某2009年xp病毒的简单分析

52lxw · 发表于 2018-11-13 11:46

样本.rar (178.14 KB, 下载次数: 37)
前辈已经分析过了：https://www.52pojie.cn/thread-624323-1-1.html，我跟着他的思路调试了一遍
先用exepeinfo看一下什么语言写的，什么壳
{R0G9)ZOL%G$`~OQX`@RLOL.png

发现没加壳，delphi写的，拖入IDA找到TForm1Create函数

$_7LUZSTDAP{GS2MB673J$K0.png$
开始判断自己是不是javasc.exe文件，是的话就复制自己为sdafdf.exe并执行sdafdf.exe,然后自己退出

$CH$}0QPPAJ2{_5)0]T(CD`Y.png$
判断是否存在GHO文件夹,不存在就创建一个

V2B]HKMOW3~B33~MBZ3@K0H.png

判断是否存在avb.exe文件，不存在就复制自己为javasc.exe,并且设置为服务，复制为avb.exe并且设置注册表Runonce键为自启动,然后主程序退出

XFHB4I]TSPTLP4S)W0HP]RR.png

判断程序是avb.exe,mscb.exe执行不同的动作
{@O6GAAR5OHKGX@3FL1U800.png

如果是avb.exe,就复制自己为mscb.exe,执行mscb.exe并且主程序退出
9WX])$N2RYZ`XWSHH1ZL{6T.png

最后恶意代码都是在timer1,2,3,4里面执行的，主程序主要是复制自己，设置服务和自启动

duier · 发表于 2018-11-14 16:00

楼主这个解压密码是什么呢

为海尔而战 · 发表于 2018-11-13 13:01

加油楼主(ง •̀_•́)ง

cofeiya · 发表于 2018-11-13 14:01

楼主，很强势呦

bgp · 发表于 2018-11-13 14:22

赞赞赞，谢谢谢谢谢谢。

yoonching · 发表于 2018-11-13 14:45

加油，谢谢提供思路。

Vistanbul · 发表于 2018-11-13 14:49

什么时候才能像你们一样逆向病毒

stanlyjin · 发表于 2018-11-13 15:03

膜拜楼主.

450046181 · 发表于 2018-11-13 15:25

楼主加油

酷酷的八戒 · 发表于 2018-11-13 15:32

思路不错，加油呀

shenlanhai · 发表于 2018-11-13 16:28

谢谢楼主啊

帐号		自动登录	找回密码
密码			注册[Register]

[PC样本分析] 某2009年xp病毒的简单分析

免费评分

个人中心