如何通过可疑活动检测新威胁？

未知的何通恶意软件构成了重大的网络安全威胁 ，可能对组织和个人造成严重损害 。疑活如果没有被检测出来，动检恶意代码就可以访问机密信息、测新破坏数据 ，威胁并允许攻击者操控系统 。何通本文介绍了如何避免这些情形
，疑活并有效地检测未知的动检恶意行为 。

检测新威胁面临的测新挑战

虽然已知的恶意软件家族更容易预测，也更容易被检测出来 ，威胁但未知的何通威胁可能以多种形式呈现 ，云计算这就给检测它们带来了一系列挑战：

1. 恶意软件开发人员使用多态性
，疑活这使他们能够修改恶意代码 ，动检以便生成同一种恶意软件的测新独特变体。

2. 有些恶意软件仍未被识别
，威胁也缺少检测它们的任何规则集。

3. 一些威胁可能在一段时间内完全不可检测（FUD） ，这给边界安全出了难题 。

4. 代码常常是经过加密的
，因此很难被基于特征的安全解决方案检测出来。

5. 恶意软件的编写者可能使用一种“少量而缓慢”的亿华云方法 ，即在很长一段时间内通过网络发送少量恶意代码 ，因而加大了检测和拦截的难度。这在企业网络中尤其具有破坏性，因为无法深入了解环境可能导致未被检测出来的恶意活动 。

检测新威胁

研究人员在分析已知的恶意软件家族时，可以充分利用关于恶意软件的现有信息（比如行为、攻击载荷和已知漏洞），以便检测和响应它 。

不过在应对新威胁时 ，研究人员必须从头开始，使用以下指南：

第1步：使用逆向工程来分析恶意软件的香港云服务器代码 ，以确定其目的和恶意性质。

第2步：使用静态分析来检查恶意软件的代码，以确定其行为、攻击载荷和漏洞
。

第3步 ：使用动态分析来观察恶意软件在执行期间的行为。

第4步  ：使用沙盒机制在隔离的环境中运行恶意软件 ，以观察其行为 ，又不损害系统。

第5步 ：使用启发式方法
，根据可观察到的模式和行为来识别可能恶意的源码库代码。

第6步：分析逆向工程  、静态分析、动态分析、沙盒机制和启发式方法的结果  ，以确定代码是不是恶意代码 。

外头有众多工具可以帮助你完成上面这5个步骤 ，从Process Monitor 、Wireshark到ANY.RUN，不一而足 。但如何得出一个准确的结论？在拥有所有这些数据的同时，建站模板你又应该注意什么 ？

答案很简单  ：关注恶意行为的指标。

监控可疑活动以实现高效检测

不同的特征被用来检测威胁。在计算机安全术语中，特征是与计算机网络或系统上的恶意攻击相关联的典型足迹或模式
。

这些特征的一部分是行为特征
。在操作系统中做了一番手脚而不留下跟踪是不可能做到的  。我们可以通过可疑活动来识别是服务器租用什么软件或脚本。

你可以在沙盒中运行可疑程序，以观察该恶意软件的行为，并识别任何恶意行为 ，比如：

异常的文件系统活动

可疑的进程创建和终止

异常的网络活动

读取或修改系统文件

访问系统资源

创建新用户

连接到远程服务器

执行其他恶意命令

利用系统中的已知漏洞

微软Office启动了PowerShell
，是不是觉得看起来很可疑 ？一个应用程序将自己添加到计划任务中，一定要注意它。svchost进程在临时注册表中运行 ，肯定哪里出了岔子。

你总是可以通过行为检测到任何威胁
，即使没有特征。

不妨证明一下 。

第一个用例

这是窃取器的一个样本 。它执行什么操作 ？窃取用户数据
、cookie和钱包等。我们如何才能检测它？比如说 ，当该应用程序打开Chrome浏览器的Login Data（登录数据）文件时，它就会暴露自己 。

图1. 窃取器的可疑行为

网络流量中的活动还显露了威胁的恶意意图 。合法的应用程序永远不会发送凭据
、操作系统特征及本地收集的其他敏感数据。

以流量为例，恶意软件可以通过众所周知的功能检测出来 。Agent Tesla在一些情况下并不加密从受感染的系统发送的数据 ，如该样本所示。

图2. 网络流量中的可疑活动

第二个用例

没有多少合法的程序需要停止Windows Defender或其他应用程序来保护操作系统或者把自己排除在外。每当你遇到这种行为
，这是可疑活动的迹象
。

图3. 可疑行为

应用程序是否删除影子副本？如果是 ，看起来像是勒索软件 。它是否删除影子副本
，并在每个目录中创建带有自述文本的TXT/HTML文件？这是表明它是勒索软件的另一个例子。

如果用户数据在这个过程中被加密
，我们基本可以确定它是勒索软件
 。就像这个恶意例子（https://app.any.run/tasks/39633ba6-7cd7-441a-97f6-9556fc1f0056/?utm_source=hacker_news&utm_medium=article&utm_campaign=detect_new_threats0223&utm_cnotallow=task3）中发生的情况一样，即使我们不知道恶意软件家族 ，也可以识别出该软件构成什么样的安全威胁 ，然后见机行事 ，采取措施来保护工作站和组织的网络。

图4. 勒索软件的可疑行为

根据沙盒中观察到的行为 
，我们可以对几乎所有类型的恶意软件得出结论 。不妨尝试ANY.RUN在线互动服务来监测恶意软件 ，你可以立即得到初期结果 ，并实时看到恶意软件的所有活动 ，这正是我们揪出可疑活动所需要的 。

结语

网络犯罪分子可以利用未知威胁向企业勒索钱财，并发动大规模网络攻击。即使恶意软件家族没有被检测出来 ，我们也总是可以通过观察分析其行为来推断威胁的功能 。利用这些数据，就可以构建信息安全以防止任何新的威胁 。行为分析在不增加成本的情况下增强了应对新型未知威胁的能力
，并加强了贵组织的保护。

本文翻译自：https://thehackernews.com/2023/02/how-to-detect-new-threats-via.html