首页
社区
课程
招聘
[原创] 小K学病毒分析之【熊猫烧香】
发表于: 2018-3-20 01:16 8300

[原创] 小K学病毒分析之【熊猫烧香】

2018-3-20 01:16
8300

0x1 样本信息 1

0x2 分析工具和环境 2

0x3 病毒分析 2

3.1 自校验 2

3.2 创建和运行部分 3

3.3 感染部分 6

3.4 自我保护部分 9

0x4 病毒查杀和文件恢复 12

0x5 总结 12


32位Win7 + PEID + OD + IDA

病毒在启动之后,会经过两次加密字符串的解密 ,只有两次都成功才会真正进入核心功能。


核心功能主要由三个函数进行实现,下面进行详细分析。

检测当前目录是否存在Desktop_.ini文件,如果存在则删除。

接着,病毒会通过检查文件路径、病毒感染标志来确定进当前病毒属于以下三种情况的哪一种情况。

分别进程本身属于原始病毒文件、被感染的可执行文件、以及伪装目标进程三种情况。

1. 原始病毒文件

拷贝自身到 ~/system32/driver/目录,重命名为spcolsv.exe并运行,然后结束当前进程。


 2. 被感染的可执行文件

1)在当前目录释放被感染的原始文件

2)创建自删除批处理,并运行

3)拷贝病毒部分到到系统目录,伪装系统服务。

3. 伪装目录进程文件

退出当前模块,执行接其他模块功能。


需要注意的几点是:

1. 病毒的感染标识

感染PE文件后,会在文件的末尾写上标志,格式为:

WhBoy+ 源文件名 + 0x2标记 + 源文件大小+0x1标记

2. 自删除批处理文件

3. 感染文件结构

病毒文件 + 原始文件 + 标记字符串

接下来就是扩散自身,感染其他文件或者感染其他主机,病毒会通过本地文件感染、U盘自动感染以及网络三种方式进行传播。同时,为了防止电脑用户对系统进行还原,在查找到.gho文件时,会对齐进行删除。

3.3.1 感染文件部分(本地)

创建一个线程,遍历所有的磁盘和文件,对文件进行感染。


[招生]科锐逆向工程师培训(2024年11月15日实地,远程教学同时开班, 第51期)

最后于 2018-12-25 22:01 被myangel编辑 ,原因:
上传的附件:
收藏
免费 1
支持
分享
最新回复 (17)
雪    币: 5859
活跃值: (748)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
2
加油,我也在努力的学习中!!
2018-3-20 01:56
0
雪    币: 1795
活跃值: (63)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
3
沭阳 加油,我也在努力的学习中!!
共勉
2018-3-20 02:01
0
雪    币: 85
活跃值: (101)
能力值: ( LV4,RANK:50 )
在线值:
发帖
回帖
粉丝
4
沭阳 加油,我也在努力的学习中!!
老铁666
2018-3-20 02:42
0
雪    币: 2359
活跃值: (343)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
全部用IDA吗?都不用动态OD,666
2018-3-20 08:01
0
雪    币: 300
活跃值: (2477)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
感谢分享
2018-3-20 08:07
0
雪    币: 1795
活跃值: (63)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
7
rescuo 全部用IDA吗?都不用动态OD,666
有用OD,不过截图只截了IDA的,没考虑好,下次会注意的
2018-3-20 08:34
0
雪    币: 4
活跃值: (346)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
f_开头的函数是自己命名的吗
2018-3-20 10:38
0
雪    币: 5859
活跃值: (748)
能力值: ( LV8,RANK:130 )
在线值:
发帖
回帖
粉丝
9
活捉老铁!!!!!
2018-3-20 11:04
0
雪    币: 861
活跃值: (683)
能力值: ( LV6,RANK:80 )
在线值:
发帖
回帖
粉丝
10
哪个小k?破晓?
2018-3-20 15:53
0
雪    币: 1795
活跃值: (63)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
11
ZwTrojan f_开头的函数是自己命名的吗
是的
2018-3-23 00:01
0
雪    币: 1795
活跃值: (63)
能力值: ( LV3,RANK:30 )
在线值:
发帖
回帖
粉丝
12
八岛 哪个小k?破晓?
我的自称而已
2018-3-23 00:02
0
雪    币: 1208
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
13
厉害  ,我学学。哈哈
2018-3-25 11:16
0
雪    币: 1
活跃值: (10)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
14
解压密码是啥,,,
2018-4-3 09:51
0
雪    币: 300
活跃值: (2477)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
15
感谢分享
2018-4-3 10:34
0
雪    币: 2375
活跃值: (433)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
16
八岛 哪个小k?破晓?
破晓是谁啊,怎么你们都知道
2019-6-25 23:31
0
雪    币: 199
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
18
加油
2019-7-25 01:28
0
游客
登录 | 注册 方可回帖
返回
//