目前应该做的

内容纲要

目前进展: PowerShell 解混淆思路和手段已经具备

任务1,构建一个可被amsi检测的powershell简易脚本,尝试使用github top 5工具进行混淆,对混淆手法进行详尽的分析。

任务2,deep in AST,尝试使用DSN2022, datacon write up,和ccs2020中的抽象语法树分析大规模脚本,并探究总结抽象语法树的所有缺点。

任务3 基于代码相似度对样本进行初步分类,,分别使用PowerShell 5.1 和 Core 7.4 对1000个样本进行amsi解混淆。 对初步解混淆不成功的样本进行深入分析,尝试使用调试样本的手段,输出样本的全部关键信息,以求最好的解混淆效果。

(期望的贡献:通过定向提取内存中脚本将要执行的内容实现解混淆,收集并整理脚本,给出一个完善的解混淆工具)

任务4 联系并寻找更大规模的恶意脚本集,收集尽可能多的样本进行NLP训练,目标是分类和检测,以及提高amsi的检测率