惡意軟件已經(jīng)成為網(wǎng)絡(luò)安全領(lǐng)域的重點(diǎn)關(guān)注對象，事實(shí)上全球各地每天都在發(fā)生各種網(wǎng)絡(luò)攻擊事件，大部分事件都是通過惡意軟件進(jìn)行攻擊，其中以勒索、挖礦、銀行木馬，以及各種APT遠(yuǎn)控等盜取客戶信息為主。
最近幾年勒索病毒太火了，其主要的原因可能就是因?yàn)楹诳蛷闹蝎@取了巨大的利益，導(dǎo)致勒索病毒攻擊也越來越多，使用的攻擊手法也各不相同，這種“簡單粗爆”“來錢快”的方式正好可以達(dá)到黑客的目的，最大限度的獲利，現(xiàn)在的黑客團(tuán)隊(duì)不像以前只是單純的為了炫技，更多的是為了獲利，而勒索病毒的巨大利益，導(dǎo)致黑客不斷開發(fā)新的勒索病毒，使用新的方法對各企業(yè)進(jìn)行攻擊勒索，可以預(yù)見2019年針對企業(yè)的勒索病毒攻擊會越來越多......
勒索病毒國內(nèi)主要以'四大家族'勒索病毒為主:Globelmposter、CrySiS、GandCrab、Satan，GandCrab勒索病毒從2018年1月份首次出現(xiàn)V1.0，一直到現(xiàn)在V5.2版本，其中也有多個(gè)小版本的出現(xiàn)，也是2018年至今最活躍的勒索病毒，GandCrab5.1版本國外某安全公司公布了相應(yīng)的解密工具，可以解密GandCrab5.1版本之前的幾個(gè)版本，但是黑客馬上又開發(fā)布了最新的GandCrab5.2版本，GandCrab5.2現(xiàn)在仍非常活躍，很多企業(yè)中招，主要通過郵件附件等方式進(jìn)行定向攻擊，Globelmposter和CrySiS勒索病毒，主要通過RDP爆破的方式，對國內(nèi)多家企事業(yè)單位進(jìn)行勒索攻擊，Satan勒索病毒利用了多個(gè)WEB漏洞以及永恒之藍(lán)進(jìn)行傳播感染，相應(yīng)的版本也從1.0一直變種到了4.4，也是相當(dāng)?shù)幕钴S。
國外最近主要以Ryuk、JCry、LockerGoga、Criakl、Gorgon等勒索病毒家族為主，同時(shí)隨著.NET框架的流行，以及某NET框架勒索病毒的開源，后期出現(xiàn)了大量使用.NET框架編寫的各種勒索病毒。
銀行類木馬，目前主要以：Emotet、TrickBot、Ursnif(Gozi)等三款主流銀行木馬為主，其中Emotet是最流行的銀行木馬，而且相當(dāng)復(fù)雜，基本上每天都有新的變種出現(xiàn)。
挖礦病毒，Windows上主要以PowerShell無文件方式挖礦病毒樣本及其變種為主，由于PowerShell腳本的流行，以及WMI技術(shù)的新起，這種類型的挖礦病毒，近幾年也是非常流行，Linux上挖礦病毒以DDG家族為主，主要使用sh腳本啟動挖礦程序的方式進(jìn)行挖礦，然后將sh腳本寫入到crontab等Linux自啟動項(xiàng)進(jìn)行持久化操作。
Linux下的僵尸網(wǎng)絡(luò)，主要以：XorDDoS(BillGates),XnoteDDoS這兩個(gè)家族，基本上Linux上的僵尸網(wǎng)絡(luò)就以這兩個(gè)家族為主，其中XorDDoS已經(jīng)占據(jù)Linux DDoS的大片江山了。
感染型蠕蟲類病毒，主要以一些比較老的病毒為主，感染型病毒LPK，蠕蟲病毒Conficker蠕蟲，Morto蠕蟲等，雖然這些都是上十年的老病毒，但在用戶的機(jī)器上仍然活躍著，同時(shí)最近幾年新的感染型蠕蟲類的病毒較少，以老病毒為主。
APT攻擊，國內(nèi)主要以海蓮花APT攻擊為主，APT攻擊主要的在于使用不同的免殺技術(shù)，最后釋放相應(yīng)的遠(yuǎn)控惡意程序，獲取客戶信息等。
基于IOT工控施備的Mirai蠕蟲變種，主要有Persirai、Hajime、DvrHelper、BrickerBot、Omni、OWari、Josho、Qbot、Saikin、Sora等家族，都是基于Mriai的變種，主要利用各種不同的IOT設(shè)備漏洞，以IOT DDoS攻擊為主。
Android上的病毒以各種截持短信，流氓推廣，彈廣告，刷流量，刷ROM，以及后面手機(jī)端蠕蟲，敲詐者,百腦蟲,FakeDebugger，GhostPush等為主
OSX平臺上以廣告和盜取客戶信息的惡意樣本為主，主要的家族以：WireLurker、XcodeGhost、YiSpecter、ZergHelper、BackStab,、KeyRaider、TinyV的等為主，同時(shí)可以預(yù)見，在未來隨著Mac用戶的增多，基于Mac平臺的惡意軟件也會越來越多。
從事病毒分析這么多年，從windows平臺一直做到了iot平臺，分析過的樣本自己都數(shù)不清了，現(xiàn)在主要以Windows/Linux平臺的惡意樣本為主，從業(yè)這么多年，說說自己的一些心得與體會吧，很多人對病毒分析其實(shí)并不了解.......病毒分析是我認(rèn)為最有意思的一項(xiàng)安全工作，主要兩個(gè)原因吧：
1.可以研究最新的安全攻防技術(shù)
2.可以在安全的第一線，與黑產(chǎn)面對面
搞逆向調(diào)試有時(shí)候會很累，有時(shí)候很想放棄，可每當(dāng)拿到一個(gè)最新的樣本的時(shí)候，總?cè)滩蛔∠肟纯此锩娴綍r(shí)是怎么樣的？逆向的樂趣在于你可以從任何樣本中找到最有價(jià)值的東西，同時(shí)也是對抗黑產(chǎn)最直接有效的方法，從樣本中找答案，知已知彼，心中有數(shù)。
研究最新的安全攻防技術(shù)，惡意樣本的發(fā)展也從原來的簡單的病毒，木馬，后門，僵尸網(wǎng)絡(luò)等，一直到最近幾年比較流行的勒索，挖礦病毒，技術(shù)也有了一些新的發(fā)展，比方現(xiàn)在比較流行的PowerShell+WMI無文件攻擊方式等，同時(shí)惡意樣本的攻擊平臺也越來越大，從以前簡單的windows/Linux平臺，發(fā)展到移動互聯(lián)網(wǎng)平臺(Android/iOS)，然后到IOT智能設(shè)備(類Linux平臺)等，不管哪個(gè)平臺的出現(xiàn)，都會伴隨著一大批新型的惡意樣本的出現(xiàn)。
惡意樣本分析永遠(yuǎn)在安全的第一線，大部分終端安全問題都是由于惡意樣本攻擊導(dǎo)致的，同時(shí)黑客為了能夠可持續(xù)發(fā)展，會不斷的更新它的病毒樣本以及使用的病毒植入技術(shù)，導(dǎo)致會有不同的新的病毒家族出現(xiàn)或家族變種樣本的出現(xiàn)，安全的本質(zhì)就是直面黑產(chǎn)，人與人的對抗，做黑產(chǎn)的在不斷更新，做安全的當(dāng)然也得時(shí)刻跟進(jìn)，不然就會落后。
做安全的一定要有自己的核心能力，以及足夠深的專業(yè)的技術(shù)，你可能在傭有這項(xiàng)能力和技術(shù)之外再去學(xué)習(xí)擴(kuò)展其它的，安全的面現(xiàn)在越來越廣，現(xiàn)在的安全方向很多，隨著時(shí)代的發(fā)展，也出現(xiàn)了一些新型的大數(shù)據(jù)安全，區(qū)塊鏈安全，人工智能安全等......
安全的發(fā)展離不開新的平臺的出現(xiàn)，當(dāng)有新的平臺或新的技術(shù)出現(xiàn)的時(shí)候，就會有新的安全威脅，安全的本質(zhì)本身就是人與人的對抗，只要有利益，就有人去做黑產(chǎn)，有做黑產(chǎn)的，就一定需安全的。
不管安全怎么發(fā)展，它始終離不開扎實(shí)的基礎(chǔ)安全能力，做安全的一定要把基礎(chǔ)打好，有了好的基礎(chǔ)，不管你做什么都會很快，不管學(xué)什么都會比別人有更深的理解，同時(shí)一定要培養(yǎng)自己的核心安全能力，這點(diǎn)很重要，要多動手，多思考，多實(shí)戰(zhàn)，日積月累，你的安全能力就會越來越強(qiáng)，要努力成為某個(gè)領(lǐng)域的專家！
安全的路還很長，堅(jiān)持很重要，興趣也很重要，沒有興趣，很難堅(jiān)持走下去......
這就是我：一個(gè)病毒分析員的自我修養(yǎng)，我會一直堅(jiān)持做下去......
某勒索病毒分析案例
某Linux樣本格式分析
某linux樣本內(nèi)存分析
某Linux樣本靜態(tài)分析
某勒索病毒動態(tài)調(diào)試
某勒索病毒動態(tài)調(diào)試
某Linux樣本動態(tài)調(diào)試
GIF
點(diǎn)贊的會變好看也會世界和平，關(guān)注的會大富大貴！
