0x00 简介

最近研究了一些开源的杀毒引擎，总结了一下利用ClamAV(www.clamav.net)来打造属于自己的恶意软件分析特征库。特征库主要包括HASH匹配、文件内容特征库、逻辑特征库、二进制特征码(SHELLCODE)、ASCII特征码。

0x01 ClamAV部署

1.       实验环境

所有实验均在Kali Linux V1.0.9操作系统上。

2.       安装clamav

3.       其他环境

其他环境请参考如下URL: http://www.clamav.net/doc/install.html

0x02 ClamAV恶意软件特征库

1.       特征库位置

特征库默认安装位置在/usr/lib/clamav/目录下，main.cvd即是主要特征库，daily.cvd则是每日增量式更新的特征码库。

http://s4/mw690/004gr0JOgy6QiIXPG0ze3&690

2.       解压特征库

http://s1/mw690/004gr0JOgy6QiIZpI6Q60&690

3.       特征库解释

0x03 构造属于自己的恶意软件特征库

   下面利用一个免杀木马来构造一个特征库。我们利用clamav发现我们自己编译的木马是没有被发现的。

http://s5/mw690/004gr0JOgy6QiJ2yVQE94&690

1.       构造MD5库

a)       生成md5哈希库

b)       利用test.hdb来查杀

http://s11/mw690/004gr0JOgy6QiJ6M3Roba&690

2.       构造PE头信息特征库

a)       生成PE头信息签名的工具

b)       查看PE签名

http://s11/mw690/004gr0JOgy6QiJ88K9A2a&690

c)       生成PE头信息签名

d)       利用生成的签名进行检查

http://s1/mw690/004gr0JOgy6QiJcuYbC70&690

3.       构建文件内容特征库

a)       查找特征码

首先利用IDA PRO来查看恶意软件的特征码。

http://s8/mw690/004gr0JOgy6QiJfeIwT07&690

b)       转换成十六进制

http://s14/mw690/004gr0JOgy6QiJhJWuVed&690

c)       利用十六进制特征码构建特征库

在构建特征库之前先看一下可扩展的特征码格式:

SigName:Target:Offset:Hex

下面我们构造特征码:

我们查杀一下:

http://s3/mw690/004gr0JOgy6QiJjBXEua2&690

0x04 参考文献

http://infosec4breakfast.blogspot.com/2013/06/fun-with-clamav.html

https://github.com/vrtadmin/clamav-devel/raw/master/docs/signatures.pdf

文章来自：@cnbird2008 @阿里云安全#鸟哥谈安全#系列，转载请注明出处。