搜索

[20354] 2020-08-07_恶意代码分析系列-几种常用技术（1）

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-07_恶意代码分析系列-几种常用技术（1） 恶 意 代 码 分 析 系 列 - 几 种 常 用 技 术 （ 1 ） K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 0 7 以 下 文 章 来 源 于 雷 石 安 全 实 验 室   ， 作 者 雷 石 安 全 实 验 室 开 发 环 境 和 工 具 开 发 环 境 和 工 具 环 境 ：   开 发 工 具 和 语 言 ：     以 下 内 容 都 是 d e b u g 版 本 介 绍 介 绍 最 近 一 种 在 分 析 恶 意 样 本 ， 对 于 各 种 恶 意 代 码 的 行 为 特 征 和 运 行 机 制 有 了 一 些 总 结 ， 抱 着 知 己 知 彼 才 能 百 战 百 胜 的 态 度 ， 重 新 梳 理 一 下 分 析 时 遇 到 的 一 些 恶 意 代 码 的 技 术 的 手 段 ， 从 一 个 病 毒 的 释 放 、 注 入 、 隐 藏 和 免 杀 等 过 程 采 用 的 思 路 和 实 现 方 法 出 发 来 进 一 步 刨 析 这 些 代 码 的 原 理 ， 在 今 后 的 分 析 中 对 于 细 节 才 能 更 加 的 得 心 应 手 ， 下 面 先 介 绍 常 见 的 和 释 放 有 关 的 手 段 。 单 一 实 例 运 行 单 一 实 例 运 行 这 个 在 分 析 的 两 个 勒 索 病 毒 都 有 发 现 ， 起 先 会 检 查 自 己 是 否 在 运 行 ， 在 开 始 的 时 候 都 使 用 了 一 个 函 数 雷 石 安 全 实 验 室 雷 石 安 全 实 验 室   . 雷 石 安 全 实 验 室 以 团 队 公 众 号 为 平 台 向 安 全 工 作 者 不 定 期 分 享 渗 透 、 A P T 、 企 业 安 全 建 设 等 新 鲜 干 货 ， 团 队 公 众 号 致 力 于 成 为 一 个 实 用 干 货 分 享 型 公 众 号 。 W i n d o w s 1 0 x 6 4 1 9 0 9 V S 2 0 1 7 C / C + + W I N A P I
需 要 注 意 的 是 ， 使 用   创 建 的 互 斥 体 对 象 名 称 不 能 与 现 有 的 事 件 、 信 号 量 、 或 者 文 件 映 射 对 象 名 称 相 同 ， 否 则 互 斥 体 对 象 会 创 建 失 败 。 资 源 释 放 资 源 释 放 很 多 的 木 马 程 序 会 使 用 资 源 释 放 的 技 术 ， 这 样 可 以 让 一 些 额 外 的   、   、 文 本 和 图 片 等 文 件 作 为 资 源 插 入 到 程 序 里 面 ， 等 到 程 序 正 式 运 行 的 时 候 再 把 他 们 释 放 到 本 地 上 ， 这 样 编 译 出 的 只 有 一 个 e x e 文 件 ， 降 低 了 被 发 现 的 风 险 。 关 键 A P I 函 数 C r e a t e M u t e x A (         _ I n _ o p t _   L P S E C U R I T Y _ A T T R I B U T E S   l p M u t e x A t t r i b u t e s ,           / /   指 向 安 全 属 性 指 针 ， 可 以 为 n u l l         _ I n _   B O O L   b I n i t i a l O w n e r ,                                     / /   初 始 化 互 斥 体 对 象 的 所 有 者         _ I n _ o p t _   L P C S T R   l p N a m e                                     / /   指 向 互 斥 体 对 象 名 称 指 针         ) ; C r e a t e M u t e x ( ) D L L E X E / /   发 现 资 源 H R S R C W I N A P I   F i n d R e s o u r c e (         _ I n _ o p t _   H M O D U L E   h M o d u l e ,         / /   模 块 名 称         _ I n _   L P C W S T R   l p N a m e ,                   / /   指 定 资 源 名 称         _ I n _   L P C W S T R   l p T y p e                     / /   资 源 类 型         ) ; / /   获 取 资 源 大 小 D W O R D W I N A P I   S i z e o f R e s o u r c e (         _ I n _ o p t _   H M O D U L E   h M o d u l e ,         _ I n _   H R S R C   h R e s I n f o         ) ; / /   加 载 资 源 H G L O B A L W I N A P I   L o a d R e s o u r c e (         _ I n _ o p t _   H M O D U L E   h M o d u l e ,         / /   模 块 名 称
实 现 原 理 1 .   通 过   定 位 程 序 里 的 资 源 ， 通 过 资 源 类 型 和 资 源 名 称 来 定 位 2 .   通 过   获 取 资 源 的 大 小 之 后 再 通 过   把 资 源 加 载 到 程 序 内 存 中 3 .   最 后 使 用   锁 定 加 载 到 内 存 中 的 资 源 防 止 程 序 的 其 它 操 作 影 响 这 块 内 存 ， 其 中 返 回 值 就 是 资 源 在 进 程 内 存 中 的 起 始 地 址 D L L 延 迟 加 载 延 迟 加 载 延 迟 加 载 是 在 正 式 调 用   的 时 候 ， 才 会 加 载   文 件 ， 这 样 在 正 式 调 用   前 ， 都 是 可 以 正 常 执 行 的 ， 只 需 要 在 V S 的 开 发 环 境 设 置 链 接 器 即 可 完 成 ，         _ I n _ o p t _   H M O D U L E   h M o d u l e ,         / /   模 块 名 称         _ I n _   H R S R C   h R e s I n f o                     / /   资 源 句 柄         ) ; / /   锁 定 资 源 字 节 L P V O I D W I N A P I   L o c k R e s o u r c e (         _ I n _   H G L O B A L   h R e s D a t a         ) ; / /   其 它 详 细 的 函 数 信 息 可 以 参 见 M S D N 文 档 F i n d R e s o u r c e S i z e o f R e s o u r c e L o a d R e s o u r c e L o c k R e s o u r c e D L L D L L D L L D L L
下 面 以 测 试 程 序 为 例 ： 在 V S 的 链 接 器 中 编 辑   , 重 新 生 成 再 次 查 看 发 现 这 个   已 经 不 见 了 , 延 迟 载 入 成 功 u c r t b a s e d . d l l D L L
如 果 通 过 编 码 来 实 现 ， 它 的 字 段 是 在 P E 文 件 N T 头 中 的   — >   , 具 体 的 编 码 这 里 就 不 演 示 了 。 启 动 方 法 启 动 方 法 按 照 常 规 的 步 骤 在 将 资 源 中 的 程 序 释 放 出 来 后 会 启 动 它 ， 下 面 是 常 见 的 几 种 启 动 方 式 函 数   W i n E x e c 函 数   S h e l l E x e c u t e D a t a D i r e c t o r y I M A G E _ D I R E C T O R Y _ A R R Y U I N T W I N A P I W i n E x e c (         _ I n _   L P C S T R   l p C m d L i n e ,     / /   要 执 行 的 程 序 的 命 令 行         _ I n _   U I N T   u C m d S h o w             / /   显 示 选 项         ) ; H I N S T A N C E   S h e l l E x e c u t e W (         _ I n _ o p t _   H W N D   h w n d ,                       / /   父 窗 口 句 柄         _ I n _ o p t _   L P C W S T R   l p O p e r a t i o n ,   / /   要 执 行 的 操 作 : e d i t 、 e x p l o r e 、 f i n d 、 o p e n 等         _ I n _   L P C W S T R   l p F i l e ,                     / /   指 向 s h e l l 名 称 空 间 对 象         _ I n _ o p t _   L P C W S T R   l p P a r a m e t e r s , / /   指 向 一 个 可 执 行 文 件         _ I n _ o p t _   L P C W S T R   l p D i r e c t o r y ,   / /   指 向 默 认 操 作 的 目 录
函 数   C r e a t e P r o c e s s 使 用 这 些   主 要 就 是 对 参 数 的 理 解 ， 例 如   和   函 数 设 置 位   方 式 可 以 隐 藏 程 序 窗 口 ， 并 且 成 功 隐 藏 执 行   命 令 行 的 窗 口 。 总 结 总 结 上 面 是 罗 列 了 几 种 常 规 的 恶 意 代 码 常 用 手 段 ， 在 分 析 的 时 候 看 到 这 些   就 应 该 有 所 警 觉 了 ， 不 过 这 是 一 些 最 基 本 的 手 段 ， 在 下 一 篇 注 入 篇 会 继 续 探 讨 稍 微 有 点 难 度 的 东 西 ， 总 结 常 见 的 注 入 手         _ I n _   I N T   n S h o w C m d ) ;                       / /   打 开 窗 口 如 何 显 示   S W _ H I D E B O O L W I N A P I C r e a t e P r o c e s s W (         _ I n _ o p t _   L P C W S T R   l p A p p l i c a t i o n N a m e ,       / /   执 行 模 块 名 可 以 为   N U L L         _ I n o u t _ o p t _   L P W S T R   l p C o m m a n d L i n e ,           / /   执 行 命 令 行 可 以 为 N U L L         _ I n _ o p t _   L P S E C U R I T Y _ A T T R I B U T E S   l p P r o c e s s A t t r i b u t e s ,   / /   进 程 安 全 属 性 指 针         _ I n _ o p t _   L P S E C U R I T Y _ A T T R I B U T E S   l p T h r e a d A t t r i b u t e s ,     / /   线 程 安 全 属 性 指 针         _ I n _   B O O L   b I n h e r i t H a n d l e s ,           _ I n _   D W O R D   d w C r e a t i o n F l a g s ,           / /   控 制 优 先 级 和 创 建 进 程 标 志         _ I n _ o p t _   L P V O I D   l p E n v i r o n m e n t ,     / /   指 向 新 进 程 的 环 境 块 的 指 针         _ I n _ o p t _   L P C W S T R   l p C u r r e n t D i r e c t o r y ,     / /   指 向 进 程 当 前 目 录 的 完 整 路 径         _ I n _   L P S T A R T U P I N F O W   l p S t a r t u p I n f o ,         / /   S T A R T U P I N F O W 结 构 指 针         _ O u t _   L P P R O C E S S _ I N F O R M A T I O N   l p P r o c e s s I n f o r m a t i o n   / /   P R O C E S S _ I N F O R M A T I O N 结 构 的 指 针         ) ; A P I W i n E x e c S h e l l E x e c u t e S W _ H I D E C M D A P I
段 。 参 考 ： 《 W i n d o w s 黑 客 编 程 技 术 详 解 》 、 《 黑 客 大 曝 光 》                                                                             我 就 知 道 你 “ 在 看 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理