[分析引擎开发笔记]64位系统支持

2017-4-14 Nie.Meining Life

这两天为分析引擎http://tcasoft.com/提供了64位系统支持,上传样本时可以选择64位环境了:

64up.png


其实Windows系统64位和32位的内核数据结构差异并不大,只是变量具体偏移、具体长度方面的变化,所以对于API等上层行为的监控来讲比较容易实现,反而是Shellcode检测、漏洞攻击检测等指令分析方面的差异很大,还需要不断优化。

目前64位分析环节只准备了一个简单的镜像用于测试,没有安装Office等常用软件。展示一个测试样本的分析报告:

http://tcasoft.com/tcaCloudPlatform/report/toViewReport.action?id=65

20170414200619.png


基本上具备了和32位系统一样的分析能力。

----------------------------------------------------------------------------------


另外再分享一个最近比较火的样本,CVE-2017-0199:

http://tcasoft.com/tcaCloudPlatform/report/toViewReport.action?id=73

从网络数据包解析一栏可以看出,该样本从 rottastics36w.net/template.doc 下载了恶意代码:

64up.png


不过这个链接目前已经无法访问了。


评论:

trantyRurdyspusty
2019-04-12 11:30
generico de cialis en chile http://cialisloq.com generic cialis, viagra and knee pain
Aarontic
2019-04-12 03:38
http://revia.network/ - revia
trantyRurdyspusty
2019-04-12 03:11
is it safe to take viagra with bystolic http://www.cialisloq.com cheap generic cialis, duracion de los efectos de cialis
trantyRurdyspusty
2019-04-11 18:36
tadalafil pГ©rimГ© risques http://www.cialisloq.com order generic cialis, tadalafil once a day controindicazioni
Aarontic
2019-04-11 16:07
http://buyallopurinol.network/ - where to buy allopurinol
Aarontic
2019-04-09 04:41
http://buymotilium.team/ - motilium
Aarontic
2019-04-08 21:21
http://buybaclofen.network/ - order baclofen online
Aarontic
2019-04-08 05:27
http://neurontin.golf/ - neurontin medication
Aarontic
2019-04-07 14:48
http://indocin.run/ - indocin
Aarontic
2019-04-06 18:49
http://albuterolfastdelivery.com/ - albuterol
Aarontic
2019-04-06 03:42
http://buyamoxicillin.network/ - where to buy amoxicillin online
Aarontic
2019-04-05 11:10
http://antabuse.durban/ - antabuse
Aarontic
2019-04-02 07:19
http://benicar.international/ - benicar
Aarontic
2019-04-01 16:53
http://tadalafilnoed.com/ - tadalafil
Aarontic
2019-04-01 07:56
http://kamagra1019.com/ - kamagra 100mg

发表评论:

Powered by emlog