大家好，未来的安全专家们！ 🌱
直到上次，我们使用静态分析工具（PE-bear、Pestudio、Strings）从未知文件中提取了“骨肉（元数据）”。
- 导入表（IAT）：此文件使用的工具（API函数）
- 字符串（Strings）：文件内部隐藏的文本（IP地址、消息等）
然而，面对数百个API函数和数千行字符串时，往往会让人眼花缭乱。😵💫 “这组合到底意味着什么？”
就在这时！我们可靠的助手生成式AI（ChatGPT、Claude等）该发挥作用了。当我们把提取的“原材料”喂给AI时，AI会根据其庞大的安全知识，给出“这有90%的概率是勒索软件！”的初步诊断。
今天，我们将进行通过将提取的元数据输入AI来快速判断恶意性的提示工程实践。🚀
1. 📋 准备工作：我们收集到的线索
在向AI提问之前，我们需要整理上次实践中获得的数据。文本文件或记事本中应准备好以下内容：
- 主要API列表（IAT）：CryptEncrypt、WriteFile、InternetOpen等
- 可疑字符串（Strings）：readme.txt、http://evil.com、cmd.exe等
- 文件基本信息：文件大小、编译时间等（可选）
💡 提示：并非所有字符串都需要包含。排除过于常见的词语，主要挑选“特殊”的进行准备。
2. 🗣️ [实践] 如何向AI提问（编写提示）
AI是一位出色的分析师，但如果问题模糊，答案也会模糊。您需要赋予它一个“角色（Persona）”并给出具体的指示。
复制以下提示，并用您的数据填充！
📝 恶意软件判别主提示
[角色分配] 您是一位拥有20年经验的恶意软件分析专家（Malware Analyst）。
>
[情况] 我从一个可疑的Windows可执行文件（PE）中提取了导入API列表和内部字符串（Strings）。我打算根据这些数据对文件的恶意性进行初步判断。
>
[分析数据] 1. 主要导入API列表：
>
Plaintext
>
`
（在此处粘贴从Pestudio提取的API列表。例如：CryptEncrypt、WriteFile…）
`
>
2. 主要字符串（Strings）：
>
Plaintext
>
`
（在此处粘贴使用Strings工具提取的字符串。例如：Your files are encrypted、.onion…）
`
>
[请求事项] 请综合分析以上数据，并以报告形式撰写以下内容。
>
1. 恶意可疑概率：（估计0~100%之间）
>
2. 预期恶意行为：（勒索软件、键盘记录器、后门等具体类型）
>
3. 判断依据（3条以上）：请以API和字符串的组合（Combination）为依据进行解释。（例如：由于API A和字符串B同时存在，因此怀疑存在C行为）
>
4. MITRE ATT&CK映射：请注明相关的攻击战术/技术ID。
3. 🧪 [模拟] 实际输入与结果示例
那么，当我们将上次从勒索软件样本中提取的数据输入AI时，AI会如何反应呢？
📥 我们输入的数据（示例）
- API：FindFirstFile、FindNextFile、CryptEncrypt、CryptGenKey、WriteFile、DeleteFile
- Strings：All your files are encrypted、bitcoin、restore_guide.txt、.locked
📤 AI的分析结果（示例）
🚨 恶意软件分析结果报告
>
1. 恶意可疑概率：98%（非常高）
>
2. 预期类型：勒索软件（Ransomware）
>
3. 判断依据（Evidence）：
>
– 文件探索与加密组合：使用FindFirstFile/FindNextFile搜索系统内文件，并使用CryptEncrypt API执行加密，这是典型的勒索软件逻辑。
>
– 勒索信息识别：字符串中的“All your files are encrypted”和“bitcoin”是勒索信中要求用户支付金钱的核心关键词。
>
– 破坏性行为：通过WriteFile写入加密数据，并使用DeleteFile删除原始文件，使其无法恢复，这是观察到的模式。
>
4. MITRE ATT&CK映射：
>
– T1486 (Data Encrypted for Impact)：数据加密
>
– T1490 (Inhibit System Recovery)：删除原始文件并阻止恢复
4. ⚖️ 注意事项：切勿盲信AI！（误报验证）
AI的答案并非总是正确的。
- 对于安全程序：杀毒软件也会使用CryptEncrypt（自我保护）或DeleteFile（清除）函数。AI可能会将其误判为恶意。
- 打包（Packing）文件：如果文件被压缩（Packing），API可能很少可见，导致AI错误地判断为“看起来是正常文件”。（在这种情况下，应引导AI给出“API过少，怀疑是打包文件”的结果。）
因此，AI的结果应作为“参考性的初步意见”，而最终的验证必须由分析师（就是您！）通过沙盒执行等方式亲自进行。
🎉 总结：分析速度提升10倍！
恭喜！👏 现在，您无需深入分析复杂的汇编代码，通过元数据提取 + AI咨询的组合，仅需5分钟即可识别恶意软件的真面目。
这种方法在需要快速分类（Triage）大量可疑文件的安全运营中心现场非常有用。
下一次，我们将进入更深入的课程，探讨这些已分类的恶意软件实际与哪些服务器通信（网络分析）。敬请期待！👋
发表回复