[分析引擎开发笔记]64位系统支持

2017-4-14 Nie.Meining Life

这两天为分析引擎http://tcasoft.com/提供了64位系统支持,上传样本时可以选择64位环境了:

64up.png


其实Windows系统64位和32位的内核数据结构差异并不大,只是变量具体偏移、具体长度方面的变化,所以对于API等上层行为的监控来讲比较容易实现,反而是Shellcode检测、漏洞攻击检测等指令分析方面的差异很大,还需要不断优化。

目前64位分析环节只准备了一个简单的镜像用于测试,没有安装Office等常用软件。展示一个测试样本的分析报告:

http://tcasoft.com/tcaCloudPlatform/report/toViewReport.action?id=65

20170414200619.png


基本上具备了和32位系统一样的分析能力。

----------------------------------------------------------------------------------


另外再分享一个最近比较火的样本,CVE-2017-0199:

http://tcasoft.com/tcaCloudPlatform/report/toViewReport.action?id=73

从网络数据包解析一栏可以看出,该样本从 rottastics36w.net/template.doc 下载了恶意代码:

64up.png


不过这个链接目前已经无法访问了。


评论:

Rannevknoca
2019-07-11 08:49
kanada preiswerter is
Rannevknoca
2019-07-11 05:42
pillole viagra economico
Rannevknoca
2019-07-10 12:29
experience with generic viagra
Rannevknoca
2019-07-10 09:46
viagracom prices
Aarontic
2019-07-10 08:13
http://buycephalexin.us.com/ - drug cephalexin
Rannevknoca
2019-07-10 05:58
100mg is be ny pfizer
Aarontic
2019-07-10 05:10
http://propecianorx.us.com/ - propecia.com
Stukovninaknoca
2019-07-10 02:11
acheter du is 20 mg

     3570 how manyis 5 do i take
Stukovninaknoca
2019-07-10 01:45
is be on line us

     3570 very good site uk is sales
Aarontic
2019-07-09 08:23
http://1stdoxycyclinenow.com/ - doxycycline 50mg
Vichkaknoca
2019-07-09 02:10
is price london

     cff1 safest way to be is
Rannevknoca
2019-07-08 22:23
forum viagra pour femme
Vichkaknoca
2019-07-08 21:50
produit is sans ordonnance

     cff1 forum is marocain
Vichkaknoca
2019-07-08 21:41
generische is pille

     cff1 is super force be
Aarontic
2019-07-08 14:06
http://vardenafil.agency/ - vardenafil hcl 20mg tab

发表评论:

Powered by emlog