一款"骷髅"病毒的分析日常

x51zqq

之前分析的一个样本,今天整理了下,发出来与论坛的大神们交流下,样本是网上找的,如有不足之处还望大家指出,共同进步.
一．病毒概况
病毒名称：样本.exe
软件图标:
文件大小: 21504 字节 (21.00 KB)
编译时间: 2015-5-23 11:13:42
编译平台: Microsoft Visual C++ 6.0
MD5值：  5b8bc92296c2fa60fecc6316ad73f1e2
SHA1值： 44b95162f85b81e71e5f2e7abbc904a6339ce0aa
CRC32：  d149f2bf
病毒行为:1.拷贝自身到系统目录 2.添加服务自启动 3.自删除 4.建立指定套接字连接...


二．具体行为分析PEID查壳:UPX

ESP秒脱后:Microsoft Visual C++ 6.0


启动后调用RegOpenKeyEx检测服务是否已经被创建,病毒主程序通过服务自启动执行.
                              


根据检测的结果执行不同的操作


以下是情况一:不存在指定服务 判断是否处于系统目录


随机生成新文件名称


拷贝自身到系统目录



拷贝路径,以自启动方式创建服务



启动服务



添加服务描述

具体分析服务主函数中的病毒行为

实现病毒行为的服务主函数


创建互斥体,确保只运行一个实体


接下来这一层创建了3个线程来执行不同的功能


回调一:保存常见主机登录账号密码,以备后面访问局域网主机


初始化套接字


获取主机名,主机详细信息



拼接局域网主机iP


遍历用户名,密码,ip地址尝试连接局域网内的所以主机连接成功后调用Sub_402AD0函数进行病毒传播



分析线程回调2.3获取系统当前日期,比较是否指定日期


发送数据,接收控制码


sub_4040DA分析: 连接服务器


以下是ConnectServer连接服务器函数的具体分析通过网址获取IP


TCP连接服务器,之后发送信息给服务器,并接收控制码


获取系统信息


将收集到的系统信息发送给服务器


关于控制码,以下做简单分类


接下来看线程4的具体行为:有了前面几个线程的铺垫,线程4显得很干脆,直接连接了服务器,但是对服务器的网址做了加密处理.进入回调后,首先连接服务器


在连网函数中获取加密字符串


调用DecodeURL解密字符串


解密字符表:


解密算法:在解密字符表中查找每个字符的位置,获取该字符在解密表中对应的位置下标,查找到下一个字符位置下标后,(第一个字符下标<<6位)+第二个字符下标,保存相加的和,依次类推.
公式:                   1 = 第一个字符对应的下标                   2 = 1<<6+2                   3 =2<<6+3
最后:用保存下来的值,依次减去200,在异或123就解密成功了

解密后的网址:

控制码分析:
控制码:16    功能:下载并运行程序获取系统临时文件夹路径->生成随机文件名->UrlDownLoadToFile从服务器下载文件->WinExec运行程序

控制码:14    功能:程序升级 UrlDownLoadToFile下载新程序 ->随机命名保存到临时文件夹

删除原服务->运行新程序

控制码:12     功能:打开IE浏览器访问指定网页 (可能是广告)

控制码:6    功能:销毁自身

控制码:3  功能:向指定网站发送http请求

至此基本就结束了.


下面附上调试服务主函数的方法:简述:ServiceMain主函数的动态调试


样本: 样本_解压密码www.52pojie.cn.zip (17.07 KB, 下载次数: 460)

2017-3-24 14:39 上传

点击文件名下载附件
样本_解压密码:www.52pojie.cn

samohyes

大神，能否请教下，在“拷贝路径,以自启动方式创建服务”这部分的时候，我的IDA分析那几个createservice和startservice函数，都没有标注，只有几个var_*变量，这是什么原因呢？

m0216

现在的病毒防不胜防啊

天秤男

我电脑的QQ管家又被干死了！是不是需要我全盘格

Auller

不错，厉害呀

mayl8822

赞, 学习一下哈

googls

哇哦 腻害了！

wu0687050

厉害，希望有更多样本

Let_go

厉害了—我的冰

白笙

分析得挺好。

whl2638916

666，原来病毒这样分析的