xia0le's Blog
xia0le's Blog

恶意代码分析实战Lab5

xia0le included in 恶意代码分析实战
 About 300 words 2 minutes 
Contents

恶意代码分析实战Lab5

Lab5-1

1.D1lMain的地址是什么?

0x1000D02E

image.png

2.使用Imports窗口并浏览到gethostbyname，导入函数定位到什么地址?

image.png

ctrl+f 搜索gethostname

得到地址0x100163CC

image.png

3.有多少函数调用了gethostbyname?

按x共得到18个

p 开头为函数调用

r 开头为read读取

找p，然后去除重复得到5个函数调用了gethostbyname

image.png

4.将精力集中在位于0x10001757处的对gethostbyname的调用，你能找出哪个DNS请求将被触发吗?

按g跳到指定地址

image.png

是off_10019040的值影响了eax

image.png

得到字符串[This is RDO]pics.praticalmalwareanalys 后面是网址

image.png

[This is RDO]长度为0x0d add eax,0d刚好是网址起始位置

image.png

5.IDA Pro 识别了在0x10001656处的子过程中的多少个局部变量?

var 开头为局部变量，23个局部变量

image.png

6.IDA Pro识别了在0x10001656处的子过程中的多少个参数?

有一个参数

image.png

7.使用Strings窗口，来在反汇编中定位字符串\cmd.exe /c。它位于哪?

shift+f12 跳转到strings窗口，然后搜索cmd即可，跟进去得到0x10095B34

image.png

8.在引用\cmd.exe /c的代码所在的区域发生了什么?

向上查看

image.png

跟进去查看，远程shell会话

image.png

向下看，可能为攻击者开启了一个远程会话

image.png

image.png

9.在同样的区域，在Ox100101C8处，看起来好像dword_1008E5C4是一个全局变量，它帮助决定走哪条路径。那恶意代码是如何设置dword_1008E5c4的呢?(提示:使用dword_1008E5C4的交叉引用）

g跳转到Ox100101C8

然后交叉引用

w 是write

r 是read

write影响值所以选第一个

image.png

eax为上一个call的返回值

image.png

跟进函数sub_10003695查看

查询系统版本

platformid与2比较是判断是否为win32-NT系统

函数返回值为系统版本信息

image.png

10.在位于0x1000FF58处的子过程中的几百行指令中，一系列使用memcmp 来比较字符串的比较。如果对robotwork的字符串比较是成功的`(（当memcmp返回0)，会发生什么?

g定位到0x1000FF58

image.png

memcmp比较相等为0

image.png

jnz不是0则跳转

题目设memcmp返回0则不跳转，调用sub_100052A2函数

image.png

‍

函数会打开注册表的这个位置

image.png

访问注册表的值

image.png

‍

跟进函数发现通过send发送

image.png

image.png

11.PSLIST导出函数做了什么?

view里查看

image.png

点进去

image.png

image.png

查看第一个call

空格

MajorVersion是判断是否为Vista以上还是Vista以下

image.png

esc返回，先看左边的call

image.png

CreateToolhelp32Snapshot：获取系统中进程或线程信息

image.png

esc返回查看右边的call

​image.png​

  • ‍

这个函数里也有CreateToolhelp32Snapshot

image.png

PSLIST函数的作用可能是将系统进程信息发送远程

12.使用图模式来绘制出对sub_10004E79的交叉引用图。当进入这个函数时，哪个API函数可能被调用?仅仅基于这些API函数，你会如何重命名这个函数?

首先找到这个函数

image.png

找到user xrefs chart

image.png

点ok

image.png

弹出图片，箭头所指的都是有有可能调用的api函数

GetSystemDefaultLangId获取系统默认语言

sub_1000eE79函数主要是获取系统默认语言

image.png

‍

将函数重命名为GetSystemLanAndSend

image.png

‍

13.D1lMain直接调用了多少个Windows API?多少个在深度为2时被调用?

找到这个函数使用同样的方法

image.png

image.png

第一层调用，strncpy、CreateThread等

image.png

第二层调用，sleep，winexec、memcpy等

image.png

14.在Ox10001358处，有一个对Sleep(一个使用一个包含要睡眠的毫秒数的参数的API函数）的调用。顺着代码向后看，如果这段代码执行，这个程序会睡眠多久?

g跳到这个函数

image.png

eax受off_10019020影响，查看off_10019020

内容为 [This is CTI]30

image.png

add eax,0dh 即获取到30

image.png

将30转换为数值

image.png

30*3e8h = 30000

image.png

image.png

休眠时间为30000毫秒即30秒

15.在Ox10001701处是一个对socket的调用。它的3个参数是什么?

g定位

image.png

得到2、1、6

2是第一个参数

‍

16.使用MSDN页面的socket和IDAPro中的命名符号常量,你能使参数更加有意义吗?在你应用了修改以后，参数是什么?

msdn找到af

image.png

2代表AF_INET，这道题让我们将2转换为AF_INET

image.png

2右击

image.png

找到AF_INET确定

image.png

转为字符方便查看

image.png

6代表IPPROTO_TCP

image.png

相同方式转换

image.png

image.png

image.png

‍

17.搜索in指令(opcode &xED）的使用。这个指令和一个魔术字符串 VMXh用来进行VMware检测。这在这个恶意代码中被使用了吗?使用对执行 in 指令函数的交叉引用，能发现进一步检测VMware的证据吗?

search ，sequence of bytes

image.png

image.png

找到in语句

image.png

进入后将564D5868h转换为字符

image.png

这块可能是判断是否为vmware虚拟机

image.png

空格，找到函数头，交叉引用

image.png

查看第一个

Found Virtual Machine,Install Cancel即发现虚拟机，安装取消

‍

image.png

18.将你的光标跳转到0x1001D988处，你发现了什么?

image.png

19.如果你安装了IDA Python插件（包括IDA Pro的商业版本的插件），运行Lab05-01.py，一个本书中随恶意代码提供的IDA Pro Python脚本，（确定光标是在Ox1001D988处。)在你运行这个脚本后发生了什么?

Lab05-01.py

1
2
3
4
5
6

sea = ScreenEA() # 获取鼠标位置

for i in range(0x00,0x50):
        b = Byte(sea+i) #获取每一行的字符
        decoded_byte = b ^ 0x55 #将每一行字符 ^ 0x55
        PatchByte(sea+i,decoded_byte) # 修复后加载出来

Lab05-01.idc

1
2
3
4
5
6
7
8
9

#include <idc.idc>
static main(){
    auto sea = ScreenEA(),b,i,decoded_byte;
    for(i=0x0; i<0x50; i++){
        b = Byte(sea+i);
        decoded_byte = b ^ 0x55;
        PatchByte(sea+i,decoded_byte);
    }
}

鼠标放在第一个字符上script file选择脚本

image.png

打开脚本后解密成功

image.png

按a

image.png

20.将光标放在同一位置，你如何将这个数据转成一个单一的ASCII字符串?

21.使用一个文本编辑器打开这个脚本。它是如何工作的?

脚本再次运行可加密回去

‍

‍

Updated on 2022-03-29 
病毒分析Binary
Back | Home
0%