流量与样本溯源43 条

加壳与混淆的快速识别

样本节区特征能快速提示是否加壳：节名异常、熵值高、导入表极小是常见信号，识别后改用针对性的解壳或动态分析路径。

静态	节区表与熵值（diec 等工具）
动态	运行时先解密后执行，沙箱环境更合适

快速查看

diec.exe sample.bin
# 或者
# strings.exe -n 8 sample.bin | Select-String -Pattern '\.aspack|\.upx|\.themida'

加壳不等于恶意，正常软件也常加壳；结论要结合行为与来源。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌