[原创]记一次银狐样本分析-逆向工程-看雪安全社区

# 0x00 前言

最近突然心血来潮，想找个样本来分析一下，顺便学习了解一下免杀以及恶意样本的手法，在网上冲浪的时候找到了一个银狐样本，于是拿来分析一下

样本地址：<a href="elink@6a5K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3f1#2x3Y4m8G2K9X3W2W2i4K6u0W2j5$3&6Q4x3V1k6@1K9s2u0W2j5h3c8Q4x3X3b7J5x3o6j5K6y4U0p5$3i4K6u0V1x3g2)9J5k6o6q4Q4x3X3g2Z5N6r3#2D9">WindowsEvent 病毒木马程序 - 吾爱破解 - 52pojie.cn</a>

样本sha256:1443f7eb60ceebe8752cbfd4029023d8da975d087556af8247011ddd7bf2336f
# 0x01 沙箱分析

将整个文件打包压缩，丢到沙箱看看情况
 ![](upload/attach/202605/999665_YCMKHRGZ88SBW4K.webp)

这里看一下沙箱跑出来的执行流程：
 ![](upload/attach/202605/999665_5Y3ZK2BF5NU8D3P.webp)

可以看到通过这个`WindowsEvent.exe`创建了命令行任务管理工具，然后外连下载。还有释放文件。

# 0x02 样本分析
## 一、WindowsEvent.exe

首先die查查成分：
 ![](upload/attach/202605/999665_6MEUYCRPDTCGSAE.webp)

目测就是使用汇编写的，然后没有导入表，那么可能通过PEB来获取外部函数地址了。废话不多说就直接进入分析。由于是汇编写的，这个入口非常的简单，大概就是下面这样：
 ![](upload/attach/202605/999665_NV3ABEFW8ZYUV9R.webp)

### init初始化
首先通过`init`函数来进行初始化
 ![](upload/attach/202605/999665_7AUV49SQC6TKJ5W.webp)

通过decrypt_str函数来进行字符串解密，然后通过自定义的`GetDllBase`函数获取`Kernel32.dll` 的基址。然后通过自定义给`GetProcAddress`函数获取必要的API地址存放到全局变量当中。

#### decrypt_str
这里来看看这个`decrypt_str`:
 ![](upload/attach/202605/999665_T3MPF3MR2XVZJNB.webp)

可以看到就是一个简单的异或解密，然后`addr`第一个元素是字符串的长度，这里直接写一个IDAPython脚本，然后解密一下：
```python
def decrypt(addr):
    len = ida_bytes.get_byte(addr)
    plain = []
    for i in range(0, len, 1):
        cipher = ida_bytes.get_byte(addr + i + 1)
        plain.append(chr(cipher ^ 0x6A))
    
    print(f"str[{len}] -> {''.join(plain)}")

print("============================")
decrypt(0x4009E0)
decrypt(0x4009ED+1)
decrypt(0x4009FB)
decrypt(0x400A08)
decrypt(0x400A15)
decrypt(0x400A23)
decrypt(0x400A30)
decrypt(0x400A3A)
decrypt(0x400A5E)
print("============================")
```

解密之后的API信息如下：

```shell
===========================
str[12] -> kernel32.dll
str[11] -> CreateFileA
str[11] -> CloseHandle
str[11] -> GetFileSize
str[12] -> VirtualAlloc
str[11] -> VirtualFree
str[8] -> ReadFile
str[14] -> VirtualProtect
str[14] -> CreateProcessA
============================
```

#### GetDllBase

通过GetDllBase这个函数来获取制定dll名的基址
 ![](upload/attach/202605/999665_V8DE49BRJZ9NSFQ.webp)

这里通过PEB来获取`InMemoryOrderModuleList`，再通过遍历这个双向链表，然后比较`BaseDllName`来找到指定的dll，从而获取指定dll的基址。

#### GetProcAddress

`GetProcAddress`就是通过自解析PE结构的导出表，来获取到指定API的外部地址。
 ![](upload/attach/202605/999665_DH6WAZ8H7BSRS3P.webp)

### check_fileName

初始化完成之后会调用`check_fileName`来检查当前执行的这个文件的文件名是否有被修改：
 ![](upload/attach/202605/999665_RJM3CCZGMQ2N6WQ.webp)

这个函数比较字符的时候，会将获取到的字符转成大写，然后再进行比较。通过分析可以发现，仅仅只是对进程名当中的`indo`片进行了校验，只有在这个校验通过的时候才会**返回1**，否则返回0。然后进程退出

#### 函数功能
这里检查进程名可能是为了**绕过分析**。有些沙箱或者虚拟分析环境在运行样本时，进程名可能是随机生成的，或者带有特定字样。这里可能是在检测这些环境，并且进行绕过。

### start_WinSafe

这个函数会尝试使用**schtasks**这个计划任务管理器来立即执行这个`WinSafe`的任务。不过本机上没有这个计划任务。可能是后续恶意代码执行之后才添加的，这里还不太清楚。
 ![](upload/attach/202605/999665_EQTCK54BSP9EEZZ.webp)

### execShellCode

恶意程序通过这个函数来解密ShellCode并执行。
 ![](upload/attach/202605/999665_EWD4JRSYVT2X8E6.webp)

由于之前根据解密之后的字符串修复了一下全局变量的名称，这里看就非常的简单了。可以大体流程先是使用`VirtualAlloc`申请一个内存空间，然后将`byte_400AA0`这个位置的数据移动到申请的内存空间当中。接着就是对ShellCode当中的数据进行解密，解密算法就是有限域下先 `(x + 119) ^ 0x62`，最后在使用`VirtualProtect`修改内存权限，然后直接使用函数指针执行。

这里要注意一下，`VirtualAlloc`和`VirtualProtect`这两个函数的参数，通过参数可以分析在`VirtualAlloc`和`VirtualProtect`执行的过程中，申请的权限分别是**可读可写**和**可读可执行**，而不是可读可写可执行。这样做的目的是绕过大部分杀软的检测。毕竟直接申请RWX内存是非常危险的操作。

通过分析知道了这个ShellCode的解密方法，那么就可以通过动态调试将这段shellCode dump下来分析，或者是直接获取数据然后解密写道文件当中。这里我选择后者，直接写一个IDAPython脚本来解密，然后顺便写到文件当中：
```python
import idc
import idaapi
import ida_fpro
import os

# shellcode
start_addr = 0x400AA0
plain = []
for i in range(0x98B):
    ch = ida_bytes.get_byte(start_addr+i)
    dec = (((ch + 0x77) & 0xff) ^ 0x62) & 0xff
    plain.append(dec)
#print(cipher)
idb_dir = idc.get_idb_path()
dir_path = os.path.dirname(idb_dir)
print(dir_path)

output_path = os.path.join(dir_path, "shellCode.bin")

def save_file(data, filename):
    data_bytes = bytes(data)
    with open(filename,"wb") as f:
        f.write(data_bytes)
    return len(data_bytes)
    
filelen = save_file(plain, output_path)
print(f"数据已保存到 : {output_path}")
print(f"写入 {filelen} 字节")
```

分析到这里，看起来这个exe已经没有其他逻辑了。

### 总结

通过上述的分析，这个`WindowsEvent.exe`其实就是一个`ShellCodeLoader`，还需要对其中加载的ShellCode进行分析才行。

## 二、ShellCode部分

### 字符串信息

在使用IDAPython将ShellCode解密，并且写入文件之后，先进行一些信息收集。首先用`strings`看看能不能提取出来一些有用的字符串：
 ![](upload/attach/202605/999665_FX64FYUTTY3JMRK.webp)

发现有些有趣的字符串，以及IP地址和域名。还有最下面一串看起来像是逆序了的结构化配置信息，这里使用python回复一下：
 ![](upload/attach/202605/999665_4GWC5GQZQ8Z7XSN.webp)

通过AI分析，这个字符串定义了这个样本的连接命令与控制服务器的全部参数，包含了三组独立的C2地址：
>- **主 C2（p1）**：`156.234.119.138:443`（`t1:1` 可能指启用 TLS/SSL 加密）。
>- **备用 C2 1（p2）**：`syumineyt.top:80`（`t2:1` 可能指使用 HTTP 明文）。
>- **备用 C2 2（p3）**：`syumingeyt.top:8080`（`t3:1` 可能指使用 HTTP 或其他协议）。

### IDA分析

接下来将这个ShellCode文件丢到IDA当中进行分析
 ![](upload/attach/202605/999665_XDB8WDFPJGJY9W3.webp)

![](upload/attach/202605/999665_V7AB7GUJ9U8AMNC.webp)

上来首先就是最常见的使用PEB获取`DllBase`，这里用来判断是否找到正确字符串的方法是 **`hash`** 校验，通过计算字符串的hash值与目标字符串的hash值比较，如果比较成功则表示找到了这个字符串，这个也是shellcode当中常见的混淆。

**解决方法**：解决这种混淆的方法也比较简单。这里有两种方法：
1. 首先就是一种比较复杂的方法，可以将hash算法还原一下，然后对一些常见的dll名称进行`hash`计算，来校验。对于**函数名称的话**，可以对目标dll文件进行导出表解析，然后对API名称进行hash计算，找出目标hash对应的API名称
2. 另外一种比较简单的方法就是直接动态调试了，通过动态调试来直接获取到目标API的名称。**`ShellCode`** 的动态调试可以自己实现一个`Loader`来加载这段`ShellCode`

接着就是通过`GetFuncByHash`来获取API，
 ![](upload/attach/202605/999665_KPP7M2WYQGAXDE4.webp)

这一部分会逐步获取`kernel32.dll` 以及 `ntdll.dll`当中的一些API，具体如下：
 ![](upload/attach/202605/999665_SDTN7H9CBHQPMPG.webp)

#### GetFuncByHash

这个函数是用来获取外部模块提供的API的，这个函数使用了两种方法来获取API。如果**参数2**传入的是0，则会自己解析导出表来计算函数地址。而另外一种情况是**参数2**传入一个函数地址，这个函数就会使用传入的这个函数来获取API地址：
 ![](upload/attach/202605/999665_SFSF9795YWJUP5Z.webp)

上图的上半部分是解析导出表的代码，这里就不放出来了。
根据上层函数的逻辑得出，在获取了GetProcAddress函数地址之后，后续的都是通过这个GetProcAddress函数来获取函数地址的。只不过在获取之前，还是会解析一遍导出表。

#### 定位资源部分

接下来这个部分，也是笔者第一次了解到，刚看到的时候还有点懵。后来想想是个很不错的设计，这里通过汇编看看逻辑
 ![](upload/attach/202605/999665_64DVK5G83M96B63.webp)

首先会调用这个`gotoNextIns`的函数，函数如下，只有短短的两个指令：
 ![](upload/attach/202605/999665_24X9ZTCVRKUQ3DP.webp)

将栈顶的值放到`eax`寄存器当中，此时栈顶是返回地址，也就是这个`xor ecx, ecx`指令的地址。所以这个函数其实是用了一个非常巧妙的方法，来获取下一条指令的地址。

接着会从这个指令地址遍历内存空间，直到找到一个连续的字符串`codemark`的位置。这个字符串不正是之前就通过`strings`找出来的吗？
 ![](upload/attach/202605/999665_8F4GZHN7TUVRV24.webp)

从IDA当中的这个形式来看的话`codemark`这个地方以下的就是存放资源的地方，还可以看到ip地址，以及域名字符串。

那么其实这个**codemark**其实就是一个表示符，用于程序内部定位资源，这样比直接写死地址更加的灵活。

#### 后续部分

在定位资源完成之后，会加载`Ws2_32.dll`，并且获取这个模块当中的一些API地址，大致如下：
 ![](upload/attach/202605/999665_NEBVG2JGG8ZH32D.webp)

结合这些API名称，根据一些经验分析，这个ShellCode可能也还是一个加载器。而且使用的是**分离加载的模式**，通过ws2库来下载另外一个ShellCode，然后执行真正的恶意逻辑。

#### 木马下载部分

这个ShellCode使用了两种方式下载ShellCode。一种是原始的TCP协议(`offset 0x33A`)，另一种是使用HTTP协议(`offset 0x4DF`)。这里使用动态调试跟进一下，看看使用的是哪一个方式。

经过动态调试之后发现使用的原始TCP协议进行下载，这里贴一下在汇编当中打的注释：
 ![](upload/attach/202605/999665_5XMEA8YBKR79CKR.webp)

![](upload/attach/202605/999665_X98M4936ER5DJYH.webp)

![](upload/attach/202605/999665_BG7DJBSE4NGF477.webp)

![](upload/attach/202605/999665_FD3TXMJ8ZZUGM2J.webp)

![](upload/attach/202605/999665_4AWMDD7WSRZMUVE.webp)

最终大概会在这个位置`call ShellCode`。由于已经连不上c2，无法下载木马，这里就没有没办法验证了。

## 三、Gurad.dll导出函数分析

既然exe部分已经分析的差不多了，那么这里就来看看这个dll到底干了什么。从导出表入手：
 ![](upload/attach/202605/999665_4JRG5HSAQQPCN9C.webp)

发现导出了一个`MonitorAndRestart`函数，来看看这个函数：
 ![](upload/attach/202605/999665_YYETQPF7UFHATKV.webp)

![](upload/attach/202605/999665_YTVBQZFWAT8344X.webp)

![](upload/attach/202605/999665_296MX4JEDFNYW2B.webp)

从这个函数调用API和行为来看，这个函数就是一个典型的**持久化 + 守护进程**的机制。
### 单例控制

首先通过创建全局互斥体`"Global\\ProcessMonitorDLL_Mutex"`来防止重复运行。防止多个监控线程/进程同时存在

### 监控进程

然后对目标进程进行监控，默认的进程名是`WindowsEvent.exe`，但是可以通过参数动态传入。

接下来会使用一个while循环来监控和拉起进程。首先通过`findTargetProcess`函数来检查目标进程是否存在。如果存在了跳转到`LABEL_12`的地方，休息1秒，然后继续检查。
#### findTargetProcess函数

这个函数是通过进程快照来检查目标进程是否存在：
 ![20260505155212](upload/attach/202605/999665_CN3EQ2P36TPS5KX.webp)

如果进程不存在，则使用计划任务管理器来拉起任务：
```bash
schtasks /run /tn "WindowsEvent_Task"
```

启动之后使用`WaitForSingleObject`来等待5秒，然后获取执行结果。如果执行失败则打印日志，反之再次确认进程是否存在，不存在则记录日志。

如果CreateProcessW执行失败，则会执行：
```cpp
sub_10001270();
```

该函数定义如下：
 ![20260505155212](upload/attach/202605/999665_TAHDTBQ7RAWPCHB.webp)

如果`CreateProcessW`失败，则会调用这个函数，然后提权，并且重启系统。

## 四、小结

这个样本其实就是个“分工很明确的工具人”。表面上的 `WindowsEvent.exe` 本身没干啥坏事，就是负责把一段加密的 **ShellCode** 解出来然后跑起来；真正的活是在后面那段 ShellCode 里，它会自己去系统里找 API、再去外网连服务器，把真正的木马程序下载下来在内存里直接执行（不落地，更隐蔽）。另外还配了一个 `Guard.dll` 做“保安”，一直盯着这个进程，只要被关掉就用计划任务拉起来，实在拉不起来就直接重启电脑，确保恶意程序还能活着。整体来看就是一个**多阶段加载 + 网络下载 + 持久化守护**的典型木马框架。

回复或点赞可查看完整内容

冰与火的战歌：Windows内核攻防实战高级班！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。

最后于 2026-5-5 17:15 被x0rrrrr编辑，原因：

#调试逆向 #加密算法 #病毒木马

最新回复 (42) 1 2 ▶
xingbing 雪币： 158 活跃值： (5791) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1400 粉丝 2 关注私信	xingbing 2 楼学习 2026-5-6 16:48 0
mb_xfbjndrr 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_xfbjndrr 3 楼学习 2026-5-11 15:17 0
F_Acacia 雪币： 0 活跃值： (360) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	F_Acacia 4 楼学习 2026-5-11 21:14 0
寞叶雪币： 266 活跃值： (470) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 20 粉丝 0 关注私信	寞叶 5 楼学习 2026-5-18 15:35 0
心扑通扑通跳雪币： 0 活跃值： (20) 能力值： ( LV2，RANK：10 ) 在线值：发帖 1 回帖 3 粉丝 0 关注私信	心扑通扑通跳 6 楼学下下了 2026-5-18 16:58 0
n00bzx 雪币： 2703 活跃值： (3934) 能力值： ( LV12，RANK：286 ) 在线值：发帖 7 回帖 60 粉丝 10 关注私信	n00bzx 2 7 楼好耶 2026-5-20 02:13 0
轰zzz 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 18 粉丝 0 关注私信	轰zzz 8 楼 123 2026-5-20 14:29 0
wx_._549 雪币： 0 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 21 粉丝 0 关注私信	wx_._549 9 楼 mark 2026-5-21 07:41 0
MUSYIDA 雪币： 242 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 4 粉丝 0 关注私信	MUSYIDA 10 楼好耶 2026-5-21 23:28 0
sbkx 雪币： 1 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	sbkx 11 楼 1 2026-5-24 01:19 0
yuanyouran 雪币： 85 活跃值： (3210) 能力值： ( LV2，RANK：10 ) 在线值：发帖 5 回帖 191 粉丝 1 关注私信	yuanyouran 12 楼学习了，期待更新~~ 2026-5-24 19:29 0
mb_hjxxueqk 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_hjxxueqk 13 楼 mark~ 2026-5-27 16:42 0
mb_jxiwhkvq 雪币： 4 能力值： ( LV1，RANK：0 ) 在线值：发帖 2 回帖 22 粉丝 0 关注私信	mb_jxiwhkvq 14 楼 666 2026-5-29 10:21 0
liandaook 雪币： 0 活跃值： (51) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	liandaook 15 楼 666啊 2026-5-30 03:19 0
GeeKc 雪币： 555 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 24 粉丝 0 关注私信	GeeKc 16 楼 11111 2026-5-30 15:45 0
Liszt_Van 雪币： 0 活跃值： (46) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	Liszt_Van 17 楼 mark 2026-5-30 17:16 0
mb_khumfleo 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 2 粉丝 0 关注私信	mb_khumfleo 18 楼 1 2026-6-1 17:01 0
mb_yucwalhu 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	mb_yucwalhu 19 楼学习 2026-6-4 13:32 0
mb_qwdfvphm 雪币： 824 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 3 粉丝 0 关注私信	mb_qwdfvphm 20 楼好文章 2026-6-5 17:41 0
dengsu 雪币： 53 活跃值： (271) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 13 粉丝 0 关注私信	dengsu 21 楼 111 2026-6-8 11:44 0
git_94143ILoveZhangZhe1314 雪币：能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 9 粉丝 0 关注私信	git_94143ILoveZhangZhe1314 22 楼 666 2026-6-11 19:59 0
adhuc 雪币： 200 能力值： ( LV1，RANK：0 ) 在线值：发帖 0 回帖 5 粉丝 0 关注私信	adhuc 23 楼 6666666 2026-6-12 16:20 0
我就是小熊猫雪币： 1 活跃值： (808) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 46 粉丝 0 关注私信	我就是小熊猫 24 楼 666 2026-6-17 12:04 0
_朝花夕拾_ 雪币： 5 活跃值： (100) 能力值： ( LV2，RANK：10 ) 在线值：发帖 0 回帖 1 粉丝 0 关注私信	_朝花夕拾_ 25 楼好 2026-6-30 14:09 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复