恶意代码分析实战实验——Labs-03
恶意代码分析实战实验——Labs-03
记录《恶意代码分析实战》中的实验,提供相关链接:
Labs-03-1实验
目标程序在 Win7 系统下无法执行,具体操作见视频。
Labs-03-2实验
1.如何让恶意代码自行安装?
先静态分析
1) Peid 查看导入导出函数,进行分析
操作:首先查看导出函数:可以发现安装和卸载的函数,Install,installA 和uninstallA
导入函数表格:主要功能有创建进程、获取路径、读取文件、创建线程、修改和创建注册表、创建服务、连网发送请求和进行连接等
2) String查看可疑字符串,发现可疑的网址“practicalmalwareanalysis.com” 和一些可疑的路径和执行命令。
3)执行程序:
由于dll程序不能直接运行,需要被exe调用,也就是说它会附着到计算机的某个程序中,但是我们并不知道是哪个程序。因此我们需要在执行前打开ProcessExplorer (PE) 进行监控。
i) Rundll32 执行dll中的导出install函数进行运行:
ii) 在PE中找到依附的主程序是svhost.exe
2.程序无法在Win32下动态执行,接下来应该根据Regshot, PM (Process Monitor) 和PE (Process Explorer) 中的详细信息进行分析,会发现:
- 1)刚刚Srings中分析的路径是注册表的值,
- 2) 会创建一个IPRIP服务
- 3) 被恶意程序添加到开机启动项中;
- 4) 利用 PM 和 PE 以及 wireshark 抓包分析 IPRIP 服务:先打开监控软件,然后用 net start IPRIP
Labs-03-3实验
目标程序无法在 Win7 系统下运行
Labs-03-4实验
1.运行这个程序时会发生什么?
程序会自动删除
静态分析:
1) 查壳:无壳,C++编写
2) 查看导入函数:
- a. 会读写复制文件、创建删除文件、获取路径、创建进程等;
- b. 创建删除服务、打开服务、创建、修改和删除注册表;
- c. Shell后门
- d. 连网操作
3) Strings分析:
- a. 会发送网络数据包
- b. 连网进行上传和下载文件
- c. 还会执行系统命令
- d. 连接的网址可能是http://www.practicalmalwareanalysis.com
2. 什么原因导致动态分析无法有效实施?
程序的运行可能需要参数或者是缺少其他必要的文件
1) 先打开 PM 进行监控(利用filter筛选指定程序名称),然后执行程序:
2) 查看进程树,发现的确会执行cmd命令,cmd命令的内容就是删除程序本身。
3.是否有其他方式分析此程序?
需要通过 逆向分析 的手段去查找。