搜索

[20326] 2020-06-10_【二进制安全】熊猫烧香病毒分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-06-10_【二进制安全】熊猫烧香病毒分析 【 二 进 制 安 全 】 熊 猫 烧 香 病 毒 分 析 青 稚   K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 6 - 1 0 熊 猫 烧 香 这 个 病 毒 虽 然 过 去 很 久 了 , 但 是 这 个 病 毒 值 得 研 究 ， 在 病 毒 出 现 的 这 个 年 代 因 为 安 全 意 识 普 遍 不 强 ， 导 致 大 范 围 被 感 染 。 本 文 带 你 跨 进 计 算 机 病 毒 的 大 门 0 x 0 0 工 具 工 具 0 x 0 1 查 壳 查 壳 我 们 用 P E i D 进 行 查 壳 ， 发 现 这 个 程 序 并 没 有 加 壳 查 壳 ： P E I D 、 E x e I n f o   P E 动 态 分 析 ： O l l y D b g 静 态 反 汇 编 分 析 ： I D A   P r o 行 为 监 控 ： P r o c e s s M o n i t o r   P C H u n t e r   、 火 绒 剑 资 源 查 看 ： R e s o u r c e   H a c k e r P E 解 析 ： L o a d   P E 文 本 编 辑 : H e x   W r o k S h o p 环 境 ： w i n 7 虚 拟 机
0 x 0 2 行 为 分 析 行 为 分 析 使 用 P r o c e s s   M o n i t o r 来 进 行 行 为 检 测 ： 1 .       查 看 进 程 树 可 知 p a n d a . e x e 在 C : W i n d o w s S y s t e m 3 2 d r i v e r s 下 释 放 了 s p c o l s v . e x e 文 件 ， 并 创 建 了 子 进 程 2 .       s p c o l s v . e x e   使 用 c m d 命 令   删 除 了 系 统 磁 盘 的 一 些 共 享 操 作 3 .       通 过 筛 选 O p e r a t i o n ， 也 可 以 发 现 恶 意 软 件 在 C : W i n d o w s S y s t e m 3 2 d r i v e r s 下 释 放 了 s p c o l s v . e x e 文 件 4 .       换 对 s p c o l s v . e x e 进 行 行 为 监 控 ， 发 现 其 在 注 册 表 的 自 启 动 项 设 置 了 s v c s h a r e 的 自 启 动 项 ， 通 过 D a t a 发 现 病 毒 会 使 感 染 的 电 脑 开 机 就 会 自 启 动 C : W i n d o w s S y s t e m 3 2 d r i v e r s s p c o l s v . e x e 5 .     H K L M S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n E x p l o r e r A d v a n c e d F o l d e r H i d d e n S H O W A L L C h e c k e d V a l u e 这 里 的 注 册 表 操 作 使 普 通 的 设 置 也 无 法 显 示 病 毒 出 来
6 .       s p c o l s v . e x e 又 把 一 些 杀 毒 软 件 的 自 启 动 项 进 行 删 除 。 7 .       s p c o l s v . e x e 在 各 个 目 录 下 创 建 D e s k t o p _ . i n i 配 置 文 件 . 0 x 0 3 病 毒 运 行 效 果 病 毒 运 行 效 果 1 . 发 现 d l l 文 件 不 会 被 感 染 ， e x e 等 其 余 文 件 图 标 变 成 了 2 . 打 开 任 务 管 理 器 ， 会 自 动 关 闭 。 病 毒 进 程 会 自 动 检 查 任 务 管 理 器 ， 并 对 其 进 行 查 杀 。 3 . 用 P C H u n t e r 查 看 在 C 盘 下 创 建 的 隐 藏 文 件
4 . 在 注 册 表 中 的 添 加 了 C : W i n d o w s S y s t e m 3 2 d r i v e r s s p c o l s v . e x e 的 自 启 动 项 5 . 这 些 字 符 串 可 能 是 要 使 用 到 的 A P I 函 数 名 ( 可 以 看 出 程 序 可 能 会 进 行 网 络 通 信 ， 通 过 网 络 进 行 感 染 ， 枚 举 进 程 或 线 程 ， 设 置 计 时 器 等 一 系 列 操 作 )   0 x 0 4 初 步 分 析 初 步 分 析       1 . 下 面 字 符 串 可 能 是   w i n d o w s     A P I   函 数
2 . L o a d   P E 查 看 每 个 D L L 导 入 的 A P I ( 通 过 了 解 的 W i n d o w s   A P I 函 数 ， 我 们 大 概 可 以 猜 出 恶 意 程 序 会 有 什 么 行 为 。 在 后 面 的 分 析 中 ， 我 们 会 详 细 分 析 ， 这 里 我 们 不 做 赘 述 ) 0 x 0 5 深 入 分 析 深 入 分 析 用 I D A 静 态 载 入 、 结 合 O l l y D b g 进 行 动 态 调 试 ： 1 . 进 入 程 序 s t a r t 函 数 后 会 看 见 程 序 对 进 行 了 三 次 对 字 符 串 进 行 申 请 内 存 和 拷 贝 操 作 ， 分 别 将 字 符 串 地 址 拷 贝 到 临
时 指 针 中 ( 后 续 的 大 部 分 字 符 串 操 作 ， 都 是 在 临 时 指 针 中 ) 。 然 后 开 始 进 行 第 一 次 字 符 串 解 密 操 作 。 将 解 密 字 符 串 与 一 个 字 符 串 进 行 比 较 。 不 一 样 跳 出 。 2 . s u b _ 4 0 3 C 9 8 ： 函 数 内 部 我 有 进 行 内 存 申 请 以 及 字 符 串 拷 贝 的 操 作
3 . 当 解 密 完 成 时 候 ， 我 们 查 看 内 存 ， 发 现 解 密 后 的 字 符 串 与 比 较 明 文 相 同 ： 4 . 病 毒 会 检 测 杀 毒 软 件 和 防 火 墙
5 . 这 里 进 行 了 第 二 次 解 密 ， 操 作 与 第 一 相 似 。 判 断 完 解 密 结 果 后 ， 我 们 会 进 入 病 毒 三 大 功 能 函 数 ， 分 别 进 行 病 毒 初 始 化 操 作 ， 病 毒 感 染 操 作 、 病 毒 自 我 保 护 操 作 。   6 . 我 们 首 先 分 析 病 毒 初 始 化 操 作 函 数 s u b _ 4 0 8 3 0 0   ： C r e a t e A n d R u n P a n d a 病 毒 刚 进 入 C r e a t e A n d R u n P a n d a 后 会 先 判 断 当 前 运 行 程 序 所 在 路 径 下 是 否 存 在 D e s k t o p _ . i n i 文 件 ， 如 果 存 在 就 删 除 掉 该 文 件 。
7 . 本 病 毒 会 将 自 身 拷 贝 到 其 他 文 件 进 行 感 染 ， 被 感 染 的 文 件 会 执 行 病 毒 代 码 ， 所 以 这 里 的 代 码 部 分 是 在 区 分 是 不 是 病 毒 母 体 程 序 正 在 运 行 ， 还 是 被 感 染 过 的 文 件 ， 感 染 过 的 文 件 有 感 染 标 记 位 于 读 取 文 件 信 息 的 最 后 一 个 字 节 ：
8 . 这 里 病 毒 的 代 码 目 的 是 ， 找 到 进 程 中 运 行 的 s p c o l s v . e x e ， 并 且 终 止 ， 再 将 自 身 程 序 伪 装 到 ： 系 统 目 录 + d i r v e r s 目 录 下 ， 并 更 名 为 s p c o l s v . e x e ， 用 C M D 启 动 伪 装 程 序 ， 然 后 在 退 出 这 个 程 序 。 如 果 是 s p c o l s v . e x e 运 行 ， 会 执 行 0 0 4 0 8 4 B C ： j z     l o c _ 4 0 8 5 B A 进 行 跳 转 。 不 会 执 行 伪 装 操 作 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理