[發明專利]一種基于Powershell腳本的去混淆方法

在審

• 申請號: 202011543327.5
• 申請日: 2020-12-24
• 公開（公告）號: CN112464224A
• 公開（公告）日: 2021-03-09
• 發明（設計）人: 胡建勛;徐根煒;劉元
• 申請（專利權）人: 中科信息安全共性技術國家工程研究中心有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于Powershell腳本的去混淆方法，其特征在于：所述去混淆方法包括如下步驟：

步驟一：對文檔進行預處理，提供Office文檔自動運行的虛擬環境，并將宏安全性降到最低；

步驟二：第一層動態解混淆，利用Hook機制將Powershell代碼從文檔內混淆過的代碼中提取出來；

步驟三：第二層靜態解混淆，根據文檔內惡意Powershell的混淆特征獲取原始Powershell。

2.如權利要求1所述的一種基于Powershell腳本的去混淆方法，其特征在于：第一層動態解混淆的具體步驟為：

利用Hook機制監控所述目標Off ice文檔運行時的PowerShell.exe進程和cmd.exe進程，獲取命令參數;

對所述命令參數進行正則化匹配處理，獲得初步去混淆的PowerShell代碼。

3.如權利要求1所述的一種基于Powershell腳本的去混淆方法，其特征在于：所述動態解混淆采取\-[Ee^]{1,2}[NnCcOoDdEeMmAa^]+ [A-Za-z0-9+/=]{5,}的正則化匹配處理，并保留有效參數字段。

4.如權利要求1所述的一種基于Powershell腳本的去混淆方法，其特征在于：所述命令參數進行正則化匹配處理的步驟之后，還包括:

若匹配到一EncodeCommand命令，則保留一EncodeCommand命令后面的有效參數字段；

所述分析所述初步去混淆的PowerShell代碼的混淆特征，并根據所述混淆特征對所述初步去混淆的PowerShell代碼進行解混淆，獲取原始PowerShell代碼的步驟，具體為:對所述有效參數字段進行base64位解碼，并去除\OX00和空格的混淆，獲得解碼后的PowerShell代碼;若所述解碼后的PowerShell代碼中包含Split函數，則根據所述Split函數的功能對所述解碼后的PowerShell代碼進行處理;和/或，若所述解碼后的PowerShell代碼中包含ASCII編碼，則對所述ASCII編碼進行解碼；對剩余部分的有效參數字段進行拼接和格式化處理。