搜索

[9003] 2015-06-07_百度卫士U盘“附送”的木马分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2015-06-07_百度卫士U盘“附送”的木马分析 百 度 卫 士 U 盘 “ 附 送 ” 的 木 马 分 析 不 是 养 蚕 人   F r e e B u f   2 0 1 5 - 0 6 - 0 7 微 信 号 微 信 号 f r e e b u f 转 自 转 自 V 2 E X ： ： 前 几 天 打   A C T F   决 赛 进 了 第 三 名 （ 我 好 渣 q w q ） ， 奖 品 是 一 堆 百 度 杀 毒 的 U 盘 。 打 开 后 里 面 一 堆 百 度 全 家 桶 不 说 ， 居 然 有 一 个 l p k . d l l ， 百 度 真 是 用 心 良 苦 _ ( : 3 」 ∠ ) _   某 l p k . d l l 是 小 时 候 经 常 中 的 病 毒 ， 我 估 计 你 们 都 中 过 2 3 3 。 根 据 P o 主 贴 出 的 截 图 ， 可 以 在 V i r u s T o t a l 上 找 到 这 个 古 董 级 感 染 型 病 毒 。 它 的 主 要 特 点 是 感 染 全 盘 的 e x e 文 件 ， 并 且 对 . r a r   . z i p 压 缩 包 中 释 放 病 毒 文 件 ， 这 些 文 件 都 是 隐 藏 和 只 读 属 性 的 ， 这 种 类 型 的 感 染 如 果 不 能 彻 底 清 除 ， 很 快 就 是 死 灰 复 燃 。 笔 者 推 测 应 该 是 百 度 员 工 电 脑 被 此 病 毒 感 染 ， 在 用 U 盘 奖 品 拷 贝 安 装 包 时 导 致 出 现 此 次 的 乌 龙 事 件 。
此 外 ， 该 病 毒 远 程 连 接 指 定 的 域 名 地 址 ， 一 旦 被 感 染 ， 则 会 接 受 黑 客 的 远 程 命 令 ， 参 加 A C T F   决 赛 拿 到 百 度 U 盘 的 同 学 们 ， 需 要 认 真 杀 杀 毒 了 。 病 毒 分 析 病 毒 分 析 以 h t t p : / / v 2 e x . c o m / t / 1 9 6 1 3 5   文 中 提 到 的 病 毒 样 本 为 例 分 析 ： 第 一 步 以 x p 系 统 为 例 （ w i n 7 修 改 注 册 表 即 可 ） ， x p 系 统 本 身 的 l p k . d l l 文 件 位 于 C : W I N D O W S s y s t e m 3 2 和 C : W I N D O W S s y s t e m d l l c a c h e 目 录 下 。 l p k . d l l 病 毒 的 典 型 特 征 是 感 染 存 在 可 执 行 文 件 的 目 录 ， 并 隐 藏 自 身 ， 删 除 后 又 再 生 成 ， 当 同 目 录 中 的 e x e 文 件 运 行 时 ， l p k . d l l 就 会 被 W i n d o w s 动 态 链 接 ， 这 个 病 毒 加 载 起 来 之 后 立 即 定 位 自 己 的 位 置 ， 激 活 恶 意 代 码 ： 第 二 步 既 然 已 经 激 活 恶 意 代 码 了 ， 那 么 接 下 来 就 是 开 始 感 染 了 。 感 染 的 步 骤 是 这 样 的 首 先 ， 病 毒 为 了 保 证 运 行 流 畅 ， 创 建 了 一 个 线 程
这 个 线 程 负 责 遍 历 所 有 的 盘 感 染 所 有 的 e x e ， 并 且 在 e x e 的 当 前 目 录 释 放 自 己 ， 以 搜 狗 浏 览 器 为 例 ， 病 毒 将 自 己 放 在 跟 搜 狗 同 一 个 目 录 下 ， 并 且 将 自 己 的 属 性 设 置 为 隐 藏 和 只 读 。 确 认 系 统 安 装 w i n r a r 之 后 ， 遍 历 全 盘 ， 一 个 一 个 的 对 . r a r 和 . z i p 文 件 调 用 w i n r a r 命 令 ， 把 病 毒 文 件 加 入 进 去 压 缩 包 。 命 令 行 参 数 如 下 ： 以 下 就 是 对 以 下 就 是 对 e x e 的 感 染 和 对 压 缩 文 件 操 作 部 分 的 代 码 ： 的 感 染 和 对 压 缩 文 件 操 作 部 分 的 代 码 ：
一 旦 被 感 染 则 全 盘 都 是 病 毒 文 件 的 藏 身 之 地 ， 很 难 清 除 干 净 ， 即 使 系 统 重 做 但 是 如 果 有 文 件 的 病 毒 残 留 没 有 被 清 理 干 净 则 立 即 就 会 死 灰 复 燃 。 在 做 完 这 些 事 情 之 后 病 毒 的 感 染 功 能 就 全 部 完 成 了 ， 剩 余 的 就 是 控 制 电 脑 的 恶 意 代 码 了 。 以 下 就 是 感 染 之 后   主 动 连 接 网 络 的 情 况 ： 从 上 面 我 们 可 以 看 到 有 一 个 . t m p 的 文 件 生 成 并 且 不 断 的 执 行 恶 意 代 码 ， 这 个 隐 藏 的 文 件 就 是 真 正 的 控 制 部 分 ， 控 制 部 分 肯 定 有 域 名 或 者 固 定 i p ， 顺 着 这 个 思 路 ， 内 存 抓 取 该 文 件 继 续 分 析 ， 通 过 调 试 找 到 了 病 毒 的 真 正 主 人 : 揪 出 这 个 幕 后 黑 手 之 后 。 笔 者 推 测 域 名 当 中 的 q q 号 码 就 属 于 病 毒 作 者 。 继 续 追 踪 发 现 这 个 病 毒 的 基 本 特 征 ： 继 续 追 踪 发 现 这 个 病 毒 的 基 本 特 征 ：
基 本 的 特 点 就 是 创 建 一 个 名 字 为 D i s t r i b u m k q 的 系 统 服 务 ， 插 入 I E 浏 览 器 进 程 ， 在 堆 中 申 请 空 间 通 过 资 源 更 新 的 方 式 写 入 自 身 ， 并 且 执 行 。   这 些 都 是 远 程 控 制 恶 意 代 码 的 惯 用 伎 俩 ， 在 此 就 不 一 一 详 述 了 。 可 以 确 定 的 是 ， 这 是 一 个 具 备 控 制 能 力 的 感 染 型 病 毒 。 病 毒 查 杀 病 毒 查 杀 l p k . d l l 这 类 型 病 毒 已 经 非 常 古 老 了 ， 从 V i r u s T o t a l 截 图 来 看 ， 绝 大 多 数 杀 毒 软 件 也 都 能 查 杀 。 当 然 ， 用 百 度 全 家 桶 的 同 学 还 是 要 提 高 警 惕 ， 最 好 认 真 检 查 下 电 脑 有 没 有 异 常 ， 如 果 发 现 磁 盘 中 出 现 很 多 l p k . d l l 文 件 ， 最 好 还 是 装 个 靠 谱 的 杀 软 清 理 下 。 * 作 者 ： 不 是 养 蚕 人 ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理