恶意代码分析实战 Lab1

Lab 1-1

可以看到,大部分匹配到了w32/Ramnit系列病毒特征

第一个是.exe第二个是.dll,可以看到两个文件的编译时间仅仅相差19秒.

3看是否加壳最快的当然是用PEID看一下就好,不存在加密混淆.

可以看到两个kernel32.dll的细微差别,一个是kernel32.dll,一个是kerne132.dll,可以推测恶意程序劫持了kernel32.dll,还有.exe结合第四点推测他可能查找一个可执行文件

6用IDApro查看.dll文件的字符串:

结合WS2_32.dll推测他可能链接这个IP地址,获取exec命令来运行一个程序,一个sleep来是后门程序休眠

7由经验:后门程序常用GetProcess和sleep,得到总结.dll是个后门程序,而.exe加载运行.dll

Lab1-2

1匹配到已有反病毒软件特征,结果和上一题类似就不贴图了,感兴趣可以自己上传查看.

2在option里面选中核心扫描,普通扫描测不出来

也可以手动脱壳,用ollydbg打开找到OEP

PETooldump内存,接着用ImportREC修复输入表

脱壳后用PEID查看:

3下面两个函数说明了程序会打开一个链接

创建服务相关函数

4用IDApro查看字符串

一个Malservice服务名称,一个链接,可以通过监视网络流量检查被恶意代码感染的主机

Lab1-3

2PEID查看 FSG加壳

ollydbg手动脱壳查找oep选择第三个就可直接到达OEP处,然后选择分析代码,接着选择下图第一个选项dump出来即可.

脱壳后:

3组件对象模型com的相关操作

4得到一个链接,可以作为网络迹象说明主机是否被感染

Lab1-4

2没有加壳

3 PETool查看时间,可以看出是个不可信的时间

4权限操作相关函数

注意最后两个函数告诉我们,程序将会创建一个可执行文件并且运行他

5第一行说明恶意代码创建的程序

6将资源文件用resource hacker打开,可以轻易判断出这是一个.exe文件

提出来保存成.exe文件再用IDApro打开,查看字符串可以看到一个链接,推测wupdmgrd.exe程序就是从这个链接下载得到.