优盘病毒二级加载机制简单分析

happyBread · 发表于 2022-3-18 20:52

本帖最后由 happyBread 于 2022-3-18 21:12 编辑

前几天在优盘上发现一病毒，起意来简单分析一下

行为观察
病毒会感染插入的优盘，把优盘所有文件藏到一个命名为 alt+0160字符的隐藏文件夹里，并创建一个dll 和命名为VolumeIndexerGuid的加密shellcode 到这个隐藏文件夹里，最后在优盘根目录创建一个用于启动恶意dll及开启隐藏文件夹的shortcut，并将该shortcut的图标改为优盘图标。
创建的dll文件的名字是由 _ . - 这三个字符生成，长65字符的随机组合，无后缀名。

IDA 静态分析

把dll 文件在ida 里打开发现以下 7 项export

一个一个打开检查发现主要逻辑都在 _7fLP 这第一个export里

这里病毒用GetModuleFileName 获取自己的文件名，就是上面说到长度65字符的那个，之后当成参数传到uwzjydwtstq这个function里

跟到uwzjydwtstq 的里面，发现原来IndexerVolumeGuid也是病毒的一部分，在这个function 里读取了IndexerVolumeGuid的内容，之后解密并运行shellcode

跟进解密流程，这里发现dll 的文件名不是单纯的乱码，而是shellcode 的解密密钥，第一张图是密钥阵列的初始化，在第二张图里根据dll 文件名进行一系列的操作，最后在第三张图里对shellcode进行解密。

解密出来的shellcode 不落硬盘，直接在内存解密运行，不过后面解密出来的二级shellcode技术有限实在看不懂。

用ida 打开大概长这样

关于优盘怎么清理，只要打开隐藏文件夹，把里面的文件全部拖出来，最后删除病毒相关文件即可。

病毒样本： https://pan.baidu.com/s/1dunkUbqNqD5eAkrlygZm1A 提取码: mu5a

happyBread · 发表于 2022-7-3 22:02

imsnail 发表于 2022-7-2 08:39
这么容易被杀的病毒？

清除步骤是清除被感染的u盘里的病毒文件罢了，具体释放出来的病毒有什么效果我也还没去研究

kai1607184525 · 发表于 2022-3-28 19:03

多谢分享

TakagiMei · 发表于 2022-4-2 00:01

看着有点复杂

咔c君 · 发表于 2022-4-2 17:03

学习了厉害了

13643128044 · 发表于 2022-4-7 12:30

学习，进步，666！

runcan · 发表于 2022-4-16 09:12

谢谢分享，非常感谢

咔c君 · 发表于 2022-4-19 10:01

不错学习了

咔c君 · 发表于 2022-5-5 08:06

学习了厉害了

shutong1 · 发表于 2022-5-7 05:14

学习，学习

咔c君 · 发表于 2022-6-8 09:12

不错学习了

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] 优盘病毒二级加载机制简单分析

免费评分