[原创]恶意代码分析-进程镂空 xor解密-逆向工程-看雪安全社区

此样本来自《恶意代码分析实战》第12章的实验练习一
主函数:
![图片描述](upload/attach/202610/1021873_GQFY6VSEB56GUUJ.webp)
获取svchost.exe所在目录，为后续恶意行为做宿主
![图片描述](upload/attach/202610/1021873_WQ7EDQGYXW5VNR7.webp)
![图片描述](upload/attach/202610/1021873_9WHHVSZ6CWB94AU.webp)
这是恶意代码所在位置，位于资源表中，被复制到内存中，首先检查DOS头是否正确，最后对其循环进行解密
![图片描述](upload/attach/202610/1021873_3QB5CHCAD8MRNDR.webp)
可以看到是一个很简单的xor解密 密钥为0x41
![图片描述](upload/attach/202610/1021873_F49YJ6759233X8S.webp)
接下来是sub_4010EA函数的分析，里面包含整个恶意代码的注入流程，分别传入了svchost目录以及申请内存并解密出来的shellcode代码

接下来是非常经典的进程镂空注入技术
![图片描述](upload/attach/202610/1021873_WW3MESHPANJF8X5.webp)
首先对恶意代码进行一系列PE结构检查，打开目标进程并使其为挂起状态，只有调用ResumThread函数才能运行
分配一个context结构体内存，为后续设置权限以及读取和修改寄存器值做准备。
![图片描述](upload/attach/202610/1021873_6JTUSY5Q57YV473.webp)
在挂起状态下ebx指向的是PEB，因此PEB+0x8->ImageBase。读取宿主程序的ImageBase，并动态获取ntdll.dll，查找NtUnmapViewOfSection地址，NtUnmapViewOfSection 是 Windows 原生 API（Native API）中的一个内核模式例程，用于取消映射（unmap）一个内存节（section）视图，即撤销 NtMapViewOfSection 所做的映射操作
这就是进程镂空的操作，将目标程序的内存节干掉。最后在目标程序申请一段与shellcode符合的内存
![图片描述](upload/attach/202610/1021873_CTSYC7M2P24Q4XY.webp)
最后分别写入恶意文件的PE头数据以及各节区的数据
![图片描述](upload/attach/202610/1021873_SCJG9MFWJU57M5Y.webp)
修改eax的值，也就是OEP地址，所有目标操作做完后，最后写回ImageBase，调用SetThreadContext生效，ResumeThread启动线程。
![图片描述](upload/attach/202610/1021873_Q6W2YZSZ956642F.webp)
加载器基本分析完毕，现在来看看恶意代码，动态分析，直接把解密后的代码拿出来
![图片描述](upload/attach/202610/1021873_34Z23CHWQ8S8AAA.webp)
这是加密后的代码
![图片描述](upload/attach/202610/1021873_FB7FX9E5TFEFU84.webp)
解密后的代码 大小为0x6000
![图片描述](upload/attach/202610/1021873_9PFEG7QRF8KD58R.webp)
![图片描述](upload/attach/202610/1021873_YWHSUHD6HDADTVY.webp)
把目标内存dump下来查看
其实就是基本的键盘记录，简单的恶意行为，不再详细赘述了
![图片描述](upload/attach/202610/1021873_CM2VKDQAA4Q67AE.webp)
这是一个非常简单和经典的进程镂空以及xor解密的恶意代码加载器，总得来说没有什么难度。
记录一下自己的分析过程，目前找不到合适的样本去分析，AI盛行的时代，不知道恶意代码分析的效率也大大提高，市场或将饱和，这也为我带来了一定的就业压力。作为大一的我，只能走一步看一步了.......希望能够在大二的时候拿到自己的第一份实习offer。

回复或点赞可查看完整内容

传递专业知识、拓宽行业人脉——看雪讲师团队等你加入！！

最新回复 (2)
xingbing 雪币： 158 活跃值： (5786) 能力值： ( LV2，RANK：10 ) 在线值：发帖 2 回帖 1400 粉丝 2 关注私信	xingbing 2 楼学习 1天前 0
BOSC叛忍雪币： 210 活跃值： (716) 能力值： ( LV2，RANK：10 ) 在线值：发帖 9 回帖 30 粉丝 29 关注私信	BOSC叛忍 3 楼加油 21小时前 0
	游客登录 \| 注册方可回帖回帖表情雪币赚取及消费高级回复