事件。
- 如果路径是HKCUSoftwareMicrosoftWindowsCurrentVersionRun？
- 这意味着恶意软件已注册自身，以便在PC重启后自动运行！这是100%的恶意行为。
③ 🌐 网络活动 (Network Activity)
- 图标： 网线形状
- 观察要点：
- TCP Connect / UDP Send： 是否尝试连接外部IP？
- 记录连接的IP地址和端口号（例如：4444）。这很可能是C2服务器。
④ 🚀 进程活动 (Process and Thread Activity)
- 图标： 拼图块形状
- 观察要点：
- Process Create：如果恶意软件执行了cmd.exe并发出/c del backup命令？这是删除备份的行为。
5. 🤖 [小贴士] 将收集到的日志交给AI分析
日志太多太复杂了吗？利用AI吧！
- 在ProcMon中拖动几行可疑日志，保存为CSV或复制。
- 向AI提问如下：
[提示词]
“这是从ProcMon收集到的恶意软件日志。请从安全角度解释这些事件的含义。特别是RegSetValue意味着什么？”
>
[粘贴日志]
12:01:05, malware.exe, RegSetValue, HKCU…RunUpdate, SUCCESS, Data: C:Tempmalware.exe
AI会清晰地解释：“此日志表明恶意软件正在注册表中以‘Update’的名称进行自我注册，以便在Windows启动时自动运行。”
🎉 总结：会动的家伙就是罪犯！
恭喜！👏 您刚刚实际运行了恶意软件，并详细记录了它的“行为模式(Behavior)”。
- 如果静态分析是“绘制嫌疑人画像”，
- 那么动态分析就是“回放犯罪现场视频”。
现在我们已经掌握了恶意软件的外观（代码）和行为（日志）。分析已完成99%。下一次，我们将进入最后阶段，整理所有分析结果，并撰写一份专业的[恶意软件分析报告]。
别忘了恢复快照(Revert)，下次再见！再会！👋
发表回复