本帖最后由 安静的小酒吧 于 2015-11-17 17:14 编辑
3601分析报告 安静的小酒吧 基本信息| 名称 | | | | | | | | | UPX -> Markus & Laszlo ver. [ 3.91 ] | | EP code like Delphi/C++ but different structure | | | | | | | | | | | | B5752252B34A8AF470DB1830CC48504D | | AEC38ADD0AAC1BC59BFAAF1E43DBDAB10E13DB18 | | | | | |
简介样本来自 吾爱破解论坛病毒样本区（具体链接找不到了，谁要是看到了记得给个链接哦，谢谢啦）。样本会感染ZIP和RAR文件（前提是你装了WinRAR），有多个上线地址（都已无法连接）。 样本附件：
3601.zip
(21.63 KB, 下载次数: 230)
（解压密码：52pojie） 分析报告：
分析报告.zip
(509.49 KB, 下载次数: 144)
（PDF版，看着舒服些） （IDA下的部分函数名和变量按照我的个人习惯已经重命名） 一、主程序模块功能：
（最近喜欢用Exeinfo查壳，PEID好久不更新,新壳查的不全） 2. 读取一个固定的注册表项，检查自身是否已经在系统中驻扎，如果没有则随机产生一个文件名，将自身拷贝到C:\\Windows\\ 目录下。 读注册表 随机生成文件名，复制自身 3. 注册服务并启动，服务名：Ghijklmn Pqrstuvwx Abcdefg Ijklmnop Rst 注册并启动服务（这些函数是动态加载的，名称是我根据LoadLiarbrary()的参数命名的）
4. 写注册表（写入的注册表项就是前面读取的注册表项），主程序退出。 二、服务模块功能 关于服务程序的调试，感兴趣的可以去看看《逆向工程核心原理》相关部分的讲解（第54章调试练习1：服务），提供了2种方法，我这次选择的是OD加载后直接把EIP指向SvcMain函数的起始指令（也就是第一种方法），但是这个会稍微有点问题就是程序和服务有关的API会失效，所以关键位置位置需要手工改一下（其实就是nop nop 那些API调用）。SvcMain函数的位置看一下注册服务时注册的地址就可以了（这个样本的SvcMain在0x40561A）。 （就是这一块，服务有关的API调用可以直接nop掉） 1. 创建互斥体，这是一般样本很常见的行为了 互斥名：Ghijkl NopqrstuWxy 2. 释放一个DLL文件并加载，dll名称hra33.dll。加载后的DLL功能后面另开一张在说明。 前两天看到论坛一个样本分析里面也释放了相同名称的样本，我看着像同一个样本，但是看着分析结果不太相同，所以自己已经分析到这了就把它写下去吧。我是新手，大牛轻拍。。。 （再说一下，函数名是我根据功能按照自己的命名习惯重命名的，大家有什么好的重命名习惯可以一起交流哦） 3. 接下来是四个线程，分别有不同的工作： 4. 第一个线程，入口函数我重命名为ipc_copy,它好像想IPC$的方式尝试拷贝一个一个文件，利用这个来枚举windows密码，我不了解IPC$，大牛可以科普下。 （这些应该是它枚举的密码） （这个应该是它在尝试拷贝文件） 这个线程的主要功能就这些吧。 5. 第二个线程 （1）先尝试连接一个主机，sbcq.f3322.org （2）搜集操作系统语言、版本、内存、网卡等信息并发送。 （3）尝试加载hra33.dll，并把加载结果反馈给控制端。 （这个信息是和上面的搜集到的信息一起发送的） （4）然后就是一个很大的switch..case…语句对控制端的命令进行处理。主要功能包括，命令执行，dll加载，创建和释放互斥体，进程退出等。不再赘述。 6.第三个线程，主要功能和上一个一样只是回连的地址不同，这个是：www.520123.com 7.第四个线程，和前面的功能也一样，只是回连的地址是：www.520520520.org:9426 不同的是它处在一个while（1）的循环中，会定时去重连，检测连接状态。 服务程序就是以上功能。 三、hra33.dll模块 1. 判断自身所处环境是否为temp目录，如果不是则将自身拷贝到temp目录并重命名为hrl1D.tmp 2.创建一个新的进程，搜索.rar和.zip文件，并进行感染。 （搜索rar和zip文件） （往rar和zip文件里面添加文件） 加密算法1.回连的url地址都使用了base64加密。 2.数据通信部分没有认真分析是否存在加密。
查杀方法删除对应服务、删除system32目录下拷贝的文件（名称是随机的，可以看看样本的icon,两个是一样的）即可。
其他一两周之前分析的样本，一直懒得写报告。。。 晚上去跑步了，挺累的，还熬夜，好累，简单写写睡了。 大牛轻拍。安全帽在双11物流大军里还没有到。
| 
[复制链接]
发表于 2015-11-17 01:02
发表于 2015-11-17 09:35
