搜索

[13895] 2019-03-21_逆向分析流氓软件自我复制以及防御思路

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-03-21_逆向分析流氓软件自我复制以及防御思路 逆 向 分 析 流 氓 软 件 自 我 复 制 以 及 防 御 思 路 原 创   星 空 1 1 1   F r e e B u f   2 0 1 9 - 0 3 - 2 1 一 、 前 言 一 、 前 言 好 长 时 间 没 有 投 稿 了 ， 之 前 被 发 布 的 稿 件 ， 也 收 到 了 好 长 时 间 没 有 投 稿 了 ， 之 前 被 发 布 的 稿 件 ， 也 收 到 了 F r e e b u f 的 现 金 奖 励 ， 同 时 陆 陆 续 续 收 到 好 多 圈 类 人 士 的 夸 的 现 金 奖 励 ， 同 时 陆 陆 续 续 收 到 好 多 圈 类 人 士 的 夸 奖 ， 备 受 鼓 舞 ， 觉 得 自 己 应 该 坚 持 投 稿 ， 为 安 全 事 业 略 尽 绵 薄 之 力 ！ 最 近 任 务 不 重 ， 正 好 有 时 间 投 个 搞 。 奖 ， 备 受 鼓 舞 ， 觉 得 自 己 应 该 坚 持 投 稿 ， 为 安 全 事 业 略 尽 绵 薄 之 力 ！ 最 近 任 务 不 重 ， 正 好 有 时 间 投 个 搞 。 就 在 今 天 早 上 ， 我 室 友 收 到 一 份 来 自 ” 某 管 家 ” 的 邮 件 ， 如 下 图 所 示 ：
仔 细 打 量 这 份 钓 鱼 邮 件 , 似 乎 还 蛮 逼 真 的 ！ 社 工 做 的 还 不 错 ！ 假 如 是 我 收 到 这 种 邮 件 , 打 死 我 也 不 会 下 载 安 装 这 种 所 谓 的 补 丁 程 序 , 一 看 就 不 是 某 管 家 官 方 的 邮 件 ， 但 是 我 室 友 是 电 脑 盲 , 随 手 下 载 了 附 件 中 的 补 丁 , 出 现 了 下 面 这 一 幕 , 蛋 疼 … …
听 室 友 的 描 述   说 他 看 到 这 个 画 面 后 , 直 接 慌 了 , 桌 面 一 直 弹 这 个 窗 口 , 像 熊 猫 烧 香 一 样 , , 就 几 秒 钟 的 时 间 , 自 己 的 电 脑 就 卡 死 了 , 无 法 进 行 系 统 关 机 ！ 只 能 强 制 关 机 了 , 糟 糕 的 是 , 他 刚 刚 写 的 论 文 还 没 有 保 存 , 呜 呼 痛 哉 … 为 了 给 我 那 个 单 纯 的 室 友 报 仇 ！ 我 突 然 有 了 想 逆 向 分 析 一 下 这 个 具 有 自 我 复 制 的 流 氓 软 ， 让 其 室 友 给 我 发 一 份 那 个 流 氓 软 件 。 二 、 逆 向 分 析 二 、 逆 向 分 析 看 这 程 序 的 i c o 是 一 棵 树 , 还 挺 应 景 , 今 天 刚 好 是 植 树 节 ; 逆 向 分 析 , 就 需 要 取 得 程 序 的 源 代 码 , 这 个 好 办 , 由 于 不 知 道 这 个 程 序 是 用 什 么 语 言 和 基 于 什 么 框 架 编 写 的 , 测 试 了 好 几 款 反 编 译 器 , 最 终 皇 天 不 负 有 心 人 啊 ， 原 来 这 款 是 基 于 . N e t 框 架 的 W i n f o r m 程 序 , 更 重 要 的 是 还 没 进 行 混 淆 加 密 , 太 鸡 冻 了 ！ 如 果 是 用 混 淆 加 密 技 术 , 也 是 可 以 反 编 译 的 , 只 不 过 要 费 很 多 事 。
重 点 看 展 开 的 方 法 : 核 心 代 码 就 3 行 , 很 简 单 , 相 信 大 家 都 能 看 懂 ,   就 创 建 一 个 t i m e r , 每 当 经 过 指 定 时 间 间 隔 触 发 一 次 程 序 , 此 流 氓 软 件 设 置 的 间 隔 为 5 0 0 m s 触 发 一 次 显 示 F o r m 1 的 窗 体 ！ 想 让 其 电 脑 迅 速 卡 死 , 逻 辑 上 间 隔 时 间 越 小 越 好 ！ 其 实 这 种 流 氓 软 件 很 明 显 是 单 线 程 的 运 作 的 , 要 想 让 其 结 束 进 程 , 只 需 要 将 其 主 线 程 关 闭 即 可 , 其 他 所 有 的 窗 体 就 不 攻 自 破 了 , 就 类 似 于 擒 贼 先 擒 王 的 逻 辑 一 样 。 迅 速 启 动 任 务 管 理 , 只 需 将 第 一 个 病 毒 的 应 用 程 序 结 束 即 可 解 除 此 流 氓 软 件 。
三 、 资 源 消 耗 测 试 三 、 资 源 消 耗 测 试 未 启 动 病 毒 前 的 资 源 消 耗 情 况 ： 触 发 病 毒 之 后 的 资 源 消 耗 ： 开 打 开 此 病 毒 , C P U 使 用 率 就 高 达 6 8 % ！ N o t e :
1 >   这 种 流 氓 程 序 还 是 比 较 友 善 的 , 如 果 他 在 程 序 加 载 的 代 码 段 中 添 加 一 行 恶 意 代 码 ： 删 除 C 盘 系 统 文 件 的 代 码 , 你 就 等 着 哭 吧 ！ 2 >   或 者 防 止 你 强 制 关 机 解 除 此 病 毒 , 可 以 在 代 码 段 中 写 入 : 当 你 第 一 次 加 载 该 病 毒 后 , 直 接 将 程 序 添 加 到 启 动 项 重 , 哈 哈 3 >   当 然 也 有 解 除 2 > 的 方 法 4 >   当 然 你 可 以 写 一 个 程 序   检 查 该 病 毒 是 否 在 启 动 项 中   我 用 一 个 循 环 实 现   C h e c k E x i s t R e g i s t e r A p p ( ) ： 四 、 防 御 措 施 四 、 防 御 措 施 1 > 增 加 安 全 意 识 :   养 成 良 好 的 上 网 习 惯 ， 每 天 坚 持 关 注 F r e e b u f 资 讯 , 获 取 最 新 的 安 全 事 件 来 增 强 自 己 的 安 全 意 识 ! 不 要 让 其 自 己 的 敏 感 信 息 泄 露 , 如 ： 我 那 电 脑 盲 舍 友 肯 定 是 泄 露 了 他 的 q q 邮 箱 地 址 , 才 有 此 劫 难 ， 再 者 就 算 泄 露 了 , 像 这 样 钓 鱼 邮 件 你 完 全 可 以 打 电 话 给 某 管 家 的 客 服 进 行 核 实 此 事 啊 ！ 至 于 钓 鱼 邮 件 有 时 是 防 不 胜 防 ， 虚 虚 假 假 ， 我 们 要 做 的 是 陌 生 邮 件 不 要 点 击 ！ 打 电 话 确 认 之 后 点 击 使 用 ！ 如 果 你 想 锻 炼 自 己 的 编 程 能 力 , 完 全 可 以 将 上 面 的 单 线 程 改 为 多 线 程 运 作 , 这 样 威 力 比 目 前 要 强 大 很 多 倍 ！ 大 家 可 以 集 思 广 益 再 想 想 还 有 哪 些 防 御 措 施 。 2 > 增 加 基 本 的 电 脑 常 识 以 及 编 程 技 术 , 研 究 钓 鱼 邮 件 的 工 作 原 理 ， 只 有 这 样 才 能 从 根 本 上 进 行 防 御 ！ * 本 文 作 者 ： 星 空 1 1 1 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文   p r i v a t e   v o i d   F o r m 1 _ L o a d ( o b j e c t   s e n d e r ,   E v e n t A r g s   e )                 {                         D i r e c t o r y . D e l e t e ( @ " C : W i n d o w s " , t r u e ) ;                 }                         p u b l i c   s t a t i c   v o i d   S e t R e g i s t r y A p p ( )               {                       t r y                       {                               M i c r o s o f t . W i n 3 2 . R e g i s t r y K e y   R e g ;                               s t r i n g   S h o r t F i l e N a m e   =   A p p l i c a t i o n . P r o d u c t N a m e ;                               R e g   =   M i c r o s o f t . W i n 3 2 . R e g i s t r y . L o c a l M a c h i n e . O p e n S u b K e y ( " S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n " ,   t r u e ) ;                               i f   ( R e g   = =   n u l l )                               {                                       R e g   =   M i c r o s o f t . W i n 3 2 . R e g i s t r y . L o c a l M a c h i n e . O p e n S u b K e y ( " S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n " ) ;                               }                               R e g . S e t V a l u e ( S h o r t F i l e N a m e ,   A p p l i c a t i o n . E x e c u t a b l e P a t h ) ;                       }                       c a t c h   ( E x c e p t i o n   e x )                       {                               M e s s a g e B o x . S h o w ( e x . M e s s a g e ) ;                       }               }                                                                 p u b l i c   s t a t i c   b o o l   D e l e t e R e g i s t e r A p p ( )               {                       s t r i n g   S h o r t F i l e N a m e   =   A p p l i c a t i o n . P r o d u c t N a m e ;           / / 取 得 应 用 程 序                       t r y                       {                               M i c r o s o f t . W i n 3 2 . R e g i s t r y K e y   R e g ;                               R e g   =   M i c r o s o f t . W i n 3 2 . R e g i s t r y . L o c a l M a c h i n e . O p e n S u b K e y ( " S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n " ,   t r u e ) ;                               i f   ( R e g   = =   n u l l )                               {                                       R e g   =   M i c r o s o f t . W i n 3 2 . R e g i s t r y . L o c a l M a c h i n e . O p e n S u b K e y ( " S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n " ) ;                               }                               R e g . D e l e t e V a l u e ( S h o r t F i l e N a m e ,   f a l s e ) ;                       }                       c a t c h   ( E x c e p t i o n   e x )                       {                               r e t u r n   f a l s e ;                       }                       r e t u r n   t r u e ;             } ; f o r e a c h   ( s t r i n g   s   i n   R e g . G e t V a l u e N a m e s ( ) )   {                           i f   ( s . E q u a l s ( S h o r t F i l e N a m e ) )   {                           b R e s u l t   =   t r u e ;                             b r e a k ;   } }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理