T1027.016: 插入垃圾代码

摘要

攻击者可能使用垃圾代码/死代码来混淆恶意软件的功能。垃圾代码是指不会执行，或者即使执行也不会改变代码功能的代码。垃圾代码使分析更加困难和耗时，因为分析人员需要逐条执行无功能代码，而不是分析主要代码。由于使用了无害功能，它还可能妨碍依赖静态代码分析的检测，尤其是与[压缩](https://attack.mitre.org/techniques/T1027/015)或[软件加壳](https://attack.mitre.org/techniques/T1027/002)结合使用时。(Citation: ReasonLabs)(Citation: ReasonLabs Cyberpedia Junk Code) 无操作（NOP）指令是 x86 汇编语言中常用的一种死代码示例。它们通常以 0x90 操作码使用。当向恶意软件添加 NOP 时，反汇编器可能会显示 NOP 指令，导致分析人员需要逐条执行它们。(Citation: ReasonLabs) 使用插入垃圾/死代码与[二进制填充](https://attack.mitre.org/techniques/T1027/001)不同，因为其目的是混淆代码的功能，而不仅仅是改变恶意软件的签名。