惡意軟體分析課程

第 1 課 • 法律與道德責任

概述負責任揭露、資料處理義務與分析師的道德界線，並建構本課程期許的專業行為框架。

第 2 課 • 惡意軟體分析工作流程

介紹分析師針對每個樣本從分流到報告的流水線，將靜態、動態及程式碼分析階段串連為統一流程。

第 3 課 • 建立安全分析實驗室

教導使用虛擬機器與網路控制來隔離樣本，防止樣本外洩，直接支援後續章節的實作訓練。

第 1 課 • 防毒軟體與威脅情資整合

示範如何將樣本提交至多重引擎掃描器，並查詢威脅情資平台，將靜態分析結果置於已知威脅環境中。

第 2 課 • 熵值與封包偵測

使用熵值測量來識別二進位檔中已封包或加密的區段，讓分析師在深入分析前先進行解封包。

第 3 課 • PE 格式深度探討

分析可攜式執行檔結構，包括標頭、區段與匯入表。理解 PE 配置對於偵測封包與注入至關重要。

第 4 課 • 字串萃取與分析

涵蓋 ASCII 與 Unicode 字串萃取，以找出 URL、登錄檔機碼與內嵌指令。字串常能在執行程式前揭露惡意意圖。

第 1 課 • 網路流量擷取與分析

涵蓋封包擷取、協定剖析與 DNS 查詢記錄。網路痕跡能揭露命令與控制基礎設施及資料外洩行為。

第 2 課 • 程序與系統監控

教導即時觀察程序建立、檔案寫入與登錄檔變更，建立每次動態分析的工作基線。

第 3 課 • 記憶體痕跡收集

教導在即時執行期間擷取完整記憶體傾印與程序記憶體，供後續分析使用。記憶體痕跡能揭露注入的程式碼與僅存於記憶體中的酬載。

第 4 課 • 自動化沙箱分析

介紹能自動產出行為報告而不需手動設定的沙箱。分析師學習解讀沙箱輸出，並識別規避痕跡。

第 1 課 • 反組譯器工作流程與導覽

教導載入二進位檔、導覽函式以及在專業反組譯器中註解程式碼。有效率的導覽能直接加速分析產出。

第 2 課 • 分析惡意演算法

聚焦於惡意軟體中內嵌的自訂加密、編碼常式與雜湊函式。解碼這些演算法對萃取設定資料至關重要。

第 3 課 • 控制流程圖解讀

使用控制流程圖理解複雜的分支、例外處理與混淆路徑。CFG 分析能揭露線性閱讀難以發現的邏輯。

第 4 課 • 辨識常見程式碼結構

識別反組譯程式碼中的迴圈、條件判斷、switch 敘述與 API 呼叫模式。模式辨識能減少處理常規程式碼結構的時間。

第 1 課 • 腳本化與自動化除錯工作階段

教導撰寫除錯器腳本，自動化記錄 API 呼叫與修補檢查等重複性任務。自動化能大幅提升大量樣本的分析速度。

第 2 課 • 除錯器基礎與設定

涵蓋使用者模式除錯器中的中斷點類型、逐步執行模式與暫存器檢視，建立後續章節所需的互動式分析技能。

第 3 課 • 核心模式除錯基礎

介紹雙機核心除錯，用於分析驅動程式、Rootkit 與核心層級酬載，將除錯技能從使用者模式擴展至特權執行環境。

第 4 課 • 繞過反除錯技術

識別並消除常見的反除錯檢查，如計時攻擊與除錯器旗標測試。繞過這些檢查是分析受保護惡意軟體的先決條件。

第 1 課 • 反虛擬機器與反沙箱規避

涵蓋惡意軟體用來偵測虛擬環境的痕跡型與行為型檢查。分析師學習偽造或移除這些痕跡，以強制完整執行。

第 2 課 • 封包器內部結構與自訂載入器

在組合語言層級剖析封包器存根邏輯、自我修改程式碼與自訂載入常式。深入的封包器知識能讓分析師無須依賴已知特徵即可進行解封。

第 3 課 • 程式碼混淆技術

檢視垃圾程式碼插入、指令替代與無用程式碼模式，這些技術會阻礙分析。辨識這些模式能避免浪費時間在無關的程式碼上。

第 4 課 • 破解字串與 API 混淆

針對執行時期字串解密與動態 API 解析技術，這些技術會隱藏惡意軟體的功能。還原字串與 API 名稱能恢復分析的可視性。

第 1 課 • 命令與控制協定

對 HTTP、DNS 與自訂二進位 C2 協定進行逆向工程，以理解攻擊者通訊方式。協定分析能建立網路偵測規則。

第 2 課 • 程序注入與空心化

在程式碼層級涵蓋 DLL 注入、程序空心化、反射式載入與執行緒劫持。這些技術是大多數進階惡意軟體與 APT 工具的核心。

第 3 課 • 勒索軟體內部結構

剖析勒索軟體樣本中的檔案列舉、加密金鑰管理與贖金通知傳遞。理解內部結構支援解密工具開發與復原。

第 4 課 • Rootkit 與隱匿技術

分析 DKOM、掛鉤式隱藏與核心層級 Rootkit 所使用的過濾驅動程式技術。隱匿分析需結合核心除錯與記憶體鑑識。

第 1 課 • Sigma 與網路偵測規則

涵蓋以日誌為基礎的 Sigma 規則撰寫，以及用於網路流量告警的 Suricata 規則，將惡意軟體行為橋接至 SIEM 與 IDS 部署。

第 2 課 • 惡意軟體歸因與分群

使用程式碼重用、基礎設施重疊與 TTP 相似性來分群樣本並歸因攻擊活動。歸因有助於策略性威脅情資報告。

第 3 課 • YARA 規則開發

教導撰寫、測試與最佳化鎖定獨特位元組模式與字串叢集的 YARA 規則。YARA 規則是分析師產出的主要靜態偵測成品。

第 4 課 • 指標萃取與強化

系統化地萃取網路、主機與行為指標，並以威脅背景資訊加以強化。強化的指標是所有偵測與獵捕工作的基礎。