-
UID：17777
-
- 注册时间2007-05-02
- 最后登录2025-10-27
- 在线时间19239小时
-
- 发帖842223
- 搜Ta的帖子
- 精华0
- 飞翔币121261
- 威望325882
- 飞扬币3793887
- 信誉值8
-
访问TA的空间加好友用道具
- 发帖
- 842223
- 飞翔币
- 121261
- 威望
- 325882
- 飞扬币
- 3793887
- 信誉值
- 8
|
病毒样本如要运行请在测试环境运行（虚拟机中 并做好快照）[font=-apple-system, BlinkMacSystemFont, "]观看顺序 1. main.asm配合sample.idb 2. sample_dumpsample_dump02.idb[font=-apple-system, BlinkMacSystemFont, "]1.main.asm内容简介（sample.idb）[font=-apple-system, BlinkMacSystemFont, "] main.asm是我从sample.idb中提取的主要逻辑。[font=-apple-system, BlinkMacSystemFont, "] main.asm每一行指令上面的注释都给出了地址如果想去IDA[font=-apple-system, BlinkMacSystemFont, "]中看我分析的流程可以通过这个去看 [font=-apple-system, BlinkMacSystemFont, "] 代码膨胀问题：只看代码的第一行，然后找到后面jmp每次只有一行代码。[font=-apple-system, BlinkMacSystemFont, "] 3个函数声明[font=-apple-system, BlinkMacSystemFont, "] MAIN proto ;加载3个函数[font=-apple-system, BlinkMacSystemFont, "] REAL_MAIN proto ;跳到sub_401400[font=-apple-system, BlinkMacSystemFont, "] fn_GetKnl32FuncByHash proto;REAL_MAIN 函数[font=-apple-system, BlinkMacSystemFont, "]是跳到主要逻辑的。[font=-apple-system, BlinkMacSystemFont, "]2. sample_dump02.ex_路径[font=-apple-system, BlinkMacSystemFont, "] sample_dumpsample_dump02.ex_[font=-apple-system, BlinkMacSystemFont, "] sample_dump02.ex_ 文件是动态调试时dump下来的文件(仅用于分析[size=; font-size: 10.5pt,10.5pt])。路径[font=-apple-system, BlinkMacSystemFont, "] sample_dumpsample_dump02.idb静态分析的IDA文件路径[font=-apple-system, BlinkMacSystemFont, "] sample_dumpfile_gen.zip释放的第一个文件[font=-apple-system, BlinkMacSystemFont, "] 有释放时栈结构的记录（第一个文件被执行前的堆栈.txt）[font=-apple-system, BlinkMacSystemFont, "] 请打开IDA,查看我标记fn_main2[font=-apple-system, BlinkMacSystemFont, "]的函数，以流程图视角很快可以跟到一个动态修改代码达到反调试的代码。分析全部在IDA里这里就不复制出来了。[font=-apple-system, BlinkMacSystemFont, "] *这里大概debug下：下不对断点回让程序一直sleep而且占用cpu[font=-apple-system, BlinkMacSystemFont, "] 本次分析，就到这个反调试结束，过这个调试应该也只是时间问题。（[font=-apple-system, BlinkMacSystemFont, "]病毒分析到底是行为分析还是代码还原呢？有人告诉我下吗？[font=-apple-system, BlinkMacSystemFont, "]）继续分析的话我可能会从这个dump给出的导入表函数入手，IDA中可以查看DUMP文件的导入表，这些函数地址存在一个连续的地址空间中。[font=-apple-system, BlinkMacSystemFont, "][font=-apple-system, BlinkMacSystemFont, "] 完全逆向出这个病毒，可能需要花费一些时间。[font=-apple-system, BlinkMacSystemFont, "]3. 加密逻辑[font=-apple-system, BlinkMacSystemFont, "]并没有去找它的加密逻辑。[font=-apple-system, BlinkMacSystemFont, "] 从现象看，流程如下 1. 提取图标生成[font=-apple-system, BlinkMacSystemFont, "] xxx.ico 2. [font=-apple-system, BlinkMacSystemFont, "]感染文档文件 3. [font=-apple-system, BlinkMacSystemFont, "]把感染后的文件修改图标 4. [font=-apple-system, BlinkMacSystemFont, "]它会一直修改文件夹选项设置。 5. 至于控制鼠标点击和键盘输入，我给出的实现方式是SetWindowsHookEx这类的函数[font=-apple-system, BlinkMacSystemFont, "][font=-apple-system, BlinkMacSystemFont, "]4. 一些调试过程中的文件[font=-apple-system, BlinkMacSystemFont, "]有兴趣自行查看[font=-apple-system, BlinkMacSystemFont, "][font=-apple-system, BlinkMacSystemFont, "] sample_infected.zip (422.93 KB, 下载次数: 20) 分析结果.zip (2.86 MB, 下载次数: 25)
|
