-
-
[原创]一个病毒样本的分析报告
-
发表于: 2014-5-18 21:02
-
小菜第一次做病毒分析报告，凑合看吧。。。做个笔记。
病毒样本运行后会解密核心PE文件直接在内存里然后调用执行。解密这部分应该算个loader吧。
病毒样本入口点如下，ASPack v2.xx通过ESP定律完成脱壳
004C1000 90 nop
004C1001 > 60 pushad
004C1002 E8 03000000 call virus.004C100A
004C1007 - E9 EB045D45 jmp 45A914F7
004C100C 55 push ebp
004C100D C3 retn
004C100E E8 01000000 call virus.004C1014
004C1013 EB 5D jmp short virus.004C1072
004C1015 BB EDFFFFFF mov ebx,-0x13
004C101A 03DD add ebx,ebp
004C101C 81EB 00100C00 sub ebx,0xC1000
004C1022 83BD 88040000 0>cmp dword ptr ss:[ebp+0x488],0x0
004C1029 899D 88040000 mov dword ptr ss:[ebp+0x488],ebx
脱壳后入口如下，Borland Delphi 6.0 - 7.0
004A852C 55 push ebp
004A852D 8BEC mov ebp,esp
004A852F B9 09000000 mov ecx,0x9
004A8534 6A 00 push 0x0
004A8536 6A 00 push 0x0
004A8538 49 dec ecx
004A8539 ^ 75 F9 jnz short virus.004A8534
004A853B 53 push ebx
004A853C 56 push esi
004A853D B8 E4844A00 mov eax,virus.004A84E4
004A8542 E8 39BFF5FF call virus.00404480
004A8547 33C0 xor eax,eax
1.第1段数据解密
解密原始数据起始位置0x004A9294 大小0x1DA0
解密后会立即 call 0x004A9294，解密后的数据还是加密解密操作的代码。
004A8686 BE A01D0000 mov esi,0x1DA0 ; str_len = 0x1DA0
004A868B B8 94924A00 mov eax,virus.004A9294 ; *eax = 004A9294
004A8690 BB 81200000 mov ebx,0x2081 ; i = 0x2081
004A8695 3018 xor byte ptr ds:[eax],bl ; *eax ^= (i & 0xFF)
004A8697 4B dec ebx ; i--
004A8698 85DB test ebx,ebx
004A869A ^ 75 F9 jnz short virus.004A8695 ; if(i > 0 ) goto 004A8695
004A869C 40 inc eax ; *eax++
004A869D 4E dec esi ; str_len--
004A869E ^ 75 F0 jnz short virus.004A8690 ; if(str_len > 0 ) goto 004A8690
004A86A0 BB 94924A00 mov ebx,virus.004A9294
004A86A5 B8 DCC74A00 mov eax,virus.004AC7DC
004A86AA E8 F1B2F5FF call virus.004039A0
004A86AF 50 push eax
004A86B0 FFD3 call ebx ; ebx= 解密的数据位置0x004A9294
尝试写的C语言代码1
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 | void main(){ ////0x1DA0大小测试数据1 附件里的代码完整此处省略 int str[] = {0x54, 0x8A, 0xED, 0x80, 0xC5, 0x9D, 0xFA, .........}; int *p = str; for(int str_len = 0x1da0; 0 < str_len; p++,str_len--) { for(int i = 0x2081; 0 < i; i--) { *p ^= i & 0xFF; } printf("%02x ", *p); } printf("\n");} |
[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课
|
|
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
主防一打,然后生成报告可以直接扔给面试官吗?
|
|
|
|
|
|
,那病毒分析这差事更没有什么搞头了
|
|
|
|
|
|
|
|
|
现在有一部分病毒分析的人都是天天做云规则更新，只要一个HIPS引擎打规则，行为规则归类，然后更新云行为端，就行了。碰到难搞的样本，人工+HIPS+IDA+OD 专门写一个自定义规则类出来，然后直接生成模版类，云又去呼啦呼啦杀去了。 哈哈
|
|
|
|
|
|
哦，这样。我就是看了看数据加密
|
|
|
他黑我 我男的
|
|
|
噢。。
先找个工作再学学游戏分析吧
|
|
|
|
|
|
稍微了解病毒分析啦。。哈。。
谢谢游侠讲解
|
|
|
我身边以前做病毒分析都去做国外游戏马去了，要不就是组团写脱机去了。
|
|
|
噢。。
好路线。。
|
|
|
|
|
|
是大部分简单病毒不需要。。。高级的肯定人工了吧
|
|
|
|
|
|
 ,本来就不是免杀样本...
|
|
|
|
|
|
我去他黑我 我是男的
|
