目的：分析此木马运行机制及内部实现原理，剖析此木马会带来哪些危害。
调式环境及工具：VMware+Windows7（推荐）、DIE、IDA、OD

1.脱壳拿shellcode，为拿木马主体样本做准备

IDA打开原始样本后，定位在sub_402FBA模块处，注意OD动态调试每次基址会有变化，相对地址是不变的，此模块核心功能就是在内存释放Shellcode的木马Vadchdhv主体；如下0040304C处调用VirtualAlloc申请内存，之后进行Shellcode第一次存放。

完成之后，退回到sub_4043A9模块处，调用sub_401000会再次进行Shellcode的内存释放。

完成之后，退回到start代码处，跟踪到此其实我们最关心的是壳是从哪里跳转进入内存Shellcode主体的，这才是我们拿Shellcode的关键，否则木马是逮不到的；在以上的Shellcode释放主体的过程可能有些繁琐和枯燥，但要注意进行多次跟踪调试一下，注意观察寄存器和栈数据的变化，捕捉关键信息，对于尤其是分析暴露信息较少的木马来说也是一个不错的小技巧；释放Shellcode是通过循环完成的，在退出循环后下断，进行OD单步跟踪F7;

注意上述代码中的00402FAF调用call dword_405090，这个就是从壳进入shellcode内存主体了，F7跟入。接下来，才算是接近了木马Vadchdhv主体代码，但还不全是，因为Vadchdhv不是一次性释放进内存运行的，而是先要从Shellcode释放到更高权限的内存，进行PE文件的组装和修正，然后才木马的核心主体代码。

2.脱ShellCode,拿木马Vadchdhv内存进程主体

OD跟入后，注意在00260261（地址会有变化）处调用002601EE取内核函数字符串，然后返回到0026026C，在00260270处调用CALL 0026020A进行内核函数SHA值比对，然后调用00260318取得下一个函数名，然后回到00260261处进行下一次循环；此循环是完成ntdll内核函数的定位，获取木马所用内核函数地址，并进行木马主体地址修正。

接下来，木马Vadchdhv会调用内核函数ntdll.NtProtectVirtualMemory、ntdll.NtAllocateVirtualMemory等，完成提权并再次申请内存，准备进行进程主体释放、拼接。

调用ntdll.NtAllocateVirtualMemory的栈信息：

接下来在新申请内存处，首先写入PE格式的文件头：

接下来，木马Vadchdhv从ShellCode中解码释放并拼接，

以上代码是首先释放从00021000到00023000地址部分，接下来释放从00023000到00024000部分，

最后进行再次内存申请，释放代码于00032000处，完整代码见附件《木马Vadchdhv脱ShellCode后进程代码》。

3.木马Vadchdhv核心进程启动及行为跟踪分析

Shellcode释放完木马主体后，即跳入进程主体运行。跟踪捕获关键函数：

00021BE7处的调用CALL 00021350，跟入：在用户目录创建隐性文件夹C:\Users*\AppData\Roaming，并创建gxwmgr32.exe文件。

继续跟踪：

注意00021EF8 处PUSH ECX; UNICODE "C:\Users*\Desktop\c14bc530f959cb8dedb0f51527173a44cec8b670"是获取木马原始样本路径。跟入00021EFD处的函数调用CALL 000213C0：

从原始样本取数据，继续跟踪00021F0C处调用CALL 00021C00，跟入：

在 "C:\Windows\system32\"目录下创建svchost.exe并修改文件属性进行隐藏。继续跟踪：

跟入CALL 00021370：

跟入CALL 00021CC0，此函数为木马Vadchdhv启动cmd进程关键代码处，通过cmd运行“C:\Users\h\AppData\Roaming\4336348.bat”文件；文件名4336348为调用底层函数随机生成。

此关键函数00021D2A处调用CALL 00022090 是通过调用RtlTimeToSecondsSince1970、kernel32.GetSystemTimeAsFileTime(pFiletime)对文件属性进行修改，实现隐藏；函数00021DEC 处的调用 CALL 00021AE0 是获取批处理进程所用的批处理命令：ASCII ":l
if not exist "C:\Users\h\Desktop\C14BC5~1" goto edel /Q /F "C:\Users\h\Desktop\C14BC5~1"goto l:edel /Q /F "C:\Users\h\AppData\Roaming\4336348.bat""；之后，在00021E7E 处调用 CALL DWORD PTR DS:[2303C] 即 BOOL kernel32.CreateProcessW启动CMD进程，函数参数为：

至此，木马Vadchdhv完成了第一步；接下来会启动一个循环进行系统进程遍历搜索寻找“explorer.exe”进程，跟踪如下：

找到explorer.exe后会进行进程注入，关于进程注入和后续部分，改天再补充。

[注意]传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！