19、Linux 系统中恶意文件的混淆技术与识别方法

Linux 系统中恶意文件的混淆技术与识别方法

在网络安全领域，恶意软件常常采用各种混淆技术来躲避检测和分析。本文将深入探讨 Linux 环境下文件混淆的常见机制，以及如何识别被混淆的文件。

1. 文件混淆的原因与常见机制

攻击者使用文件混淆技术，主要是为了绕过网络安全防护机制，如杀毒软件和入侵检测系统，同时也防止病毒研究人员、恶意软件分析师等对其代码进行逆向工程。此外，在如今的地下黑客经济中，攻击者还希望防止其他攻击者获取其代码，以免被“劫持”控制受感染计算机或窃取有价值的信息。

在 Linux 环境中，攻击者常用的文件混淆机制包括打包器（Packers）、加密器（Cryptors）和包装器（Wrappers）。

1.1 打包器（Packers）

• 定义：打包器是一种可以压缩甚至加密可执行文件内容的程序。它通过压缩原始可执行二进制文件，将其内容隐藏在一个“新”的可执行文件结构中。
• 工作原理：打包程序会在文件末尾写入一个解压缩算法存根，并修改可执行文件的入口点到存根的位置。执行打包程序时，解压缩例程会在运行时将原始二进制可执行文件提取到内存中并触发执行。
• 目的：与普通的压缩和存档实用程序不同，打包器的主要目的不是节省磁盘空间，而是隐藏文件内容以绕过安全防护机制。
• 平台适用性：大多数打包程序是为 Windows 平台和 PE 文件设计的，适用于 ELF 可执行二进制文件的打包程序相对较少。攻击者有时