vlad/reverse-skills-max
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
da24c2bd206830822af121457bf51692ef7fc3aa
reverse-skills-max/vendor-new/rev-skills/.claude/skills/re-doc-malware/references/decision-tree.md

5.5 KiB
Raw Blame History

恶意文档分析决策树与证据分级

场景决策树（入口 → 分支）

1. 文件类型识别（第一级）

拿到文档样本
├─ 头 %PDF        → PDF 分支（第 2 节）
├─ 头 D0 CF 11 E0 → CFB/OLE 分支（第 3 节：doc/xls/ppt 旧格式）
├─ 头 PK          → OOXML 分支（第 3 节：docx/xlsx/docm/zip 包）
├─ 头 {\rtf       → RTF 分支（第 4 节）
└─ 其他           → 真格式伪装？再 file 二次判定；仍不是文档 → 换 [[re-triage]]
  • 判定依据是文件头字节不是扩展名（扩展名可伪造）；file 输出的 MIME 只作参考
  • 多类型混合（PDF 内嵌 OLE 对象、RTF 内嵌 OLE、OOXML 内嵌 PDF）→ 外层分支走完后，提取出的内嵌物回到第一级重新分支

2. PDF 分支

PDF 样本
├─ /JS 或 /JavaScript 动作 → 提取 JS → [[re-script-deob]] 还原 → 查 shellcode/URL
├─ /OpenAction 或 /AA     → 打开即执行 → 同上，并记录触发方式（文档级/页级）
├─ /Launch                → 外部程序启动 → 提取 /F 参数与嵌入文件
├─ /EmbeddedFile          → 嵌入载荷 → 按文件类型回第一级
├─ /JBIG2Decode /RichMedia 等已知漏洞结构 → 对照利用模式（结构特征，非版本号）
├─ 有对象流（ObjStm）且 -f 后仍无 JS → 用 qpdf 展开对象流/压缩流重查（坑 1）
└─ 全静态无特征          → 沙箱动态打开（见步骤 7），对比渲染前后行为

3. Office 分支（CFB / OOXML）

Office 样本
├─ olevba 提到宏（AutoOpen/Workbook_Open/Document_Open/Auto_Open 等）
│  ├─ 有 VBA stomping 警告 → 以动态行为为准，P-code 反汇编对照
│  ├─ 宏源码混淆           → --decode/--reveal/--deobf 逐层解
│  └─ 宏干净但行为异常     → 查非宏向量（下表）
├─ 无宏
│  ├─ rels 有 TargetMode="External" → 模板注入/外部链接 → 追远程目标（网络侧）
│  ├─ 有 DDEAUTO 域        → 较新 Word 默认禁用；旧版触发 → 记录版本假设
│  ├─ 有 OLE 嵌入对象      → oleobj/rtfobj 提取 → 回第一级
│  ├─ XLM 宏表（.xls）     → xlmdeobfuscator 还原
│  └─ 全静态无特征         → 沙箱动态打开
└─ 加密/损坏（olevba 读不出）→ 查是否加密文档（oleid）；口令型样本标注"无法提取宏"
  • 宏入口不止自动宏：表单控件、快捷键、工作簿事件、自定义按钮都能触发——静态看全部 Sub 的调用关系
  • 宏的最终载荷多为 PowerShell/mshta/regsvr32/rundll32 命令行 → 提取命令后走 re-script-deob / re-evasion

4. RTF 分支

RTF 样本
├─ 含 \objdata → 嵌入 OLE → rtfobj 提取 → 回第一级（多为 Office 漏洞利用或宏文档）
├─ 含 \pict    → 图片内嵌数据 → 可疑则提取十六进制再判定
├─ 整篇 \'XX 转义 → 先还原转义（unrtf/文本替换）再查关键字
└─ 纯文本内容  → 钓鱼正文类，转 [[re-ioc]] 提 URL/身份特征

5. 载荷 → 处置分支

提取到的载荷
├─ JS/VBA/PowerShell 脚本 → [[re-script-deob]] 去混淆 → 还原后回到本节
├─ URL/域名                → [[re-netcap]] 抓取（沙箱）或 [[re-triage]] 初勘 → [[re-ioc]]
├─ PE/ELF 二进制           → [[re-triage]] → [[re-malware]] 网关走完整分析
├─ 多层嵌套                → 每层编号存档后递归处理，保留触发链记录
└─ 数据文件（其他格式）    → 回第一级重新识别

证据分级表

结论要能回答"恶意性证据从哪来"，按强度分级标注：

级别 证据形态 示例 用途
A 强 动态行为 + 网络侧闭合 沙箱内释放/回连 URL，网络侧抓到相同 URL 可下"恶意"结论
B 中 载荷提取链闭合 宏还原出 PowerShell 下载命令，URL 可访问 可下"可疑/高度可疑"
C 弱 静态特征 只有 /JS + /OpenAction、宏存在、未知 CLSID 只支持"需进一步分析"，不下结论
反证 良性解释 宏仅为自动化办公、对象为正常嵌入 记录并存档，避免误报
  • 每个结论至少对应一级证据；跨级结论（C 级特征下"恶意"结论）视为无证据支撑
  • 存档时注明：工具版本（olevba 版本影响 XLM/stomping 检测能力）、文件哈希、提取链每层哈希（re-analyze/analysis-contract）

实现教训（内化）

  • 先类型后特征：分支判断全部基于头字节，扩展名只当提示；类型判错整个工具链就错
  • 特征定位按"动作"而非"对象"：/JS 要配合 /OpenAction /AA 才构成执行链——单看对象存在不够，要看触发关系
  • 静态怀疑、动态确认：任何静态特征结论都在沙箱里用行为对照一遍；VBA stomping 场景下静态源码可能完全不可信
  • 每层载荷立即存档（编号 + sha256），不要等分析完再补——多层链极易在还原过程中丢失中间层
  • 版本记录：Office/阅读器/工具版本影响触发行为（MOTW、DDE 默认值、宏安全）——报告里注明环境版本
  • 证据链与触发方式（打开触发/交互触发/延迟触发）一起记录，动态复现才能对齐

使用注意

  • 全部在沙箱内执行（re-sandbox，re-analyze/platform-tips 最高原则）；动态打开 = 真实执行未知代码
  • 文档类样本分析只针对授权范围内的分析任务；提取出的载荷按 re-malware 流程继续，不在此技能内处置