analyzing-linux-elf-malware

Files (4)

• LICENSE
• SKILL.md
• api-reference.md · references/
• agent.py · scripts/

SKILL.md (first lines)

# 分析 Linux ELF 恶意软件

## 适用场景

- Linux 服务器或容器被攻陷，发现可疑 ELF 二进制文件
- 分析 Linux 僵尸网络（Mirai、Gafgyt、XorDDoS）、挖矿程序或勒索软件
- 调查针对云基础设施、Docker 容器或 Kubernetes Pod 的恶意软件
- 逆向工程 Linux rootkit 和内核模块
- 分析为 Linux x86_64、ARM 或 MIPS 架构编译的跨平台恶意软件

**不适用于** Windows PE 二进制文件分析；请使用 PEStudio、Ghidra 或 IDA 分析 Windows 恶意软件。

## 前置条件

- Ghidra 或支持 Linux ELF 的 IDA，用于反汇编和反编译
- Linux 分析虚拟机（推荐 Ubuntu 22.04），已安装开发工具
- strace、ltrace 和 GDB，用于动态分析和调试
- GNU binutils 中的 readelf、objdump 和 nm，用于静态检查
- Radare2，用于快速二进制分类和脚本化分析
- Docker，用于隔离的基于容器的恶意软件执行

## 工作流程

### 步骤 1：识别 ELF 二进制文件属性

检查 ELF 头部和基本属性：

```bash
# 文件类型识别
file suspect_binary

# 详细 ELF 头部分析
readelf -h suspect_binary

# 节头部
readelf -S suspect_binary

# 程序头部（段）
readelf -l suspect_binary

# 符号表（如未去符号表）
readelf -s suspect_binary
nm suspect_binary 2>/dev/null

# 动态链接信息
readelf -d suspect_binary
ldd suspect_binary 2>/dev/null  # 仅在匹配架构上使用！

# 计算哈希值
md5sum suspect_binary
sha256sum suspect_binary

# 检查打包/UPX
upx -t suspect_binary
```

```python
# 基于 Python 的 ELF 分析
from elftools.elf.elffile import ELFFile
import hashlib

with open("suspect_binary", "rb") as f:
    data = f.read()
    sha256 = hashlib.sha256(data).hexdigest()

with open("suspect_binary", "rb") as f:
    elf = ELFFile(f)

    print(f"SHA-256：      {sha256}")
    print(f"类型：          {elf.elfclass}-bit")
    print(f"字节序：        {'小端' if elf.little_endian else '大端'}")
    print(f"机器架构：      {elf.header.e_machine}")
    print(f"文件类型：      {elf.header.e_type}")
    print(f"入口点：        0x{elf.header.e_entry:X}")

    # 检查是否去符号表
    symtab = elf.get_section_by_name('.symtab')
    print(f"已去符号表：    {'是' if symtab is None else '否'}")

    # 节熵值分析
    import math
    from collections import Counter
    for section in elf.iter_sections():
        data = section.data()
        if len(data) > 0:
            entropy = -sum((c/len(data)) * math.log2(c/len(data))
                          for c in Counter(data).values() if c > 0)
            if entropy > 7.0:
                print(f"  [!] 高熵节：{section.name}（{entropy:.2f}）")
```

### 步骤 2：提取字符串和指标

搜索嵌入的 IOC 和功能线索：

```bash
# ASCII 字符串
strings suspect_binary > strings_output.txt

# 搜索网络指标
grep -iE "(http|https|ftp)://" strings_output.txt
grep -iE "([0-9]{1,3}\.){3}[0-9]{1,3}" strings_output.txt
grep -iE "[a-zA-Z0-9.-]+\.(com|net|org|io|ru|cn)" strings_output.txt

# 搜索 shell 命令
grep -iE "(bash|sh|wget|curl|chmod|/tmp/|/dev/)" strings_output.txt

# 搜索挖矿指标
grep -iE "(stratum|xmr|monero|pool\.|mining)" strings_output.txt

# 搜索 SSH/凭据窃取
grep -iE "(ssh|authorized_keys|id_rsa|shadow|passwd)" strings_output.txt

# 搜索持久化机制
grep -iE "(crontab|systemd|init\.d|rc\.local|ld\.so\.preload)" strings_output.txt

# FLOSS 用于混淆字符串（如可用）
floss suspect_binary
```

From killvxk/cybersecurity-skills-zh, Apache-2.0.

More from killvxk/cybersecurity-skills-zh