这个病毒样本,功能包括可移动磁盘感染,消耗系统资源,建立网络连接,设置后门,较好的隐藏性。此外还包含了反调试,垃圾代码等等。只是简单的分析一下,共同学习
。
1.我们看到有一个快捷方式
,右键属性我们可以看到该快捷方式目标指向了C:\WINDOWS\system32\rundll32.exe _WZGQRSTIWGA.init,crys nucjqyfmtbnuttgt fmtbipxelsahovdkrzgnucjm,意思是运行这个“_WZGQRSTIWGA.init”DLL,从crys函数开始运行。
2.而“_WZGQRSTIWGA.init”这个DLL的功能先解密获得”desktop.ini”字符串,然后运行没有名称的文件夹,然后VirtualAlloc了0x1000字节的空间,把desktop.ini中的内容读到内存空间然后call到了那个内存地址,开始执行desktop.ini中的代码。
3.Desktop.ini前面是一大堆的90,也就是nop。
到0x0000041D处call了一个函数,后面就是一大堆的垃圾代码。
函数前一部分是init,加载动态链接库,0x00000F7B处又call一个函数,这个函数是建立互斥体,在C盘创建Temp文件夹,从"http://suckmycocklameavindustry.in/"下载文件Thumbs.db,
Thumbs.db经过下面一系列解密,在Temp文件下创建了名为”TrustedInstaller.exe”的隐藏exe可执行文件,并执行。
4.在这里作者用了一些反调试技巧,CloseHandle()传入一个无效的句柄,如果动态调试的话,程序会跑飞,RegCloseKey()传入一个无效的hKey程序同样会跑飞,这里我们可以nop这几
句话即可。
5.我们看到下列代码,函数前面应该是垃圾代码,没有什么作用,前三个函数,做了一些初始化,解码,把资源文件的资源转换成字符串,就构成了第四个函数LoadLibrary的参数,加载DLL,获得程序运行所需函数地址。
6.程序的主要功能在最后一个ThreadProcFun中进行。
在ThreadProcFun中的DecodeResAndWirteToAlloc中把资源文件写入到申请的堆空间中。
7.然后解码,完成后发现是个EXE文件,写入的刚刚挂起的进程里,然后恢复进程。
我提前出来exe文件(我命名为00A90000.mem),其功能就是释放一个exe文件并执行,判断是否有avp.exe进程,有的话该exe文件创建到C:\Documents and Settings\All Users\Local Settings\Temp\aervspvt.exe(文件名一定随机),无的话创建到%temp%/_install_/msiexec.exe。用16进制编辑器我们可以看到其实上一步我们踢球出来的exe捆绑了另一个exe,搜索MZ发现有2处PE文件开头。
8.下一步是写入注册表,把自身拷贝一份到临时目录,读取二进制,经过加密,写入到HKEY_USERS\SOFTWARE 键名为ImageBase。把物理地址为3:9310的地方的加密数据写入到HKEY_LOCAL_MACHINE\SOFTWARE\Miciosoft 键名为00E35EE,写入大小为0x719F。
9.其中msixec.exe中的代码和TrustedInstaller.exe是一致的,只是资源文件不同,我把这个释放的exe称为0015000.exe。它的功能就是申请一块空间,解码,执行解码后的代码,疑是判断是否在虚拟机运行。我把它提出来,命名为SetEnvironmentAndWinSock,主要功能就是设置环境变量为自己释放的svchost.exe,设置自启动注册表键名为SunJavaUpadtaeSched。
10.网络连接,建立隐藏的CMD,用accept接受数据,用来控制攻击者控制。此外还包含了关闭UAC,关闭防火墙提示等等。
在0015000.exe中,病毒根据判断是否在调试中或者运行在虚拟环境下,进行不同的操作,如果在真机中运行,则会打开注册表,遍历HKEY_LOCAL_MACHINE\system\currentcontrolset\services\disk\enum.这里应该是遍历可移动磁盘,然后感染U盘。
现在分析的还不全面,以后会补上的
解决方法:关闭TrustedInstaller.exe进程,关闭msiexec.exe进程,关闭scvhost.exe病毒进程,sha删除%TEMP%文件夹下的_Install_,删除\scvhost.exe,删除C:\Temp文件夹,删除可移动磁盘中病毒文件,删除C:\Documents and Settings\Administrator、清空Internet历史记录,删除上面所述几个注册表项。
上传的附件: