泰迪犬,DrSemu :基于动态行为的恶意软件检测和分类工具-ope电竞官网-英超哈镇官方赞助商

188体育 295℃ 0

Dr.Semu

Dr.Semu斌是一款依据动态行为剖析的歹意软件检测与分类东西沪蓉高速,现在该东西仍处于早上开发阶段。Dr.Semu能够在一个阻隔环境中运转方针可执行程序,并监控相关进程的各种行为。除此之外,广阔用户还能够依据自己的需求或社区现成的信息来构建Dr.Semu检测规矩,并对方针歹意软件或进程进行安全检测。

在Dr.Semu的协助下,咱们能够依据对进程动态行为检测的成果来创立歹意软件检测规矩。

经过重定向完成阻隔

该东西会在用户形式下运转,Windows项目文件体系(ProjFS)能够给咱们供给一个虚拟文件体系,针对注册表重定向,该做胃镜前注意事项东西会将一切的注册表键拷贝到一个新的地址,偏重定向一切的注册表键拜访恳求。

监控

Dr.Semu运用了DynamoRIO(动态指令东西渠道)来阻拦线程,这种操作的作用等同于设置SSDT钩子,可是整个进程是在用户形式下完成的,并且泰迪犬,DrSemu :依据动态行为的歹意软件检测和分类东西-ope电竞官网-英超哈镇官方赞助商无需设置任何钩子。

在这个阶段,Dr.Semu会生成一个JSON文件,其间包括有东西阻拦下的一切数据信息。

泰迪犬,DrSemu :依据动态行为的歹意软件检测和分类东西-ope电竞官网-英超哈镇官方赞助商
泰迪犬,DrSemu :依据动态行为的歹意软件检测和分类东西-ope电竞官网-英超哈镇官方赞助商 泰迪犬,DrSemu :依据动态行为的歹意软件检测和分类东西-ope电竞官网-英超哈镇官方赞助商
泰迪犬,DrSemu :依据动态行为的歹意软件检测和分类东西-ope电竞官网-英超哈镇官方赞助商

检测

进程停止之后,依据Dr.Semu规矩,咱们将会接受到方针运用程序的检测成果,即方针运用是否是歹意软件。

Dr.Semu规矩

Dr.Semu规矩选用Python或LUA书写(坐落dr_rul做了爱es),需求运用到阻拦进程中的动态信息以及关于待测方针的静态信息。

规矩参阅样本-Python:【】

规矩参阅样本-LUA:【】

东西运用

1、运用管理员权限运转PowerShell,并特权PowerShell窗口中启用ProjFS:泰迪犬,DrSemu :依据动态行为的歹意软件检测和分类东西-ope电竞官网-英超哈镇官方赞助商

Enable-W陶笛indowsOptionalFeature -Online -FeatureName Client-ProjFS -NoRestart

2、从该adult项目的中下载项目文档并解压缩ZIP文件;

3、下载lolmhDynamoRIO,并将文件提取至DrSemu目录中,然后重命名为;

4、装置;

D山西太原气候rSemu.exe --target file_path

DrSemu.exe --target files_directory

东西演示

演示视频:【点我观看】

代码构建

1、运用管理员权限运转PowerShell,并特权PowerShell窗口中启用ProjFS:

Enable-WindowsOptionalFeature -Online奥迪s5 -FeatureName Client-ProjFS -NoRestart

2、装置;

3、下载DynamoRIO,并将项目文件提取至bin目录,然后重命名为;

4、构建库:

运用cmake-gui并经过DrSemu\shared_libs\pe_parse中生成VS项目;

在build目录(\shared_libs\pe_parse\build\pe-玛咖的成效及吃法parser-library\Rele大西瓜ase\)下构建32位代码,或许在build64目录下构建64位代码;

将运转时库选项设置为Multi-threaded(/MT);

运用cmake-gui并通ppt图片过DrSemu\shared_libs\pe_parse中生成VS李灿琛项目;

在build目录(\shared_libs\pe_parse\build\pe-parser-library\Release\)下构建32位代码,或许在夹被子build64目录下构建64位代码;

将运转时库选项设置为Multi-threaded(/MT);

5、将LauncherCLI设置为发动项目;

东西运转约束

仅有支撑的Windows渠道版别:Windows 10 v1809

项目地址

Dr.Semu:【G泰迪犬,DrSemu :依据动态行为的歹意软件检测和分类东西-ope电竞官网-英超哈镇官方赞助商itHub传送门】

Dr.Semu:【GitHub传送门】

* 参阅来历:secrary,FB小编Alpha_h4ck编译,转载请沈曼注明来自FreeBuf.COM