本书《Linux系统恶意软件取证现场指南》提供了深入的恶意软件分析和响应策略。书中不仅涵盖了如何收集易失性和非易失性数据，还详细介绍了检查内存、硬盘驱动器以及对未知文件和恶意软件样本进行动态和静态分析的具体步骤。此外，该书还探讨了在调查过程中如何遵守法律法规，确保数据完整性和安全性。书中通过实际案例和工具推荐，帮助读者掌握处理恶意软件事件的系统方法，确保在面对复杂威胁时能够迅速有效地采取行动。无论是新手还是经验丰富的数字调查员，都能从中获得宝贵的实战技巧和理论知识。

：“The-MALWARE-Repo：恶意软件样本库详解” 【正文】： "The-MALWARE-Repo" 是一个专门收集和存储恶意软件样本的资源库，它为安全研究者、网络安全专业人员以及对恶意软件行为有研究兴趣的人提供了一个宝贵的资料来源。这个存储库包含了各种类型的恶意软件，包括病毒、木马、远程访问工具（RAT）、勒索软件、间谍软件以及一些特殊类型的恶意程序。 1. **病毒**：病毒是一种自我复制的恶意代码，通常通过附着在其他合法程序上来传播。它们可以破坏系统，删除数据，甚至使计算机瘫痪。 2. **木马**：木马程序表面上看起来是合法的应用，但实际上隐藏了恶意功能，如窃取个人信息或为黑客提供后门。 3. **RAT（Remote Access Trojan）**：远程访问木马允许攻击者远程控制受害者的计算机，执行任意操作，如监控、窃取数据或进行非法活动。 4. **勒索软件**：这类恶意软件会加密用户的文件，并要求支付赎金以解密。著名的例子有 WannaCry，它在全球范围内造成了大规模的网络攻击。 5. **间谍软件**：间谍软件设计用于秘密监视用户活动，记录击键、窃取密码和其他敏感信息。 6. **Loveletter、Memz、Joke Program、Emailworm、Net-Worm**：这些都是特定的恶意软件实例，Loveletter 是一种通过电子邮件传播的蠕虫，Memz 是一种混淆的恶意程序，Joke Program 可能伪装成恶作剧软件，Emailworm 利用邮件系统传播，Net-Worm 则在网络中自主传播。 7. **Pony Malware**：Pony 是一种盗窃数据的恶意软件，能够窃取用户的在线账户信息、信用卡细节等。 8. **Loveware**：不同于传统意义上的恶意软件，loveware 主要是情感驱动的程序，可能包含浪漫信息，但可能同时携带潜在的危害。 9. **Eternalrocks**：利用 NSA 的“永恒之蓝”漏洞，该恶意软件能够自我传播并执行其他攻击。 10. **VBScript**：VBScript 是微软的一种脚本语言，有时会被滥用来编写恶意脚本，以实现自动执行或下载其他恶意组件的功能。 这个存储库的样本涵盖了上述所有类别，对于研究者来说，这是一个深入了解恶意软件工作原理、分析其行为和特征的重要平台。通过分析这些样本，可以学习如何检测和防御类似的威胁，提高网络安全防护能力。同时，这也为教学、研究和开发反恶意软件策略提供了丰富的实践材料。

在Windows操作系统中，Windows Defender是内置的反恶意软件服务，旨在保护系统免受病毒、间谍软件和其他恶意软件的侵害。然而，在某些情况下，用户可能需要暂时或永久关闭Windows Defender，例如，当运行某些需要较高系统权限或与Defender冲突的应用程序时。本文将详细介绍如何通过脚本彻底关闭Windows Defender的Antimalware Service executable（amsi服务）。 我们要明确，关闭Windows Defender是一项敏感操作，因为它会降低系统的安全防护等级。如果你没有其他可靠的防病毒软件替代，不建议这样做。然而，如果你已经决定关闭，并且了解潜在风险，可以按照以下步骤进行： 1. **创建批处理脚本**： 在桌面或任意文件夹下，新建一个文本文档，输入以下命令，然后将其保存为`.bat`批处理文件，例如`disable_defender.bat`。这将禁用Windows Defender的服务和实时保护。 ```batch @echo off reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableRealtimeMonitoring /t REG_DWORD /d 1 /f reg add "HKLM\SYSTEM\CurrentControlSet\Services\WinDefend" /v Start /t REG_DWORD /d 4 /f sc config WinDefend start= disabled net stop WinDefend ``` 2. **运行脚本**： 右键点击刚创建的批处理文件，选择“以管理员身份运行”。系统可能会提示确认执行操作，点击“是”继续。运行后，Windows Defender的相关服务会被设置为禁用状态。 3. **验证关闭状态**： 脚本执行完毕后，可以通过以下方法检查Windows Defender是否已关闭： - 打开“服务”管理工具（services.msc），找到“Windows Defender Service”（WinDefend），确认其状态为“已停止”，启动类型为“禁用”。 - 在“设置”>“更新和安全”>“Windows Defender”中，你应该看到“实时保护”等防护功能显示为关闭状态。 4. **注意事项**： 关闭Windows Defender后，系统将失去默认的防病毒保护。建议在关闭Defender的同时安装并启用其他可信的防病毒软件，以确保系统安全。另外，每次系统更新或修复后，Windows Defender可能会自动恢复其默认设置，你需要定期检查并重新执行上述脚本，以保持关闭状态。 5. **恢复设置**： 如果你决定重新启用Windows Defender，只需修改批处理脚本中的`/d 1`为`/d 0`，然后再次以管理员身份运行。这将启用实时监控和设置服务为自动启动。 关闭Windows Defender的Antimalware Service executable是一项涉及系统安全的重要操作，需谨慎对待。只有在确保有其他安全措施的情况下，才应考虑执行此类操作。同时，定期更新系统和软件，保持良好的网络安全习惯，是防止恶意软件攻击的关键。

库加 使用遗传算法例程对未知恶意软件进行聚类 COUGAR是一个系统，能够减少高维恶意软件行为数据，并借助多目标遗传算法来优化该数据的聚类，以标记未知恶意软件。 此与以下论文相关： 和 。 2020年。COUGAR：使用遗传算法例程对未知恶意软件进行聚类。 在2020年7月8日至12日在墨西哥坎昆举行的遗传与进化计算会议（ ）上。 ACM，美国纽约，纽约，共9页。 建立 设置virtualenv： # This may require you to install the python3-venv package # You can do so on a Debian-based s

在动态图像文件行为的分布式图像可视化中，使用GAN模拟恶意软件作者以提供主动保护 引用为： VS Bhaskara, and D. Bhattacharyya. arXiv preprint arXiv:1807.07525 [stat.ML] (2018) 。 引用代码 训练的WGAN-GP模型基于上发布的代码。 我们将带有improved_wgan_training/gan_64x64.py脚本与GoodGenerator和GoodDiscriminator函数定义的网络体系结构GoodDiscriminator使用。 每个通道使用的64位dHash基于上的实现。 在color_dHash192.py脚本中显示了通过在彩色图像的通道上串联dHash来哈希的扩展。 数据集 dataset_filedetails.csv ：列出文件SHA256哈希值和所使用的12,006个不同可执行文

恶意软件研究API 恶意软件研究的API函数，基本上是MalScanBot的后端

这是The Malware Museum，一组90年代DOS的.com程序集合， 可以让我们感受到DOS下的软件风格，没有图形界面，只有带颜色的字符界面。 比如其中的techno.com.zip文件，可以生成DOS下的电子音乐，非常经典。ambulanc.zip可生成救护车动画。

PeStudio 是一款用于静态分析恶意软件的工具，也是我最喜欢的恶意软件分析工具之一

AndroPy工具 更新！ DroidBox图像是固定的。 动态分析现在正在工作。 这是一个用于从Android APK中提取静态和动态功能的工具。 它结合了各种著名的Android应用程序分析工具，例如DroidBox，FlowDroid，Strace，AndroGuard或VirusTotal分析。 提供了包含APK文件的源目录，AndroPyTool应用了所有这些工具来执行静态，静态和动态分析，并生成JSON和CSV格式的功能文件，还允许将所有数据保存在MongoDB数据库中。 要获取更多信息，您可以阅读以下两篇文章： 马丁·A，拉拉·卡布雷拉·R和卡马乔·D（2018）。 信息融合。 DOI：10.1016 / j.inffus.2018.12.006 马丁·A，拉拉·卡布雷拉·R和卡马乔·D（2018）。 数据科学和知识工程中的传感决策支持（第509-516页）。 世

Antimalware Service Executable占用高内存，可以使用该软件关闭。